Gobernanza de datos frente a gobernanza de la IA, por qué ambas son necesarias y cómo interactúan

La gobernanza de datos y la gobernanza de la IA son disciplinas relacionadas pero distintas que abordan riesgos diferentes y requieren estructuras de responsabilidad diferentes. Confundirlas, o tratar la gobernanza de la IA como un subconjunto de la gobernanza de datos, deja lagunas significativas que los reguladores y los auditores identificarán.

La gobernanza de datos aborda la gestión de los activos de datos a lo largo de su ciclo de vida: cómo se recopilan, clasifican, almacenan, consultan, utilizan, conservan y eliminan los datos. Un programa maduro de gobernanza de datos incluye un diccionario de datos, responsabilidades de propiedad y custodia de los datos, estándares de calidad de los datos, controles de acceso y calendarios de retención y eliminación alineados con las obligaciones legales. La gobernanza de datos se aplica a todos los datos, no solo a los utilizados en sistemas de IA.

La gobernanza de la IA aborda los riesgos específicos que se introducen cuando los sistemas de IA utilizan datos para tomar o fundamentar decisiones. Cubre las entradas de datos a los sistemas de IA (datos de entrenamiento, datos de inferencia), los propios modelos (diseño, entrenamiento, validación, evaluación de sesgos, vigilancia poscomercialización), las decisiones que producen los sistemas de IA (exactitud, equidad, explicabilidad, supervisión humana) y la responsabilidad organizativa por esas decisiones (quién responde cuando un sistema de IA causa un daño). La gobernanza de la IA aplica un conjunto de controles y estructuras de responsabilidad que no tienen equivalente en la gobernanza de datos, la gestión del riesgo de modelo, la auditoría algorítmica, la respuesta a incidentes específica de la IA y el cumplimiento regulatorio de la legislación específica sobre IA.

La relación entre ambas: una buena gobernanza de datos es un requisito previo para una buena gobernanza de la IA, porque la calidad de los resultados de la IA depende directamente de la calidad de los datos de entrada. Pero la gobernanza de datos no sustituye a la gobernanza de la IA. Una organización con una gobernanza de datos madura que no haya abordado los riesgos específicos de la IA, el sesgo de los modelos, las alucinaciones, la toma de decisiones autónoma, la responsabilidad de los proveedores de IA, tiene una exposición significativa sin gestionar.

Qué exige la gobernanza de la IA a la gobernanza de datos

Los sistemas de IA plantean exigencias específicas a la infraestructura de gobernanza de datos que las organizaciones deben abordar a medida que aumenta la adopción de la IA:

Calidad y linaje de los datos de entrenamiento. La exactitud y la equidad de un modelo de IA dependen de la calidad de los datos con los que fue entrenado. La gobernanza de datos debe extenderse a los conjuntos de datos de entrenamiento: documentar de dónde proceden los datos de entrenamiento, qué grupos demográficos están representados (e infrarrepresentados), cómo se limpiaron y prepararon, y qué controles de calidad se aplicaron. Los requisitos de gobernanza de datos del Reglamento de IA de la UE para los sistemas de IA de alto riesgo (artículo 10) exigen que los conjuntos de datos de entrenamiento, validación y prueba sean pertinentes, suficientemente representativos y estén, en la medida de lo posible, libres de errores con respecto a la finalidad prevista. Estos requisitos no pueden cumplirse sin una infraestructura subyacente de gobernanza de datos.

Datos de inferencia y privacidad. Los datos enviados a un sistema de IA durante la inferencia, las entradas que determinan los resultados del sistema, están sujetos a las mismas obligaciones de privacidad que el resto de los datos personales. Si se incluye información personal en los prompts enviados a un modelo de IA (ya esté desplegado internamente o a través de la API de un proveedor), debe tratarse de conformidad con la Privacy Act 1988 (Australia), el RGPD (UE) u otra legislación de privacidad aplicable. Esto incluye garantizar el consentimiento apropiado o una base legítima para el tratamiento, aplicar la minimización de datos y asegurar que las prácticas de tratamiento de datos del proveedor cumplen las obligaciones contractuales y regulatorias de la organización.

Transparencia en la toma de decisiones automatizada. La Privacy and Other Legislation Amendment Act 2024 de Australia introdujo obligaciones de transparencia en la toma de decisiones automatizada (ADM) con efecto a partir del 10 de diciembre de 2026. Las entidades APP estarán obligadas a incluir en sus políticas de privacidad información sobre los tipos de información personal utilizados en decisiones sustancialmente automatizadas que tengan un efecto jurídico o significativamente similar sobre las personas. Cumplir esta obligación requiere una infraestructura de gobernanza de datos que rastree qué información personal se utiliza en qué procesos de decisión asistidos por IA.

Acceso a los datos y mínimo privilegio para los sistemas de IA. Los sistemas de IA, en particular la IA agéntica capaz de acceder a los datos y actuar sobre ellos de forma autónoma, deben estar sujetos a los mismos controles de acceso que los usuarios humanos. La carta de abril de 2026 de APRA (Australian Prudential Regulation Authority, la autoridad de regulación prudencial de Australia) señaló que la gestión de identidades y accesos aún no se ha adaptado a actores no humanos como los agentes de IA. Los marcos de gobernanza de datos deben ampliarse para cubrir las identidades de los sistemas de IA: limitar el acceso únicamente a los datos necesarios para la función específica, registrar los accesos de la IA a los datos e implementar capacidades de revocación.

Construir una gobernanza integrada de datos e IA

El enfoque más eficaz trata la gobernanza de datos y la gobernanza de la IA como programas integrados pero distintos, con infraestructura compartida y responsabilidades coordinadas:

En la capa de datos, la infraestructura existente de gobernanza de datos, el catálogo de datos, los controles de calidad de los datos, la gestión de accesos, los calendarios de retención, debe ampliarse para abordar explícitamente los casos de uso de IA. Esto significa etiquetar los activos de datos con su uso en IA (utilizados en entrenamiento, utilizados en inferencia), añadir requisitos de calidad de datos específicos de la IA y extender la gestión de accesos a las identidades de los sistemas de IA.

En la capa de IA, la gobernanza de la IA añade la responsabilidad específica de los modelos que la gobernanza de datos no puede proporcionar: la gestión del riesgo de modelo (validación de modelos, evaluación de sesgos, supervisión del rendimiento), la respuesta a incidentes de IA, la diligencia debida sobre los proveedores de IA y el cumplimiento regulatorio de las obligaciones específicas en materia de IA. Todo ello requiere estructuras de responsabilidad, normalmente un comité de riesgo de modelo o un comité de gobernanza de la IA, con representación de las funciones jurídica, de riesgos, de tecnología y de negocio.

El punto clave de integración es el inventario de IA: un registro de todos los sistemas de IA en uso, los datos que utiliza cada sistema, las decisiones en las que influye cada sistema y el responsable designado de cada uno. Este inventario sirve tanto a la gobernanza de datos (entender qué datos se utilizan en qué sistemas de IA) como a la gobernanza de la IA (entender qué sistemas de IA requieren supervisión). APRA espera que las entidades reguladas mantengan un inventario de este tipo, y su ausencia fue una de las conclusiones del ejercicio supervisor de abril de 2026.

Desde la perspectiva del cumplimiento regulatorio, los marcos que exigen capacidades de gobernanza de datos como parte del cumplimiento en materia de IA incluyen: el Reglamento de IA de la UE (requisitos de gobernanza de datos del artículo 10 para la IA de alto riesgo); la obligación de transparencia ADM de la Privacy Act de Australia (diciembre de 2026); los requisitos de gestión del riesgo operacional de la norma CPS 230 sobre la calidad de los datos en las operaciones críticas; y el Marco de Gestión de Riesgos de IA del NIST (que trata la calidad de los datos como una dimensión central de la fiabilidad de la IA en el marco de las funciones Map y Measure).

Lecturas relacionadas

Lectura complementaria: ISO/IEC 42001