La gobernanza empresarial de la IA ante el nuevo marco regulatorio peruano

1. Introducción: de la adopción a la gobernanza de la inteligencia artificial

La incorporación de la inteligencia artificial (en adelante, “IA”) en las empresas ha dejado de ser un fenómeno experimental. De acuerdo con el AI Index Report 2026 de Stanford, el 88 % de las organizaciones encuestadas utilizaba IA en al menos una función empresarial en el año 2025 y el 70 % empleaba inteligencia artificial generativa (Stanford University Human-Centered Artificial Intelligence, 2026). El desafío para las empresas ya no parece ser, por tanto, únicamente en acceder a esta tecnología, sino en determinar cómo integrarla adecuadamente en sus procesos y cómo gestionar los riesgos derivados de su uso. 

Por su lado, Deloitte reporta que cerca del 60 % de los trabajadores a nivel global ya trabaja con soluciones de IA aprobadas por las empresas donde laboran; sin embargo, solo una de cada cuatro organizaciones ha logrado implementar al menos el 40 % de sus iniciativas de IA (Deloitte, 2026). Más significativo aún es que el 84 % no ha rediseñado los puestos de trabajo ni los flujos operativos para integrar estas herramientas, lo que permite concluir que la IA se incorpora a las empresas con mayor rapidez que los procesos, responsabilidades y controles destinados a ordenar su uso (Deloitte, 2026).

Dicho contexto coincide con el desarrollo de un marco regulatorio específico. La Ley 31814 (en adelante, “la Ley”) estableció las bases para promover el uso de la IA en favor del desarrollo económico y social del país y, posteriormente, el Decreto Supremo 115-2025-PCM aprobó su Reglamento (en adelante, “el Reglamento”) y desarrolló reglas orientadas al uso seguro, ético, transparente y responsable de los sistemas basados en IA.

Desde esta perspectiva, la pregunta relevante para las empresas ya no es solamente si deben utilizar IA, sino cómo deben gobernarla. 

2. ¿Qué significa gobernar la IA en una empresa?

La gobernanza de la IA no se agota en la aprobación de una política interna ni en la definición de reglas para el uso de herramientas de IA generativa. Supone, en términos más amplios, establecer una estructura que permita a la organización conocer cómo y para qué utiliza sistemas de IA, identificar los riesgos asociados a esos usos y definir responsabilidades y controles para gestionarlos durante su implementación y funcionamiento. McKinsey la describe, precisamente, como el conjunto de políticas, procesos y tecnologías necesarias para desarrollar y desplegar sistemas de IA de manera responsable (McKinsey & Company, 2025).

Esta aproximación resulta especialmente relevante porque el uso empresarial de IA no se produce necesariamente de manera centralizada. En efecto, una empresa puede incorporar sistemas de IA como parte de sus plataformas corporativas y, al mismo tiempo, contar con trabajadores que – sin que la empresa lo sepa o lo controle - utilizan herramientas generativas para redactar documentos, analizar información o automatizar determinadas tareas. Del mismo modo, la IA puede encontrarse integrada en soluciones provistas por terceros sin que sus usuarios identifiquen necesariamente cada componente automatizado que interviene en el proceso. Por ello, una condición básica para gobernar la IA consiste en conocer qué sistemas se utilizan, con qué finalidad, qué información procesan y qué consecuencias pueden derivarse de sus resultados.

Sin embargo, identificar las herramientas constituye solo el punto de partida. Un modelo de gobernanza requiere también diferenciar los riesgos asociados a cada caso de uso, lo que  permite abandonar una aproximación uniforme — en la que todos los sistemas reciben los mismos controles — y adoptar medidas proporcionales a la naturaleza, finalidad e impacto potencial de cada uso.

La estructura concreta del sistema de gobernanza dependerá del tamaño, actividad y nivel de exposición de cada empresa, pero debería permitir determinar quién evalúa los riesgos, quién autoriza los usos que requieren un mayor nivel de control, quién supervisa su funcionamiento y cómo se gestionan los incidentes que pudieran producirse.

Gobernar la IA supone, finalmente, que los principios y políticas que se implementen dentro de una empresa puedan traducirse en decisiones y controles concretos. Esto implica determinar qué usos se encuentran permitidos, cuáles requieren una evaluación previa y cuáles no deberían admitirse; establecer niveles adecuados de supervisión humana; documentar las decisiones relevantes; capacitar a quienes utilizan o supervisan estos sistemas; y contar con mecanismos que permitan detectar incidentes, corregir desviaciones y revisar periódicamente los controles implementados. La gobernanza debe entenderse, por ello, como un proceso continuo y no como el cumplimiento puntual de una política.

Esta concepción resulta particularmente útil para aproximarse al nuevo marco regulatorio peruano, pues la Ley y su Reglamento no establecen necesariamente un modelo organizativo único que todas las empresas deban reproducir. Sin embargo, la incorporación de principios y reglas vinculados con el enfoque basado en riesgos, la transparencia, la supervisión humana y determinados usos de IA proporciona un marco a partir del cual corresponde preguntarse qué exigencias recaen efectivamente sobre los actores privados y qué criterios pueden orientar la construcción de sus propios mecanismos de gobernanza.

3. El marco regulatorio peruano: de la promoción de la IA a un enfoque basado en riesgos

La regulación peruana de la IA parte de una lógica de promoción antes que de restricción y una de las características más relevantes del Reglamento es la incorporación de un enfoque basado en riesgos, pues la norma diferencia entre usos indebidos —y, por tanto, prohibidos—, usos de riesgo alto y usos de riesgo aceptable. Esta clasificación resulta relevante desde la perspectiva de la gobernanza empresarial porque permite asociar la intensidad de los controles a los riesgos que puede generar cada sistema. En efecto, el propio Reglamento recoge, entre sus principios, que las medidas de fiabilidad y seguridad deben ser proporcionales al nivel de riesgo y exige considerar las amenazas, vulnerabilidades, probabilidad de ocurrencia e impacto asociados al desarrollo, implementación y uso de sistemas de IA.

Dentro de la primera categoría, el artículo 23 considera indebidos determinados usos que pueden producir afectaciones particularmente graves a los derechos fundamentales, casos en los que la consecuencia regulatoria no consiste en imponer controles adicionales, sino en considerar prohibido su uso.

De otro lado, tenemos al uso de riesgo alto, el que no se encuentra prohibido, pero su utilización justifica un mayor nivel de control debido al impacto que pueden producir sobre la vida, dignidad, libertad, seguridad u otros derechos fundamentales. La relevancia empresarial de esta categoría resulta evidente: el Reglamento incluye dentro de los supuestos de riesgo alto determinados sistemas utilizados en ámbitos como salud, educación, empleo y gestión de trabajadores, servicios financieros y otros escenarios capaces de producir consecuencias significativas sobre las personas.

Esta clasificación tiene consecuencias concretas. Por ejemplo, cuando la IA implique un uso de riesgo alto, la Empresa debe establecer mecanismos de transparencia que permitan informar previamente al usuario, de manera clara y sencilla, sobre la finalidad del sistema, sus principales funcionalidades y el tipo de decisiones que puede adoptar. Cuando las decisiones impacten en derechos humanos (derechos laborales, por ejemplo, tales como contratación, evaluación de desempeño, despidos, etc.), debe garantizarse además una explicación de los resultados que permita comprender los criterios y factores relevantes utilizados en la decisión automatizada. El Reglamento contempla asimismo el etiquetado visible de sistemas, productos, servicios o contenidos operados con IA cuando resulte relevante para la interacción o decisión del usuario.

El Reglamento diferencia expresamente las obligaciones de las entidades públicas de aquellas correspondientes a las organizaciones privadas. Esta separación resulta jurídicamente relevante, pues se han establecido obligaciones específicas para las entidades de la Administración Pública que no son exigibles a las empresas.

Sin embargo, ello no significa que el sector privado quede sujeto únicamente a recomendaciones, pues se han regulado obligaciones específicas para las empresas, tales como: (i) implementar mecanismos de supervisión humana, así como un registro actualizado sobre los principios de funcionamiento del sistema, las fuentes de datos utilizadas, la lógica del algoritmo y sus impactos sociales y éticos esperados en usos de IA de riesgo alto; (ii) establecer políticas, protocolos y procedimientos orientados a preservar la seguridad y privacidad y promover la transparencia, explicabilidad y rendición de cuentas; y (iii) fomentar la educación y concientización de los colaboradores respecto de los riesgos asociados al uso de IA.

La evaluación de impacto previo a la implementación o desarrollo de la IA, en cambio, puede realizarse voluntariamente, a fin de identificar y minimizar riesgos potenciales. Cuando se realiza dicha evaluación, sus hallazgos y las medidas correctivas deben documentarse y conservarse por un periodo mínimo de tres años. 

Esta combinación de prohibiciones, obligaciones y mecanismos voluntarios es relevante para comprender el modelo peruano. El Reglamento no prescribe una única forma de gobernanza para todas las empresas ni exige que todas adopten idénticos controles, pero sí establece un marco en el que la naturaleza del uso y el nivel de riesgo determinan progresivamente la intensidad de las medidas exigibles, al tiempo que incorpora estándares que pueden servir para estructurar controles adicionales de manera proporcional. En esa lógica, la gobernanza empresarial no debería comenzar por crear un comité o aprobar una política, sino por una pregunta anterior: qué sistemas de IA utiliza la organización y qué nivel de riesgo corresponde a cada uno de ellos.

4. De la norma a la organización: la gobernanza como responsabilidad empresarial

El marco legal analizado permite advertir que el uso responsable de la IA no puede reducirse al cumplimiento aislado de determinadas obligaciones. En la práctica, la diversidad de herramientas disponibles, la variedad de áreas que pueden utilizarlas y los distintos niveles de riesgo asociados a cada aplicación hacen necesario que las empresas desarrollen una aproximación organizacional que les permita mantener un grado razonable de conocimiento y control sobre el uso de IA en sus operaciones.

1. Premisa necesaria: cada IA tiene su propio riesgo.- El punto de partida es reconocer que no todos los usos de IA plantean los mismos, lo que resulta especialmente relevante en el ámbito empresarial, pues una herramienta utilizada para apoyar tareas administrativas difícilmente puede recibir el mismo tratamiento que un sistema que interviene en decisiones que afectan el acceso al empleo, las condiciones laborales, la salud o determinados servicios financieros. En efecto, no plantea las mismas implicancias utilizar IA para resumir un documento de acceso público que emplearla para filtrar candidatos en un proceso de selección, evaluar el desempeño de trabajadores, determinar el acceso de una persona a un producto financiero o intervenir en decisiones relacionadas con su salud. La gobernanza requiere, por ello, que la intensidad de los controles guarde relación con la finalidad del sistema y con el impacto que sus resultados puedan producir sobre las personas. 
2. Esta diferenciación presupone, a su vez, que la organización tenga visibilidad sobre el uso de IA dentro de sus operaciones y en el contexto actual muchas de estas herramientas vienen siendo utilizadas incluso sin una decisión corporativa expresa dirigida a implementarlas. El desafío de gobernanza no se limita, entonces, a los sistemas adquiridos o desarrollados formalmente por la empresa, sino que comprende también la capacidad de establecer criterios internos respecto de las condiciones en que estas herramientas pueden ser utilizadas y los riesgos que deben ser considerados.
3. Responsabilidad.- La IA plantea riesgos que difícilmente pueden ser administrados desde una única especialidad. Dependiendo del caso de uso, pueden encontrarse comprometidas materias vinculadas con protección de datos personales, relaciones laborales, seguridad de la información, propiedad intelectual, protección al consumidor o responsabilidad contractual, entre otras. Esto exige una adecuada articulación entre las áreas involucradas y, especialmente respecto de los usos de mayor impacto, mecanismos que permitan que las decisiones relevantes sean conocidas y supervisadas por los niveles correspondientes de la organización. En la encuesta global de McKinsey de 2025, el 28% de los encuestados vinculados a organizaciones que utilizaban IA señaló que el CEO tenía responsabilidad sobre la gobernanza de esta tecnología y el 17 % indicó que dicha supervisión correspondía al directorio, siendo usual – además - la responsabilidad compartida (McKinsey & Company, 2025). El mismo estudio encontró una correlación entre la supervisión de la gobernanza por el CEO y un mayor impacto económico reportado por el uso de IA generativa, particularmente en organizaciones de mayor tamaño. Esta evidencia no permite afirmar que determinada estructura de gobierno produzca por sí misma mejores resultados económicos, pero sí muestra que la gobernanza de IA está dejando de ser tratada exclusivamente como una cuestión tecnológica (McKinsey & Company, 2025).
4. Supervisión Humana.- La supervisión humana constituye otra dimensión fundamental. Su relevancia aumenta cuando los sistemas participan en decisiones susceptibles de producir efectos significativos sobre las personas (por ejemplo, en la gestión de RRHH). El Reglamento recoge esta preocupación al exigir, para determinados sistemas de riesgo alto, que quien ejerza la supervisión cuente tanto con conocimientos suficientes para evaluar críticamente los resultados como con capacidad efectiva para detener, corregir o invalidar las decisiones del sistema. La intervención humana no debería entenderse, por tanto, como una validación meramente formal de un resultado automatizado, sino como la posibilidad real de cuestionarlo y modificarlo cuando las circunstancias lo requieran.
5. Trazabilidad.-  Conforme aumenta la participación de sistemas automatizados en los procesos empresariales, también aumenta la importancia de poder identificar razonablemente las condiciones en las que fueron utilizados y los controles aplicados. Esta preocupación se refleja en las obligaciones de registro previstas por el Reglamento para determinados sistemas de riesgo alto y en sus disposiciones sobre transparencia y explicabilidad. La posibilidad de reconstruir una decisión resulta particularmente relevante cuando sus consecuencias son cuestionadas posteriormente por una persona afectada o por una autoridad.
6. Capacitación.- Ningún modelo de gobernanza resulta sostenible si quienes utilizan la IA desconocen sus riesgos y limitaciones. La capacitación adquiere así una función que excede el aprendizaje técnico sobre el funcionamiento de determinadas aplicaciones. Implica que los trabajadores comprendan qué información puede ser procesada, cuáles son los límites de confiabilidad de los resultados, en qué situaciones se requiere una revisión adicional y qué consecuencias puede generar un uso inadecuado. Esta dimensión encuentra también respaldo en el Reglamento, que contempla el fomento de la educación y concientización a los colaboradores respecto de los riesgos asociados al uso de IA.
7. Estas dimensiones muestran que la gobernanza no responde a una fórmula organizativa única. Su configuración dependerá, entre otros factores, de la actividad de la empresa, los sistemas utilizados, la finalidad de estos y el nivel de riesgo que generen. Lo relevante es que la incorporación de IA no ocurra al margen de las estructuras de responsabilidad y control de la organización. 

Además, los mecanismos de gobernanza deberían ser proporcionales al riesgo y evitar tanto la ausencia de controles frente a usos capaces de producir consecuencias significativas como la imposición de cargas innecesarias sobre aplicaciones de menor impacto. En ese sentido, la gobernanza debe entenderse no como el límite de la innovación, sino como una de las condiciones que permiten incorporarla de manera responsable y sostenible.

La próxima entrada en vigencia del Reglamento en las empresas de sectores salud, educación, justicia, seguridad, economía y finanzas representa, en ese sentido, una oportunidad para que las empresas revisen cómo están incorporando la IA en sus procesos. Antes que reproducir estructuras o controles de manera indiscriminada, el desafío consiste en comprender los usos existentes y determinar qué nivel de responsabilidad y supervisión corresponde en cada caso.

Por lo tanto, la pregunta ya no es únicamente qué puede hacer una empresa con IA, sino bajo qué condiciones está dispuesta a utilizarla y asumir responsabilidad por sus resultados. Ese tránsito —de adoptar IA a gobernarla— será probablemente uno de los principales desafíos del gobierno corporativo en los próximos años.

Bibliografía

Deloitte. (Enero de 2026). Deloitte. Recuperado el Agosto de 2026, de Research: El estado de la IA en las empresas: https://www.deloitte.com/es/es/services/consulting/research/estado-ia-en-las-empresas.html

McKinsey & Company. (12 de Marzo de 2025). McKinsey & Company. Recuperado el Julio de 2026, de El estado de la IA en el 2025: Cómo se transforman las organizaciones para capturar valor: https://www.mckinsey.com/locations/south-america/latam/hispanoamerica-en-potencia/el-estado-de-la-ia-como-se-renuevan-las-organizaciones-para-capturar-valor/es-CL

Stanford University Human-Centered Artificial Intelligence. (2026). The 2026 AI Index Report. Recuperado el Agosto de 2026, de https://hai.stanford.edu/ai-index/2026-ai-index-report