Del cumplimiento a la ventaja competitiva: lo que el 2 de agosto cambió en la gobernanza de IA

Una mirada ejecutiva a la gobernanza como capacidad operativa, condición de confianza y ventaja competitiva.

El 2 de agosto de 2026 marcó un punto de inflexión para la gobernanza de inteligencia artificial en Europa. Desde esa fecha, la Comisión Europea puede hacer cumplir las obligaciones de la Ley de IA aplicables a los proveedores de modelos de propósito general (GPAI), incluidas las obligaciones adicionales para los modelos que presentan riesgo sistémico. Estas reglas ya aplicaban desde el 2 de agosto de 2025; lo que cambió ahora es la capacidad de exigir su cumplimiento y sancionar las infracciones. Las multas por incumplimientos relacionados con GPAI pueden alcanzar €15 millones o el 3 % de la facturación anual global, lo que sea mayor. Y Europa no está sola. En julio, Naciones Unidas celebró en Ginebra la primera sesión de su Diálogo Global sobre Gobernanza de IA. Ese mismo mes, China presentó en Shanghái un plan internacional de gobernanza ética que incluye gestión de riesgos durante el ciclo de vida, explicabilidad, protección de la privacidad y mitigación de sesgos. Singapur, por su parte, actualizó en mayo su Model AI Governance Framework for Agentic AI, orientado específicamente al despliegue responsable de sistemas con mayor autonomía. Distintos países, distintos instrumentos, una misma dirección: la conversación está pasando de los principios a los controles. Hay otro dato que, para mí, resulta aún más revelador. Un estudio de Smarsh realizado por FTI Consulting encontró que el 55 % de las empresas encuestadas ya estaba desplegando IA, mientras solo el 26 % consideraba que sus marcos de gobernanza estaban plenamente alineados con el ritmo de implementación. Apenas el 30 % afirmaba contar con capacidades integrales para detectar y gestionar shadow AI. Ese desfase dice mucho. No hablamos únicamente de un problema de tecnología. Hablamos de un problema de gestión.

Cuando el software también actúa

La IA agéntica hace más evidente ese desafío. Durante años, muchas organizaciones aprendieron a gestionar el shadow IT: aplicaciones o servicios utilizados fuera de los procesos aprobados por tecnología. Pero un agente de IA introduce una categoría distinta. Un agente de desarrollo puede investigar un repositorio, modificar código, ejecutar tareas y, dependiendo de su configuración, conectarse con herramientas y fuentes de información externas. Precisamente por eso, las plataformas que ya ofrecen estas capacidades incorporan controles específicos sobre permisos, acceso a repositorios, red, herramientas y trazabilidad. GitHub, por ejemplo, restringe el alcance de su agente de codificación y registra sus cambios; Anthropic ofrece reglas detalladas para controlar qué archivos, comandos y recursos de red puede utilizar Claude Code. La lección no es prohibir los agentes. Es reconocer que un sistema capaz de actuar necesita una gobernanza diseñada para la acción. Eso implica definir qué puede hacer, a qué información puede acceder, bajo qué identidad opera, qué acciones requieren autorización humana, qué se registra y quién responde por sus resultados. La velocidad de adopción y la capacidad de gobierno tienen que crecer juntas. Productividad y control no son fuerzas opuestas. Cuando el control está bien diseñado, permite avanzar con más confianza, no con menos velocidad.

Gobernar es poder responder

Desde la Oficina de IA First en Novacomp partimos de una idea sencilla: la madurez de la gobernanza no se demuestra porque exista una política. Se demuestra cuando la organización puede responder, con evidencia, preguntas como estas:

• ¿Quién autorizó este sistema?
• ¿Qué riesgos fueron evaluados y qué controles se definieron?
• ¿Qué datos, herramientas y sistemas puede utilizar?
• ¿Cómo monitoreamos su comportamiento?
• ¿Quién responde cuando algo sale mal?

Responder esas preguntas exige llevar la gobernanza al ciclo de vida real de la IA: evaluación de riesgos, aprobación, gestión de proveedores, controles de acceso, monitoreo, trazabilidad, gestión de incidentes y responsabilidades claramente definidas. Esa lógica conecta directamente con ISO/IEC 42001, estándar internacional para sistemas de gestión de inteligencia artificial. Su enfoque no consiste simplemente en documentar políticas: establece requisitos para crear, implementar, mantener y mejorar un sistema de gestión que permita administrar de forma estructurada los riesgos y oportunidades asociados con la IA. En Novacomp estamos avanzando en esa dirección con nuestro framework NovAI-SDLC. No se trata de buscar una certificación por la certificación. Se trata de desarrollar capacidad de demostrar cómo gobernamos. Porque hay una prueba mucho más concreta: si mañana un regulador, un cliente o un auditor preguntara quién aprobó un sistema de IA, qué controles se aplicaron, qué información puede utilizar y quién responde si falla, ¿podríamos contestar con evidencia y no solo con una política?

Lo que esto significa para Latinoamérica

Latinoamérica no necesita esperar a tener un marco regional equivalente a la Ley de IA de la Unión Europea para actuar. La gobernanza también se transmite a través de mercados, cadenas de suministro, estándares y relaciones comerciales. La propia Ley de IA europea, por ejemplo, alcanza a proveedores de modelos GPAI que ponen sus modelos en el mercado de la Unión aunque estén establecidos fuera de ella. Para las empresas latinoamericanas que participan en ecosistemas globales, la pregunta relevante no es únicamente qué exige hoy la regulación local. También es qué nivel de transparencia, trazabilidad y control comenzarán a esperar clientes, socios y proveedores internacionales. Ahí es donde la gobernanza puede pasar del cumplimiento a la ventaja competitiva. Una organización capaz de demostrar cómo selecciona, aprueba, monitorea y controla sus sistemas de IA no solo reduce exposición al riesgo. También está mejor preparada para generar confianza, responder auditorías y trabajar con empresas que elevan sus estándares de gestión. Mi convicción, después de años moviéndome entre RRHH, finanzas y ahora IA, sigue siendo la misma que aplico a cualquier transformación: la tecnología genera valor cuando se gobierna con procesos, se mide con indicadores y se adopta con las personas. La ética y la gobernanza no son el freno de la productividad. Son parte de la infraestructura que permite escalarla sin convertir esa productividad en un pasivo.

Si mañana uno de sus principales clientes pidiera evidencia de cómo gobiernan la IA, ¿su organización podría mostrarla? Esa, más que cualquier fecha regulatoria, es la pregunta que vale la pena responder hoy.