¿Quién es responsable cuando una estrategia elaborada con IA sale mal?

Cuando una recomendación estratégica elaborada con IA resulta errónea, la responsabilidad recae en personas concretas de la cadena de decisión, no en la herramienta. La pregunta es cuáles, y la respuesta honesta es: tres roles que a menudo se confunden entre sí o recaen en la misma persona, que es donde se concentra el riesgo.

Este artículo aborda los tres roles y por qué mezclarlos genera riesgo; el documento de gobernanza escrito que asigna la responsabilidad antes de que se tome una decisión; las obligaciones de supervisión humana de la Ley de IA de la UE; y el registro de aprobación mínimo con cinco campos que hace que el rastro de la decisión sea reconstruible cuando sea necesario examinarlo.

• Los tres roles de responsabilidad: redactor del encargo o titular del prompt, revisor o responsable de la aprobación, responsable de la decisión.
• El documento de gobernanza escrito: qué debe contener y por qué ISO/IEC 42001 trata la trazabilidad como un requisito de diseño.
• Artículo 14 de la Ley de IA de la UE: las obligaciones de supervisión humana para los sistemas de IA de alto riesgo.
• Disposición 29 del Código de Gobierno Corporativo del Reino Unido: declaraciones del consejo sobre controles internos materiales para ejercicios económicos que comiencen el 1 de enero de 2026 o después.

Una recomendación estratégica elaborada con asistencia de IA no tiene un único autor humano. Una persona formula la pregunta, otra aporta los documentos de referencia, una tercera diseña el prompt, una cuarta revisa el resultado y una quinta lleva la decisión al consejo. Cuando la recomendación resulta errónea, cada una puede señalar a otra. Este es el clásico problema de la responsabilidad difusa, agravado por la IA, porque el paso de redacción que antes dejaba un rastro visible de borradores ahora ocurre dentro de una herramienta que por defecto no deja ninguno.

La visión forense es contundente. Los equipos de servicios forenses e integridad de EY señalan que en muchos despliegues de IA la documentación es limitada y las cadenas de decisión no están diseñadas para reconstruirse a posteriori, lo que dificulta explicar, auditar o investigar resultados generados por IA cuando son cuestionados.^[1]

El Índice de IA de Stanford HAI informa de que la base de datos de incidentes de IA registró 362 incidentes documentados en 2025, frente a 233 en 2024.^[2] La proporción de empresas sin políticas de IA responsable cayó del 24% al 11%. La brecha que persiste es la que existe entre política y práctica.

Qué se pierde cuando el rastro no se plasma por escrito

• La pregunta: nadie puede demostrar qué versión del encargo o del prompt produjo el análisis, ni quién aprobó ese planteamiento.
• Los datos de entrada: los documentos y datos de que se sirvió la IA están dispersos entre cargas, conversaciones y carpetas personales.
• La revisión: lo que el revisor cuestionó, corrigió o aceptó suele ser invisible.
• La decisión: el momento de la elección, y la persona que la tomó, quedan enterrados en una reunión o en un hilo de correo.
• El estado de la herramienta: la versión de la plataforma, el modelo y la configuración utilizados no quedan registrados.

Nada de esto se soluciona pidiendo a las personas que sean más cuidadosas. Se soluciona con un artefacto escrito que asigna cada elemento a una persona concreta antes de que se tome la decisión.

La responsabilidad de una recomendación estratégica asistida por IA se distribuye entre tres roles diferenciados. Mezclarlos – por ejemplo, que la misma persona redacte el encargo, revise el resultado y tome la decisión – concentra el riesgo e imposibilita estructuralmente el cuestionamiento independiente.

• El redactor del encargo o titular del prompt es responsable de la pregunta formulada y de los datos aportados. Su responsabilidad incluye garantizar que el planteamiento sea completo, imparcial y represente la decisión que la organización realmente necesita tomar.
• El revisor o responsable de la aprobación es responsable del cuestionamiento y la validación del análisis. Su responsabilidad incluye interrogar el resultado, verificar las fuentes, identificar lagunas y elevar la cuestión si el análisis no puede sustanciarse.
• El responsable de la decisión es propietario de la elección y sus consecuencias. Su responsabilidad incluye sopesar la recomendación frente al contexto que el análisis puede no haber capturado, y asumir la responsabilidad del resultado.

Separar los roles no requiere nuevas contrataciones. Requiere que el documento de gobernanza especifique quién ocupa cada rol en cada decisión significativa. Esto refleja el modelo de responsabilidad compartida utilizado en los marcos de gobernanza de IA: desarrollador, organización que despliega, usuario. Cada capa asume la responsabilidad de lo que aporta; ninguna puede eludirla señalando a otra.

Los fallos aparecen cuando una persona ocupa dos o tres de estos roles. La confusión más frecuente es la del redactor del encargo que también realiza la revisión: no existe cuestionamiento independiente, ni nadie con una perspectiva diferente que examine si la pregunta se formuló de manera que solo pudiera producir una respuesta.

Un documento de gobernanza de IA defendible para decisiones estratégicas tiene dos partes: una política permanente que describe los tres roles y la ruta de escalada, y un registro de aprobación por decisión que documenta, para cada decisión significativa, quién ocupó cada rol y qué hizo cada uno.

ISO/IEC 42001 exige roles y responsabilidades definidos para los sistemas de IA, documentación mantenida de las decisiones del ciclo de vida de la IA y trazabilidad de las decisiones.^[3] El mínimo que debe cubrir la política permanente:

1. Personas identificadas por nombre en cada nivel decisional – personas concretas, no títulos de cargo, para que la responsabilidad sea personal y no pueda derivarse a un rol que haya cambiado de titularidad.
2. Una ruta de escalada – qué ocurre cuando el revisor no está disponible, o cuando el redactor del encargo y el revisor son la misma persona.
3. La versión del análisis adjunta – la fecha, la plataforma y la versión utilizadas, y el encargo o prompt tal como se presentó.
4. La fecha y el método de aprobación – reunión con acta, firma electrónica o aprobación escrita.

Por qué importa adjuntar la versión

La adjunción de la versión es el campo que la mayoría de los equipos omite y que la mayoría de las investigaciones necesita. El mismo encargo ejecutado en una versión de plataforma, modelo o configuración diferentes puede producir una recomendación materialmente distinta. Sin la versión registrada, nadie puede reconstruir sobre qué se tomó realmente la decisión. El requisito de trazabilidad de ISO/IEC 42001 abarca exactamente esto.

Cómo es la ruta de escalada en la práctica

La ruta de escalada responde de antemano a tres preguntas: (1) Si el revisor designado no puede completar la revisión antes del plazo, ¿quién es el suplente? (2) Si el análisis respalda una opción que el redactor del encargo claramente favorecía, la revisión debe completarla alguien que no haya intervenido en la redacción. (3) Si el nivel de decisión sube – de recomendación del equipo a documento del consejo –, la aprobación debe ascender con él.

La distinción más útil en la gobernanza de IA es la que existe entre asistido por IA – donde un ser humano decide a partir del análisis – y decidido por IA – donde el resultado del sistema se ejecuta sin una revisión humana significativa. En el segundo caso, la responsabilidad colapsa en la herramienta, que según el derecho vigente no tiene personalidad jurídica y no puede ser considerada responsable.

Las obligaciones de supervisión humana de la Ley de IA de la UE se recogen en el artículo 14.^[4] Para los sistemas de IA de alto riesgo incluidos en el Anexo III, el artículo 14 exige que las personas físicas que supervisen el sistema:

• Comprendan adecuadamente las capacidades y limitaciones del sistema.
• Sean conscientes del sesgo de automatización – la tendencia a depender en exceso del resultado del sistema.
• Interpreten correctamente el resultado del sistema.
• Puedan decidir, en cualquier situación concreta, no utilizar el sistema o anular o revertir su resultado.

Para los sistemas de alto riesgo incluidos en el Anexo III, estas obligaciones se aplican a partir del 2 de diciembre de 2027. Las empresas que construyan estructuras de gobernanza ahora – mientras las obligaciones son todavía anticipadas y no ejecutadas – tienen la ventaja de perfeccionar la documentación antes de que aumente el escrutinio.

La clasificación asistido por IA frente a decidido por IA debe figurar en el registro de aprobación. Obliga a la organización a afrontar la distinción en el momento de la decisión, cuando aún puede corregirse, y no en una investigación posterior cuando la distinción importa y las pruebas han desaparecido.

El Código de Gobierno Corporativo del Reino Unido de 2024 se aplica a las sociedades cotizadas premium para los ejercicios económicos que comiencen el 1 de enero de 2025 o después, sobre la base de cumplir o explicar.^[5]

La Disposición 29, que se aplica a partir de ejercicios económicos que comiencen el 1 de enero de 2026 o después, exige que los consejos emitan una declaración sobre la eficacia de sus controles internos materiales. Un proceso estratégico con apoyo de IA – en el que las recomendaciones que llegan al consejo se producen con asistencia de IA – es exactamente el tipo de control interno material sobre el que el consejo debe poder declarar.

Lo que implica la declaración en términos de evidencia

• Un proceso documentado: la política de responsabilidad existe, está actualizada y designa a los titulares.
• Registros por decisión: existen registros de aprobación para los análisis asistidos por IA significativos, con la versión del análisis adjunta.
• Evidencia de supervisión: el registro muestra un cuestionamiento genuino, incluidos los casos en que el revisor anuló la propuesta o la escaló.
• Visibilidad del consejo: el consejo o sus comisiones pueden describir cómo supervisan el marco.

El mecanismo de cumplir o explicar ofrece una válvula de seguridad: una empresa que aún no ha construido el rastro puede explicar qué hace en su lugar y por qué. Pero la explicación debe ser sustantiva. Las explicaciones que se reducen a «confiamos en el equipo» difícilmente satisfarán a reguladores o accionistas si una recomendación errónea asistida por IA se convierte en un incidente de gobernanza.

Un registro de aprobación defendible necesita cinco campos. Los cuatro primeros garantizan que el rastro sea reconstruible; el quinto es la clasificación que hace explícita la responsabilidad en el momento en que importa.

El quinto campo es el que más incomodidad genera a la mayoría de los equipos, porque obliga a dar una respuesta pública a una pregunta que la mayoría prefiere dejar ambigua. Pero es el campo que, más que ningún otro, crea la responsabilidad que se supone que debe proporcionar la estructura de gobernanza.

Este ejemplo es ilustrativo. Un equipo de estrategia corporativa prepara una recomendación de entrada en un mercado del Sudeste Asiático utilizando una plataforma de estrategia nativa de IA.

1. Encargo y datos de entrada: el analista presenta un encargo y carga estudios de mercado y datos financieros internos. El registro de aprobación incluye el texto del encargo, la lista de documentos y la fecha de presentación.
2. Versión del análisis: la plataforma devuelve una recomendación con fuentes citadas. El registro adjunta la versión del análisis – nombre de la plataforma, versión del modelo y fecha de generación.
3. Revisión: la directora de desarrollo corporativo del grupo actúa como revisora. Cuestiona los supuestos sobre el tamaño del mercado, verifica las fuentes citadas y solicita una nueva ejecución con un conjunto de opciones más amplio. Aprueba mediante firma electrónica, con la fecha registrada.
4. Clasificación de la decisión: el director de estrategia clasifica la decisión como asistida por IA. La clasificación queda registrada antes de que la recomendación suba a niveles superiores.
5. Documento del consejo: la recomendación llega al consejo con una nota de procedencia. El registro de aprobación se archiva junto al documento.

Dieciocho meses después, la entrada en el mercado rinde por debajo de lo esperado. El rastro muestra: quién decidió, sobre qué evidencia, y con qué supervisión. No que la recomendación fuera correcta – no lo era –, sino que la responsabilidad nunca estuvo en duda, y la organización puede examinar lo ocurrido sin disputas sobre quién era responsable de qué.

Decisity es una plataforma de consultoría estratégica nativa de IA que adjunta citas de fuentes a cada afirmación y mantiene el análisis trazable hasta sus datos de entrada, convirtiendo la adjunción de la versión y el mapa de afirmación a fuente en parte del flujo de trabajo estándar y no en una carga documental adicional.

Lecturas relacionadas:

• Marco de gobernanza de IA para consejos de administración
• Gestión del riesgo de IA para consejos: un marco para directivos
• Divulgación de la versión del modelo de IA: lo que necesita saber su consejo
• Por qué los decks de estrategia de IA reciben una revisión superficial: la solución de gobernanza

• EY Forensic & Integrity Services: La brecha de gobernanza y responsabilidad en la adopción de IA
• Stanford HAI AI Index 2026: IA responsable
• ISO/IEC 42001: Estándar de sistemas de gestión de IA explicado
• Ley de Inteligencia Artificial de la UE: Artículo 14, Medidas de supervisión humana
• Financial Reporting Council: Código de Gobierno Corporativo del Reino Unido 2024