Operar inteligencia artificial sin gobierno le cuesta a una empresa en México mucho más que la licencia: le cuesta decisiones automáticas que nadie puede explicar, auditar ni corregir a tiempo. El Cost of a Data Breach Report 2026 de IBM documenta que una brecha que involucra un modelo de inteligencia artificial cuesta 5.33 millones de dólares, frente a 4.70 millones sin él.
Escribo este artículo en octubre de 2026, el mes en que una categoría nueva de inteligencia artificial, los modelos de decisión, pasó de no existir a aparecer en todas partes. Estos modelos ya no redactan texto: reciben los datos de un caso y devuelven un sí o un no con una probabilidad. Para las empresas medianas de México y de América Latina que hoy conectan inteligencia artificial a cobranza, crédito, atención a clientes, recursos humanos o seguridad, la pregunta dejó de ser si conviene adoptarla. La pregunta ahora es quién responde por lo que decide.
En resumen
- Los modelos de decisión entregan una respuesta con probabilidad por una fracción de centavo, lo que vuelve barata la automatización y cara la decisión equivocada.
- Una respuesta con formato perfecto puede ser incorrecta: un modelo de inteligencia artificial solo es tan bueno como la información que recibe.
- En un análisis de 25 millones de alertas de seguridad publicado en octubre de 2026, el 51% de los equipos con una infección activa ya figuraba como mitigado.
- Según el Cost of a Data Breach Report 2026 de IBM, el 92% de las organizaciones con una brecha que involucró un modelo de inteligencia artificial carecía de controles de acceso adecuados sobre ese modelo.
- El gobierno de inteligencia artificial bajo ISO/IEC 42001 convierte cada decisión automática en un proceso con responsable, umbral, evidencia y registro.
¿Qué son los modelos de decisión y por qué llegaron tan rápido?
Un modelo de decisión es un tipo de inteligencia artificial que no genera texto: recibe el estado de un caso y un conjunto de preguntas cerradas, y devuelve una opción, una calificación o un sí o un no acompañado de una probabilidad. De acuerdo con un artículo publicado por The Hacker News el 16 de octubre de 2026, en un solo mes varios proveedores lanzaron modelos de este tipo, entre ellos una API de decisiones de OpenAI en beta pública desde el 6 de octubre.
El atractivo para una dirección general es evidente. Una respuesta con probabilidad permite automatizar con un umbral: por arriba de cierto nivel de confianza el sistema actúa solo, y por debajo escala el caso a una persona. Según el mismo artículo de The Hacker News, el costo de uso es tan bajo que analizar 450,000 casos al año con uno de estos modelos puede costar alrededor de cien dólares.
Cuando una tecnología cuesta casi nada, la tentación es conectarla a todo. Así funciona el hype de la inteligencia artificial en 2026, y así empieza también el costo que ninguna empresa puso en su presupuesto: el de las decisiones que el sistema toma solo, sin que nadie haya definido cuáles le corresponden.
¿Por qué una inteligencia artificial que no alucina todavía se equivoca?
Una inteligencia artificial que no alucina todavía se equivoca porque decide con la información que recibe, no con la que le falta. Cuando un proveedor afirma que su modelo de decisión no puede alucinar, quiere decir que la respuesta siempre respeta el formato que se definió. Una respuesta con formato impecable puede ser, al mismo tiempo, una respuesta incorrecta.
El ejemplo más claro viene del propio artículo de The Hacker News, escrito por un proveedor de plataformas de operación de seguridad. En su análisis de 25 millones de alertas de 2025, 82,000 equipos pasaron por una revisión de memoria en vivo, alrededor de 2,600 tenían una infección activa y el 51% de esos equipos infectados ya había sido reportado como mitigado por la herramienta de protección instalada. Un modelo bien calibrado habría cerrado esas alertas con alta confianza, porque toda la información que recibió decía que el problema estaba resuelto.
La lección no es exclusiva de la ciberseguridad. Un modelo de inteligencia artificial que aprueba un crédito con un expediente incompleto, que descarta a un candidato con datos mal capturados o que marca como fraude a un cliente legítimo cometió el mismo error: respondió con precisión a una pregunta mal planteada. El modelo hizo su trabajo; lo que falló fue el proceso que nadie gobernaba.
¿Cuánto le cuesta a una empresa operar inteligencia artificial sin gobierno?
Operar inteligencia artificial sin gobierno encarece cada incidente. Según el Cost of a Data Breach Report 2026 de IBM, una brecha que involucra un modelo de inteligencia artificial cuesta 5.33 millones de dólares, frente a 4.70 millones cuando no hay modelo involucrado, y el 92% de esas organizaciones carecía de controles de acceso adecuados sobre el modelo.
Para una empresa en América Latina, la referencia más cercana está en el mismo informe: el Cost of a Data Breach Report 2026 de IBM sitúa el costo promedio de una brecha en la región en 4.65 millones de dólares, frente a 3.81 millones del año anterior. Esa cifra rara vez aparece en el caso de negocio con el que se aprobó una herramienta de inteligencia artificial.
El costo que ningún informe mide es el de las decisiones silenciosas: créditos otorgados con un umbral que nadie revisó, cobranza que presiona al cliente equivocado, descuentos aprobados de forma automática. Ese costo se acumula durante meses antes de aparecer en un estado de resultados. Por eso en Sentelius lo cuantificamos en pesos con el Diagnóstico y optimización de infraestructura TI antes de recomendar cualquier herramienta.
El hype de la inteligencia artificial y el error de comprar el modelo primero
El error más frecuente que observo en empresas medianas de México es adoptar la herramienta de inteligencia artificial antes de definir qué decisión va a tomar, con qué información y quién responde por ella. El hype empuja en esa dirección: cada proveedor anuncia el modelo más rápido o más barato, y la conversación interna termina siendo una comparación de precios por consulta.
Comparto el argumento central del artículo de The Hacker News: los modelos de frontera mejoran cada pocos meses y toda la competencia recibe la mejora el mismo día. La ventaja de una empresa no está en el modelo, que es igual para todos, sino en el contexto que lo alimenta: sus datos, sus reglas y su conocimiento de lo que es normal en su propia operación.
En muchas empresas mexicanas ese contexto vive en la cabeza de dos o tres colaboradores con antigüedad. Cuando uno de ellos se va, la inteligencia artificial pierde la referencia y nadie lo nota hasta que una decisión automática sale mal. Una empresa sin gobierno de inteligencia artificial termina automatizando un criterio que nunca puso por escrito.
A eso se suma el uso no autorizado: colaboradores que pegan datos de clientes en herramientas gratuitas de inteligencia artificial para resolver una tarea del día. Es la versión de 2026 del shadow IT y lo que le cuesta a una empresa en México, con un agravante: en México esos datos personales siguen sujetos a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), y la responsabilidad es de la empresa, no del proveedor de la herramienta.
Qué distingue a una inteligencia artificial gobernada de una que solo está instalada
Una inteligencia artificial gobernada es la que permite a la dirección de una empresa contestar cinco preguntas con evidencia, en cualquier momento y ante cualquier cliente o auditor. Una inteligencia artificial que solo está instalada deja esas preguntas sin respuesta, o con la respuesta que el proveedor decidió por defecto.
| Pregunta de la dirección | Inteligencia artificial sin gobierno | Inteligencia artificial gobernada bajo ISO/IEC 42001 |
|---|---|---|
| ¿Quién responde por la decisión? | Nadie lo tiene asignado | Un responsable con nombre por cada proceso automatizado |
| ¿Cuándo actúa sola y cuándo escala a una persona? | El proveedor lo definió por defecto | La dirección aprueba los umbrales, más estrictos para lo que no tiene marcha atrás |
| ¿Con qué información decidió? | Con la que el sistema encontró | Con evidencia definida, suficiente y verificable |
| ¿Se puede auditar? | Solo el resultado final | Cada decisión queda registrada con su probabilidad y su resultado real |
| ¿Sigue acertando? | Se supone que sí | Se mide contra lo que ocurrió en la operación de la propia empresa |
Ninguna de estas cinco preguntas es técnica: las cinco son preguntas de dirección. La norma ISO/IEC 42001:2023 existe para que una empresa pueda contestarlas con evidencia frente a un cliente, un auditor o su consejo. En el artículo sobre la alineación a ISO 42001 para empresas mexicanas explico qué cubre la norma; aquí importa lo que cambia en el negocio: la inteligencia artificial deja de ser una caja negra y se convierte en un proceso con dueño.
Cómo ayudamos en Sentelius a gobernar la inteligencia artificial
En Sentelius el gobierno de inteligencia artificial no se entrega como un manual de políticas que nadie lee. Se integra a la dirección de seguridad de la empresa y a la plataforma donde vive la evidencia, y se articula con los servicios que cada empresa necesita según su momento de adopción.
- Diagnóstico y optimización de infraestructura TI: ubica qué herramientas de inteligencia artificial ya operan en la empresa, autorizadas o no, y traduce a pesos el riesgo que cargan.
- Consultoría vCISO: la dirección de seguridad externa de Sentelius incluye la evaluación del uso de inteligencia artificial generativa bajo ISO/IEC 42001 y el cumplimiento de la LFPDPPP, y se articula con el programa de Gobierno de IA cuando la adopción es más profunda.
- Certia: la plataforma GRC en español donde vive el sistema de gestión, con ISO/IEC 42001:2023 preconfigurada desde el primer día. La inteligencia artificial redacta los borradores y el criterio lo pone siempre una persona con credencial en la norma.
- Dirección tecnológica: define qué herramienta de inteligencia artificial conviene adoptar, con qué proveedor y para qué decisión, antes de que la empresa firme un contrato.
- Awareness y concientización: prepara a los colaboradores frente al fraude con inteligencia artificial, incluidos los deepfakes de audio y video, con simulaciones antes de que un actor malicioso los use contra la empresa.
Lo que no prometo es que el gobierno elimine el error de un modelo de inteligencia artificial, porque ningún gobierno lo logra. Lo que sí entregamos es que la empresa sepa cuándo se equivocó el modelo, por qué ocurrió y quién lo corrige, antes de que el error llegue a un cliente o a un estado de resultados.
Preguntas frecuentes
¿Qué es el gobierno de inteligencia artificial en una empresa?
El gobierno de inteligencia artificial en una empresa es el conjunto de responsables, reglas, umbrales y registros que define qué decisiones puede tomar un sistema de inteligencia artificial, con qué información y quién responde por ellas. La norma internacional de referencia es ISO/IEC 42001:2023, que permite demostrarlo con evidencia ante clientes, auditores y autoridades.
¿Cuánto cuesta una brecha que involucra inteligencia artificial?
Según el Cost of a Data Breach Report 2026 de IBM, una brecha que involucra un modelo de inteligencia artificial cuesta en promedio 5.33 millones de dólares, frente a 4.70 millones cuando no hay modelo involucrado. El mismo informe sitúa el costo promedio de una brecha en América Latina en 4.65 millones de dólares, frente a 3.81 millones del año anterior.
¿Qué es un modelo de decisión de inteligencia artificial?
Un modelo de decisión de inteligencia artificial es un modelo que no genera texto: recibe los datos de un caso y preguntas cerradas, y devuelve una opción, una calificación o un sí o un no con una probabilidad. Esa probabilidad permite automatizar con umbrales, pero no garantiza que la respuesta sea correcta si la información de entrada está incompleta.
¿Mi empresa necesita ISO 42001 si solo usa herramientas comerciales de inteligencia artificial?
Una empresa que solo usa herramientas comerciales de inteligencia artificial también necesita gobierno si esas herramientas procesan datos de clientes o toman decisiones sobre personas, dinero u operación. La certificación ISO/IEC 42001 es una decisión de negocio; el control no es opcional, porque la responsabilidad ante los clientes y ante la LFPDPPP sigue siendo de la empresa.
¿Cuánto tiempo toma empezar a gobernar la inteligencia artificial en una empresa mediana?
En Sentelius el punto de partida es un diagnóstico de diez días que ubica qué herramientas de inteligencia artificial operan en la empresa y qué riesgo cargan, sin detener la operación. El programa de gobernanza arranca la semana siguiente al diagnóstico, con el alcance que apruebe la dirección de la empresa.
Sepa qué decide hoy la inteligencia artificial en su empresa
Si su empresa ya usa inteligencia artificial y nadie puede decir qué decide, con qué información y quién responde por ello, esa es la primera brecha que conviene cerrar. Solicite el diagnóstico de riesgo tecnológico gratuito de Sentelius y reciba una primera lectura de la exposición de su empresa, el punto de partida para decidir qué gobernar primero.
Gobierne la inteligencia artificial antes de que decida por su empresa
El diagnóstico gratuito ubica la exposición tecnológica de su empresa y el primer paso para gobernarla.
Autor:
Alejandro Tapia
Chief Technology & Security Officer en Sentelius
Más de una década en arquitectura tecnológica y ciberseguridad, y cuatro años como director de seguridad de la información de una empresa global. Ingeniero en Tecnologías de la Información, con las certificaciones ISO/IEC 42001 Lead Auditor Professional Certification y Certified ISO 27001 Lead Auditor de CertiProf. Escribe sobre cómo gobernar la inteligencia artificial en empresas de México.