Hay una paradoja que recorre los comités de riesgo de las organizaciones más sofisticadas del mundo en 2025: están adoptando inteligencia artificial para gestionar mejor sus riesgos mientras, simultáneamente, la propia inteligencia artificial se convierte en uno de sus riesgos más difíciles de gobernar. Esta tensión no es una contradicción que deba resolverse eligiendo un lado. Es la nueva realidad que define el trabajo del CRO, del Chief Compliance Officer y de cualquier líder responsable de la gestión de riesgos no financieros en sectores regulados.
Entender esa tensión con claridad, y saber cómo navegarla, es hoy una competencia directiva crítica.
El problema del que nadie habla en los reportes de riesgo
Durante la última década, la industria celebró el potencial de la analítica avanzada para transformar la gestión de riesgos: modelos predictivos para detección de fraude, algoritmos de monitoreo de transacciones en tiempo real, sistemas de scoring crediticio basados en machine learning. La promesa era seductora y, en parte, se cumplió. Pero en el camino, la mayoría de las organizaciones cometieron el mismo error: adoptaron la tecnología sin construir, en paralelo, la arquitectura de gobernanza que la tecnología requería.
Una encuesta global de EY sobre IA responsable, realizada en 2025 entre 975 líderes C-suite de organizaciones con más de 1.000 millones de dólares de facturación anual en 21 países, reveló que solo un tercio de las empresas tiene controles responsables para sus modelos de IA actuales, a pesar de que casi tres cuartas partes ya tienen IA integrada en iniciativas a lo largo de toda la organización.
El dato que más debería preocupar a los líderes de riesgo, sin embargo, no es ese. Cuando se pidió a los encuestados que identificaran los controles apropiados frente a cinco riesgos relacionados con la IA, solo el 12% de los ejecutivos C-suite respondió correctamente. Los CROs, que son en última instancia los responsables de los riesgos de IA, se situaron ligeramente por debajo de esa media, con un 11% de respuestas correctas.
En otras palabras: los líderes que son responsables de gestionar los riesgos de la IA son, en su mayoría, los menos preparados para identificar cómo controlarlos. Y el costo de esa brecha ya se está materializando. Casi la totalidad de las organizaciones encuestadas (99%) reportaron pérdidas financieras por riesgos relacionados con la IA, y casi dos tercios sufrieron pérdidas superiores al millón de dólares. La pérdida financiera promedio se estima conservadoramente en 4,4 millones de dólares. Los riesgos más frecuentes fueron el incumplimiento de regulaciones de IA (57%), los impactos negativos en objetivos de sostenibilidad (55%) y los sesgos en los resultados (53%).
La IA como herramienta: lo que realmente está cambiando en la primera y segunda línea
Más allá del ruido, la IA está generando transformaciones concretas y verificables en la forma en que operan las funciones de riesgo no financiero en sectores como banca, salud y logística.
En la primera línea de defensa, los modelos de detección de anomalías basados en aprendizaje automático permiten identificar patrones de comportamiento atípicos en tiempo casi real: transacciones fuera de perfil, accesos inusuales a sistemas críticos, variaciones en la cadena de suministro que podrían anticipar una disrupción. Lo que antes requería días de revisión manual ahora se detecta en minutos.
En la segunda línea, la IA está redefiniendo la función de cumplimiento. El monitoreo automatizado de cambios regulatorios, la lectura inteligente de contratos con terceros para identificar exposiciones de riesgo y la generación de reportes para reguladores con trazabilidad automatizada son capacidades que ya están operativas en las instituciones más avanzadas. Según la encuesta anual del IIF y EY sobre el uso de IA en servicios financieros, casi el 60% de las instituciones reporta que su inversión primaria sigue concentrada en IA predictiva, con especial énfasis en el fortalecimiento de las capacidades de evaluación de riesgos, el cumplimiento regulatorio y la detección y prevención de fraudes.
En la tercera línea, la auditoría interna impulsada por IA permite pasar de auditorías periódicas basadas en muestreo a un monitoreo continuo del universo completo de transacciones, controles y excepciones, con alertas automáticas ante desviaciones relevantes.
El resultado es una arquitectura de control más rápida, más amplia y, potencialmente, más precisa. Pero solo si se gobierna bien.
Los nuevos riesgos que la IA introduce en la gestión de riesgos no financieros
Aquí está la otra cara de la ecuación que los líderes ejecutivos no pueden ignorar. Al adoptar IA para gestionar riesgos, las organizaciones introducen simultáneamente una nueva capa de riesgos no financieros que, si no se gestionan con rigor, pueden generar consecuencias regulatorias, reputacionales y operacionales de primer orden.
El primer riesgo es el sesgo algorítmico. Los modelos de IA aprenden de datos históricos y, si esos datos reflejan patrones de discriminación o exclusión, el modelo los perpetúa y los escala. En sectores como banca y salud, donde las decisiones basadas en modelos tienen impacto directo sobre personas, este riesgo tiene implicaciones regulatorias y éticas inmediatas.
El segundo es la opacidad en la toma de decisiones, lo que en la industria se denomina el problema de la "caja negra". Cuando un modelo de IA rechaza una operación, niega un crédito o identifica a un cliente como de alto riesgo, los reguladores y los propios directivos necesitan poder explicar esa decisión. La exigencia de explicabilidad no es solo un requisito ético: es una condición de cumplimiento en marcos como la Ley de IA de la UE.
El tercero es la vulnerabilidad ante ataques específicamente diseñados para engañar a los sistemas de IA: envenenamiento de datos de entrenamiento, inyección de prompts maliciosos en sistemas de IA generativa, ataques de deepfake que buscan eludir sistemas de verificación de identidad o manipular procesos de toma de decisiones.
El marco de gobernanza: gobernar la IA con la misma disciplina con que se gobierna el riesgo
La respuesta a esta doble dimensión —la IA como herramienta y la IA como riesgo— no puede ser improvisada. Requiere una arquitectura de gobernanza construida sobre estándares internacionales maduros que ya están disponibles.
ISO/IEC 42001 es el primer estándar internacional de sistemas de gestión para IA. Aborda los desafíos únicos que plantea la inteligencia artificial, incluyendo las consideraciones éticas, la transparencia y el aprendizaje continuo. Para las organizaciones, establece una forma estructurada de gestionar los riesgos y oportunidades asociados a la IA, equilibrando la innovación con la gobernanza.
En 2025, las organizaciones más maduras están integrando estos marcos en sistemas más amplios de gobernanza empresarial, incluyendo ISO/IEC 42001, controles SOC 2 para IA, flujos de trabajo de conformidad con la Ley de IA de la UE y comités internos de riesgo. La gobernanza es la columna vertebral del NIST AI Risk Management Framework, y las organizaciones están transitando de discusiones informales sobre ética de IA hacia estructuras de gobernanza robustas que se alinean con cumplimiento, riesgo, seguridad y desarrollo de productos.
Para los líderes de riesgo en Iberoamérica, la combinación práctica más efectiva en este momento es la siguiente: ISO/IEC 42001 como sistema de gestión certificable del ciclo de vida de la IA, NIST AI RMF como metodología operativa para mapear, medir, gestionar y gobernar los riesgos de los sistemas de IA, y COBIT como marco de gobierno de TI que integra la IA dentro de los objetivos estratégicos de la organización con trazabilidad y rendición de cuentas.
El mandato para la alta dirección: no es solo un tema del área de tecnología
a un comité del directorio pasó del 6% al 20% en un solo año, según el EY Center for Board Matters. En el Fortune 100, el 44% ya menciona la inteligencia artificial en las cualificaciones que le exige a sus directores, casi el doble del 26% que lo hacía en 2023. Y el comité que absorbe esa responsabilidad, en la mayoría de los casos, es el de auditoría. La señal es inequívoca: la gobernanza de la IA escaló del área de tecnología al directorio, y lo hizo por la puerta del riesgo, no por la de la
¿Su organización ya dio este paso?
En IBEE acompañamos a equipos directivos y CROs en el diseño e implementación de marcos integrados de gestión de riesgos no financieros.
Contáctanos.
Preguntas frecuentes
¿Qué normas se usan para gobernar la inteligencia artificial en una organización?
Tres piezas que hacen cosas distintas. ISO/IEC 42001:2023 es el sistema de gestión de IA certificable: cláusulas 4 a 10 y un anexo de controles seleccionables con declaración de aplicabilidad. NIST AI Risk Management Framework 1.0 es la metodología operativa, con cuatro funciones: GOVERN, MAP, MEASURE y MANAGE, donde GOVERN es transversal y no una etapa. Y ISO/IEC 42005:2025, publicada en mayo de 2025, es la que baja a tierra la evaluación de impacto del sistema de IA. Certificable hay una sola: la 42001.
¿Cuánto pierden las empresas por riesgos vinculados a la IA?
El 99% de las organizaciones reportó pérdidas financieras por riesgos de IA, y el 64% superó el millón de dólares. La pérdida promedio, estimada de forma conservadora, es de 4,4 millones. Los datos son del EY Responsible AI Pulse survey de octubre de 2025, sobre 975 líderes C-suite de 21 países en compañías con facturación superior a los 1.000 millones de dólares. El dato incómodo del mismo estudio: solo el 12% de los C-suite identificó correctamente los controles apropiados frente a cinco riesgos de IA. Los CROs, responsables últimos del riesgo, quedaron por debajo del promedio: 11%.
¿Qué riesgos nuevos aparecen cuando se usa IA para gestionar riesgos?
El sesgo algorítmico, porque el modelo aprende de datos históricos y escala patrones de discriminación a velocidad de máquina. La opacidad, que impide explicarle a un regulador por qué el sistema negó un crédito. Y los ataques dirigidos: envenenamiento de datos, inyección de prompts y deepfakes contra la verificación de identidad. Este último ya no es hipotético: en 2024 un empleado de la ingeniería Arup transfirió el equivalente a 25,6 millones de dólares tras una videollamada donde el CFO y sus colegas eran recreaciones sintéticas.
¿Quién responde cuando un sistema de IA se equivoca?
La organización, no el proveedor ni el modelo. El precedente más claro es Moffatt contra Air Canada (Civil Resolution Tribunal, Columbia Británica, febrero de 2024): el chatbot de la aerolínea inventó una política de tarifas y el tribunal rechazó expresamente el argumento de que el chatbot era una entidad separada responsable de sus propios actos. La condena fue trivial en monto; el precedente no. Traducción para un directorio: la IA no traslada responsabilidad, la concentra.
¿Qué obligaciones del Reglamento de IA de la Unión Europea ya están vigentes?
Las prohibiciones de prácticas de IA y la obligación de alfabetización rigen desde el 2 de febrero de 2025. Las obligaciones sobre modelos de propósito general, gobernanza y sanciones, desde el 2 de agosto de 2025. Lo que se corrió es el régimen de alto riesgo: el paquete de simplificación aprobado en junio de 2026 lo movió al 2 de diciembre de 2027 para los sistemas del Anexo III y al 2 de agosto de 2028 para la IA embebida en productos regulados. La ventana no se cerró, se movió. Y las prohibiciones ya rigen.
¿Qué regula LATAM sobre inteligencia artificial hoy?
Menos de lo que se cree. A mediados de 2026, Perú es el único de la región con ley y reglamento vigentes: la Ley 31814 y su reglamento, aprobado por Decreto Supremo 115-2025-PCM, en vigencia desde el 22 de enero de 2026, con usos prohibidos y obligaciones de transparencia algorítmica. Brasil tiene el PL 2338, aprobado por el Senado en diciembre de 2024 y todavía en trámite en Diputados. Chile tiene un proyecto en el Senado. Colombia tiene política pública, el CONPES 4144, que no es una ley vinculante para privados. México tiene una iniciativa, no una ley. Para un grupo regional, esto significa que la exposición no viene de la ley local sino de los contratos y de los reguladores sectoriales.
La formación y el desarrollo profesional no son un gasto, sino una inversión estratégica que impulsa el crecimiento individual y organizacional. Priorizar la capacitación es clave para mantenerse competitivo en un entorno laboral en constante evolución.
¿Te has preguntado cómo gestionar eficazmente estos riesgos?
¡No busques más!
En Iberoamericana Educación Ejecutiva, hemos creado programas pensando en tus necesidades de información y formación.
Nuestros expertos internacionales han diseñado un completo Programa al respecto para brindarte las herramientas necesarias para comprender y enfrentar estos desafíos de manera efectiva.
¡No esperes más para inscribirte!
Los programas de formación ya están disponibles y estamos aquí para ayudarte a ampliar tus conocimientos y habilidades en esta área crucial.
