La IA responsable se está convirtiendo en una estrategia de crecimiento

De HBR.org

A medida que la IA generativa, los sistemas agénicos y los robots de servicio se adentran cada vez más en las operaciones de cara al cliente, se amplía la brecha entre la capacidad tecnológica y la responsabilidad organizacional. La confianza, que antes se daba por sentada y rara vez se medía, se ha convertido en un bien escaso. Las empresas que no logren ganársela se enfrentarán a medidas regulatorias, daño a su reputación y a la pérdida de clientes a favor de competidores que hayan elegido un camino más confiable.

En los ocho años que hemos investigado la Responsabilidad Digital Corporativa (CDR) --la disciplina que rige la forma en que las empresas diseñan, implementan y perfeccionan los datos y la IA de manera responsable en todo su ecosistema-- y observado las implementaciones en numerosas industrias de servicios, hemos llegado a la conclusión de que la CDR se está convirtiendo rápidamente en una fuente de ventaja competitiva.

Una buena responsabilidad digital corporativa (CDR) hace más que reducir el riesgo regulatorio, las multas y las interrupciones operativas. Genera valor de marca y lealtad por parte de los clientes que los competidores no pueden imitar fácilmente.

La guía práctica de la CDR

Etapa 1: Conoce bien lo que tienes.

No puedes evaluar una herramienta si no sabes que está en funcionamiento. La IA más peligrosa en cualquier organización es la que los líderes no están al tanto, y la mayoría de las empresas gravemente la subestiman. Más allá de los modelos insignia anunciados por los líderes tecnológicos, existen herramientas algorítmicas de fijación de precios, filtros automatizados de contratación, bots de servicio al cliente, flujos de trabajo automatizados que gestionan las compras e IA de terceros integrada en las plataformas de los proveedores. El Índice de Agentes de IA de MIT de 2025 reveló que, entre los agentes de IA que operan en niveles de vanguardia de autonomía, solo unos pocos divulgaron evaluaciones de seguridad y los desarrolladores revelaron mucho más sobre las capacidades que sobre los riesgos. Esa misma brecha de transparencia se observa en la mayoría de las empresas.

Tres pasos concretos sientan las bases. El primero es un registro de sistemas de IA, un inventario actualizado de cada modelo implementado, el alcance de decisión, el linaje de los datos de entrenamiento y el nombre del responsable humano, que se mantenga con el mismo rigor que los bancos regulados aplican a los inventarios de riesgo de modelos. La segunda es una clasificación de riesgo para cada sistema. Las categorías de riesgo inaceptable, alto, limitado y mínimo de la Ley de IA de la UE ofrecen una estructura inicial útil, ya que un motor de recomendaciones plantea un desafío de gobernanza sustancialmente diferente al de un agente que aprueba reclamaciones de seguros o un robot que trabaja junto a los clientes. La tercera es un breve conjunto de requisitos innegociables publicados: las acciones que tus sistemas de IA nunca podrán realizar, independientemente del incentivo de desempeño. Si un equipo directivo no puede nombrar cinco de esas restricciones en una hora, aún no cuenta con una estrategia de CDR que funcione.

Pregunta de diagnóstico:

¿Podemos nombrar todos los sistemas de IA que actualmente toman decisiones que afectan a nuestros clientes? ¿Sabemos quién es responsable de cada uno?

Etapa 2: Incorporar la supervisión en la máquina.

El error más común aquí es tratar la gobernanza de la IA como una revisión que se lleva a cabo después de que los sistemas ya están construidos. Una IA responsable que se incorpora a última hora es sistemáticamente más débil porque el sesgo, la manipulación y el riesgo operativo son más fáciles de rastrear en las etapas de diseño y entrenamiento que después de una falla pública.

El Equipo Rojo de IA de Microsoft llevó a cabo 67 operaciones en 2024. Analizó cada modelo insignia antes de su lanzamiento en busca de entradas adversarias y usos indebidos previsibles. La mayoría de las organizaciones no cuentan con una función equivalente y establecer incluso un pequeño equipo con el mandato de romper los sistemas antes de su lanzamiento es probablemente la inversión en CDR más productiva disponible en esta etapa. En el caso de la IA con capacidad de agencia, la recomendación de McKinsey es dar prioridad a la confianza en el diseño y dejar la velocidad en segundo lugar. La autonomía limitada, en la que los agentes cuentan con los permisos mínimos necesarios para una tarea, las decisiones irreversibles requieren autorización humana y cada acción se registra para la reconstrucción posterior; es el requisito previo para confiar en los agentes, más que un freno. Para la IA física, como los robots de servicio, esta etapa agrega algo que las empresas digitales nativas rara vez han necesitado: protocolos para incidentes físicos y la autoridad operativa para desactivar un robot que no funcione correctamente sin tener que recurrir al departamento de TI.

Pregunta de diagnóstico:

Si nuestro sistema de IA más trascendental tomara mañana una decisión perjudicial, ¿podríamos reconstruir exactamente qué hizo, por qué lo hizo y quién es el responsable?

Etapa 3: Convertir la CDR en una señal competitiva.

Las organizaciones que llegan a esta etapa han dejado de tratar la CDR como un centro de costos y han comenzado a considerarla como algo que pueden demostrar de manera creíble ante los clientes, los reguladores, los socios del ecosistema y los proveedores de capital.

El mecanismo principal es la transparencia pública estructurada, no la vaga garantía de que la IA de una empresa es responsable, sino la divulgación específica y auditable de lo que hacen los sistemas y cómo se gestionan. El Informe de transparencia sobre IA responsable de Microsoft menciona familias de modelos, documenta operaciones de "red teaming" y describe incidentes específicos, así como las respuestas de la organización; funciona como un artefacto de gobernanza que casualmente es público. Una empresa que publica detalles específicos no puede alegar desconocimiento posteriormente. El segundo mecanismo es la alineación de la remuneración, ya que los objetivos de la CDR solo se vuelven duraderos cuando se incluyen en el mismo tablero de liderazgo junto con los ingresos y retención, e influyen en los mismos incentivos. Lo que está vinculado a la remuneración se gestiona de manera constante. El tercer mecanismo es la participación en la creación de estándares externos, donde las organizaciones más sofisticadas ayudan a definir las normas emergentes en lugar de esperar a que los reguladores definan la IA responsable por ellas. La participación en el Marco de gestión de riesgos de IA del NIST, las consultas y compromisos de la Ley de IA de la UE, como los Compromisos de seguridad de IA de Frontier, otorga a los primeros participantes influencia sobre las normas que sus competidores deberán cumplir más adelante.

Pregunta de diagnóstico:

¿Podría un regulador, un cliente o un inversionista institucional bien informado revisar nuestra información pública sobre la CDR y concluir que gestionamos la IA de manera más responsable que nuestros competidores?

+++

Las cifras describen la situación con claridad. Según el Índice de confianza digital de Thales 2026, el 93 por ciento de los líderes de TI ya utilizan, implementan o planean iniciativas de IA, pero solo el 23 por ciento de los consumidores confía en que las empresas manejen la IA y sus datos de manera responsable. Esa brecha es tanto un problema de ingresos como de comunicación y se está ampliando. Solo una de cada cinco empresas cuenta con un modelo de gobernanza maduro para los agentes autónomos, incluso cuando el despliegue de estos se acelera drásticamente y casi dos tercios de las organizaciones señalan la seguridad y el riesgo, más que la incertidumbre regulatoria o las limitaciones técnicas, como la principal barrera para escalar la IA basada en agentes. El cuello de botella es la confianza y en específico, la ausencia de una gobernanza capaz de ganársela.

Este es el momento para el que la CDR fue diseñada. Las tres oleadas de IA no están llegando de manera secuencial, sino simultáneamente, en organizaciones que en su mayoría carecen de la gobernanza necesaria para gestionar adecuadamente cualquiera de ellas.

La mayoría de las organizaciones aún no pueden responder a las tres preguntas de diagnóstico aquí planteadas y ahí es precisamente donde radica la oportunidad. Las empresas que cierren esta brecha primero, al tratar la gobernanza no como una limitación a la ambición en materia de IA, sino como la condición bajo la cual dicha ambición se vuelve comercialmente sostenible, heredarán los clientes, el talento y la posición en el mercado que los competidores menos disciplinados están perdiendo silenciosamente.