La cuestión de quién es responsable de los asuntos éticos y legales que plantea la IA es una de las preguntas más incómodas en la conversación de liderazgo sobre IA, y también una de las más trascendentes. La incomodidad proviene de cómo la pregunta cruza los límites entre la función de tecnología, la función legal, la función de cumplimiento, la línea de negocio, el equipo ejecutivo, el consejo y las partes externas como proveedores y reguladores, y la trascendencia surge de cómo una versión no respondida de la pregunta se convierte en la respuesta que la empresa menos desea cuando ocurre un incidente y no se ha asignado la responsabilidad. Las empresas que gestionan bien la cuestión hacen el trabajo de asignar la responsabilidad deliberadamente antes del incidente en lugar de descubrir la asignación en el momento posterior.
La respuesta honesta a la pregunta es que la responsabilidad sobre la ética y los asuntos legales de la IA se comparte entre un conjunto definido de roles, la forma de ese reparto es algo que la empresa debe diseñar en lugar de heredar, y el diseño debe ser lo bastante específico para ser operativo y no una declaración genérica de que todos son responsables de todo. Este texto recorre las categorías de asuntos éticos y legales que realmente surgen, los roles que tienen una parte definida de la responsabilidad, el modelo operativo que convierte el mapa de responsabilidades en una práctica de trabajo, los patrones que han funcionado, los patrones que han fracasado y la postura práctica que convierte la pregunta en un plan que el equipo directivo pueda respaldar.
Las categorías de asuntos que realmente están en alcance
El primer paso para responder de forma útil a la pregunta de responsabilidad es ser específico sobre de qué es exactamente responsable la empresa. La frase ética de la IA y asuntos legales cubre un territorio amplio, y el mapa de responsabilidades difiere según cada categoría.
Privacidad y protección de datos. El tratamiento de datos personales mediante sistemas de IA entra dentro de los regímenes de protección de datos bajo los que la empresa ya opera, con consideraciones adicionales específicas de la IA como el uso de datos personales para entrenamiento, la inferencia de atributos sensibles y los derechos del interesado en el contexto del tratamiento automatizado. El alcance incluye el uso de IA por parte de la propia empresa y el uso de los datos de la empresa por sistemas de IA de proveedores.
Sesgo y equidad. Los sistemas de IA que despliega la empresa pueden producir resultados que perjudiquen sistemáticamente a grupos, y la empresa asume responsabilidad por los patrones que sus sistemas generan en las categorías que importan para la ley, el regulador, el cliente y la plantilla. El alcance incluye los casos de uso que afectan al empleo, crédito, seguros, vivienda, salud y otras categorías reguladas, y se extiende a los casos de uso orientados al consumidor donde los patrones de desventaja podrían ser reputacionalmente relevantes.
Transparencia y divulgación. La empresa tiene obligaciones de divulgar el uso de IA en determinados contextos, incluidos los regímenes regulatorios que requieren aviso para decisiones automatizadas, las normas de protección al consumidor que rigen la divulgación de contenido generado por IA y los compromisos contractuales que exigen notificación a las contrapartes. El alcance se está ampliando conforme se desarrolla el panorama regulatorio, y las obligaciones de divulgación ahora se extienden más allá de las categorías que originalmente estaban en vista.
Propiedad intelectual. Los sistemas de IA que usa la empresa pueden generar resultados que planteen cuestiones de propiedad intelectual en varias direcciones, entre ellas los datos de entrenamiento utilizados por el proveedor, la titularidad de las salidas que produce la IA, la concesión de licencias del contenido de la empresa para fines de IA y el riesgo de infracción en las salidas de IA que la empresa publica. El alcance no está resuelto en aspectos importantes, y la empresa debe operar frente a un panorama legal en evolución más que frente a uno final.
Seguridad. Los sistemas de IA que despliega la empresa introducen consideraciones de seguridad más allá del trabajo estándar de seguridad tecnológica, incluida la protección del modelo y de los prompts frente a extracción, la prevención de la inyección de prompts que podría causar que la IA realice acciones no deseadas, la protección de los datos de entrenamiento frente al envenenamiento y la gestión de la cadena de suministro de la que dependen los componentes de IA. El alcance se solapa con el programa de seguridad existente y lo extiende en direcciones específicas.
Precisión y fiabilidad. La empresa asume responsabilidad por la precisión de las salidas de IA que llegan a clientes, empleados y sistemas externos, con la responsabilidad que se mantiene independientemente de si la IA fue la fuente inmediata del error. El alcance incluye las categorías de error que la IA puede producir y la obligación de establecer controles que los detecten antes de que causen daño.
Impacto sobre los trabajadores. El despliegue de IA en el lugar de trabajo plantea cuestiones de responsabilidad, incluido el uso de IA en decisiones de contratación y gestión, el impacto sobre roles y carga de trabajo, las obligaciones hacia los trabajadores cuyos puestos se reestructuran y los derechos de los trabajadores a entender cómo se utiliza la IA en decisiones que les afectan. El alcance se rige por la legislación laboral, por los convenios colectivos cuando apliquen y por los compromisos que la propia empresa tenga con su plantilla.
Proveedores y cadena de suministro. La empresa asume responsabilidad por los sistemas de IA que utiliza independientemente de si la empresa los construyó o los licenció, y la responsabilidad se extiende a las prácticas del proveedor en las categorías que importan. El alcance incluye la diligencia en la contratación, la supervisión continua y los acuerdos contractuales que asignan la responsabilidad entre la empresa y el proveedor.
Cumplimiento regulatorio. El panorama de la IA está ahora sujeto a regulación específica en varias jurisdicciones, con la Ley de IA de la UE, las leyes estatales sobre IA en EE. UU., las normas sectoriales de los reguladores financieros y de salud y la orientación en evolución de las autoridades de protección de datos, todo lo cual impone obligaciones que la empresa debe cumplir. El trabajo de cumplimiento se ha convertido en un programa recurrente en lugar de un ejercicio de una sola vez.
Compromisos públicos. La empresa puede haber hecho compromisos públicos sobre sus prácticas de IA mediante sus propias declaraciones, códigos sectoriales o contratos con clientes, y es responsable de cumplirlos. El alcance se extiende más allá del mínimo legal a aquello que la empresa haya declarado que hará.
Los roles que asumen partes definidas de la responsabilidad
Con las categorías nombradas, el mapa de responsabilidades se vuelve más específico. Las empresas que gestionan bien la cuestión de la responsabilidad asignan a cada categoría un conjunto definido de roles con propiedad clara, apoyo claro y escalamiento claro, y la asignación se documenta de forma que sobreviva a la rotación y a la reorganización que la empresa experimentará con el tiempo.
El consejo asume la responsabilidad última por la postura de la empresa ante el riesgo de IA, incluida la supervisión del programa, la aprobación de las políticas que rigen los usos de alto riesgo, la revisión de incidentes importantes y el compromiso con el regulador a nivel de consejo. El consejo no dirige el programa y es responsable de asegurarse de que se gestione adecuadamente, con la apetencia de riesgo, controles e informes adecuados.
El director ejecutivo asume la responsabilidad por las decisiones operativas que configuran el programa, incluida la designación de los líderes senior que dirigen las funciones relevantes, la asignación de recursos, la resolución de conflictos entre funciones y la rendición de cuentas ante el consejo. El CEO es el punto único de responsabilidad que el consejo mantiene para el programa en su conjunto.
El asesor jurídico principal asume la responsabilidad del cumplimiento legal, incluida la interpretación de la ley aplicable, la estructura de los acuerdos contractuales con proveedores y clientes, la revisión de usos de alto riesgo, la gestión de cualquier litigio o investigación regulatoria relacionada con la IA y el desarrollo de políticas que rijan las obligaciones legales. El asesor jurídico es a menudo el propietario natural del comité de ética de IA cuando existe uno.
El responsable de privacidad o equivalente asume la responsabilidad de la privacidad y la protección de datos, incluida la evaluación de casos de uso frente al régimen de protección de datos, la gestión de los derechos de los interesados, la estructura de los flujos de datos que requieren los sistemas de IA y el compromiso con el regulador de protección de datos. En muchas empresas las funciones de privacidad y legal están estrechamente acopladas.
El responsable de seguridad de la información asume la responsabilidad de la seguridad, incluido el modelo de amenazas para los sistemas de IA, los controles que los protegen y protegen los datos que utilizan, la respuesta a incidentes de seguridad que involucren IA y la revisión de seguridad de los proveedores de IA. El CISO extiende el programa de seguridad existente hacia las categorías específicas de IA.
El director de tecnología o director de sistemas de información asume la responsabilidad de la operación técnica del programa, incluida la arquitectura, plataformas, integración, fiabilidad operativa y las prácticas técnicas de las que depende el programa.
El responsable de datos o equivalente asume la responsabilidad de la base de datos, incluida la calidad y gobernanza, el catálogo y el modelo de propiedad, la linaje y clasificación, y las prácticas operativas que mantienen la base sana a medida que el programa escala. La responsabilidad del líder de datos se conecta directamente con sesgo y equidad, ya que los patrones que produce la IA a menudo se originan en los patrones de los datos.
El director de recursos humanos asume la responsabilidad del impacto sobre los trabajadores, incluidas las políticas que rigen el uso de IA en decisiones de contratación y gestión, las obligaciones hacia los trabajadores cuyos roles se ven afectados, la consulta y comunicación con la plantilla y el compromiso con sindicatos o órganos de representación de los trabajadores cuando existan.
El director de riesgos o equivalente asume la responsabilidad del panorama general de riesgos, incluida la identificación de riesgos, la evaluación, controles, informes e integración del riesgo de IA en el marco de gestión de riesgos de la empresa. El responsable de riesgos es a menudo el propietario natural del registro de riesgos de IA y de los informes que llevan la imagen al comité ejecutivo y al consejo.
El responsable de cumplimiento asume la responsabilidad del cumplimiento regulatorio, incluida la vigilancia de las regulaciones aplicables, la evaluación del programa frente a los requisitos, la gestión de cualquier examen regulatorio y el desarrollo de procedimientos que operacionalicen las obligaciones. El trabajo del responsable de cumplimiento se solapa con el del asesor jurídico y el director de riesgos, y el modelo operativo define los límites.
Los propietarios de las líneas de negocio asumen la responsabilidad de los casos de uso de IA que operan en sus líneas, incluida la definición del caso de uso apropiado para el contexto del negocio, las prácticas operativas que soportan el caso de uso en producción, la respuesta a problemas que surjan y la rendición de cuentas por los resultados que la IA produce en su negocio.
Los gestores de producto y los líderes de ingeniería de casos de uso de IA específicos asumen la responsabilidad del diseño, construcción y operación, incluida la elección de la arquitectura, la evaluación y pruebas, la monitorización operativa y la respuesta a incidentes. Producto e ingeniería son donde las obligaciones éticas y legales se traducen en decisiones concretas sobre el caso de uso específico.
Los trabajadores individuales que operan la IA en sus funciones asumen la responsabilidad de usarla adecuadamente, incluida la verificación de las salidas en las que confían, la escalada de los problemas que observen, el cumplimiento de las políticas que rigen su uso y la participación en la formación que el programa requiera.
Las partes externas asumen partes definidas de la responsabilidad. Los proveedores de IA asumen responsabilidad contractual por los sistemas que suministran y las prácticas a las que se comprometen, los auditores y evaluadores asumen la responsabilidad de la verificación independiente, los reguladores asumen la responsabilidad de establecer y hacer cumplir las normas, y los organismos de normalización asumen la responsabilidad de los estándares técnicos y éticos en los que la industria se consolida.
El modelo operativo que convierte el mapa en una práctica
Nombrar los roles es la parte fácil. La parte más difícil es construir el modelo operativo que convierta el mapa de responsabilidades en una práctica operativa. Las empresas que han hecho ese trabajo comparten un conjunto reconocible de elementos operativos.
Un órgano de gobernanza de IA. El órgano tiene un nombre que varía según la empresa, incluyendo comité de ética de IA, comité de riesgo de IA, consejo de IA o similar, y la función es la misma. El órgano reúne los roles relevantes con una cadencia definida para revisar el programa, aprobar los casos de uso de alto riesgo, revisar los incidentes y las lecciones, y mantener las políticas y las prácticas actualizadas. El órgano tiene una carta constitutiva, la membresía está documentada, la cadencia está establecida, los materiales se preparan y las decisiones se registran. La disciplina es lo que separa al órgano de la reunión periódica que nadie toma en serio.
Un proceso de revisión de casos de uso. Cada caso de uso de IA pasa por una revisión definida antes de pasar a producción, y la revisión cubre las categorías de riesgo ético y legal relevantes para el caso de uso, los controles propuestos, el riesgo residual y las aprobaciones requeridas. La revisión se dimensiona según el nivel de riesgo del caso de uso: los usos de bajo riesgo siguen un proceso de tratamiento ligero y los de alto riesgo una revisión más profunda con los roles pertinentes involucrados. La revisión está a cargo de una función definida, los criterios son claros, los plazos son previsibles y el resultado es una decisión en lugar de una discusión abierta.
Un registro de riesgos y un marco de controles. El programa mantiene un registro de los riesgos de IA que la empresa ha identificado, los controles que los abordan, el riesgo residual y los responsables de los riesgos y de los controles. El registro está conectado al marco de gestión de riesgos empresarial en lugar de existir como un documento separado, y los informes derivados del registro fluyen a los niveles apropiados de la empresa con una cadencia definida.
Un marco de políticas. El programa tiene un conjunto de políticas que traducen las obligaciones en requisitos específicos para las personas que desarrollan y operan la IA. Las políticas cubren las categorías que importan, incluyendo uso aceptable, manejo de datos, gestión de proveedores, divulgación, sesgo y equidad, seguridad, respuesta a incidentes y prácticas operativas. Las políticas están redactadas para las personas que deben cumplirlas en lugar de ser documentos legales que nadie lee, y la orientación complementaria y la formación hacen que los requisitos sean accionables.
Una práctica de respuesta a incidentes. El programa tiene un proceso definido para manejar los incidentes de IA que ocurren, con pasos para contención, investigación, comunicación, remediación y aprendizaje. La respuesta a incidentes está conectada a las prácticas de respuesta a incidentes existentes de la empresa en lugar de construirse como una función separada, y los elementos específicos de IA se integran en los manuales de actuación que los respondedores ya utilizan.
Una práctica de evaluación y monitoreo. El programa dispone de mecanismos técnicos y operativos para evaluar los sistemas de IA frente a los requisitos con una cadencia definida, con los conjuntos de pruebas, la evaluación automatizada, el monitoreo en producción y los patrones de revisión humana que cubren las categorías de riesgo que conllevan los casos de uso. La evaluación produce la evidencia de que el programa cumple sus obligaciones en lugar de basarse en la suposición de que así es.
Un programa de formación y concienciación. La plantilla comprende las responsabilidades que le corresponden en las categorías relevantes para sus roles, con la formación adaptada al rol en lugar de impartirse como un único curso genérico. La formación se actualiza a medida que evolucionan las políticas y las prácticas, y la participación se registra como parte de la disciplina operativa.
Una cadencia de informes. El programa produce los informes que llevan la imagen de responsabilidades a los niveles apropiados de la empresa con una cadencia definida, con informes que cubren los casos de uso en producción, los riesgos y los controles, los incidentes y las respuestas, las actualizaciones de políticas y regulatorias y las tendencias en el desempeño del programa. Los informes son lo que sostiene la supervisión por parte del comité ejecutivo y del consejo.
Una práctica de compromiso externo. El programa se relaciona con los reguladores, los auditores, los organismos de normalización, los pares de la industria y los clientes de las formas que requieren las distintas categorías, y el compromiso se gestiona como parte del modelo operativo en lugar de tratarse de forma reactiva cuando una parte externa se pone en contacto. El compromiso es lo que mantiene a la empresa al día sobre las expectativas en evolución y genera las relaciones que el programa necesita cuando surgen las preguntas más difíciles.
Los patrones que han funcionado
Las empresas cuyos programas de ética y cumplimiento legal de IA funcionan bien en 2026 comparten un conjunto de patrones prácticos, y esos patrones son útiles como modelo para el programa que se está diseñando.
Nombraron la responsabilidad con claridad en lugar de dejarla en los huecos entre funciones. El mapa de responsabilidades fue lo suficientemente específico para ser operativo, el órgano de gobernanza tenía una carta y una cadencia, la revisión de casos de uso tenía una titularidad clara y la respuesta a incidentes tenía un responsable nombrado. Esa claridad permitió que el programa funcionara en los momentos que importaban.
Integraron el trabajo de IA en los programas existentes en lugar de construir estructuras paralelas. El riesgo de IA formó parte de la gestión de riesgos empresarial, la seguridad de IA formó parte del programa de seguridad, la privacidad de IA formó parte del programa de privacidad, la gestión de proveedores de IA formó parte de la gestión de riesgos de terceros y el cumplimiento de IA formó parte del programa de cumplimiento. La integración evitó que el programa se convirtiera en un silo.
Ajustaron los controles al riesgo de cada caso de uso. Los usos de bajo riesgo pasaron por una revisión de tratamiento ligero, los usos de riesgo medio recibieron el nivel de atención apropiado y los usos de alto riesgo recibieron una revisión más profunda con las personas adecuadas involucradas. La disciplina mantuvo el programa económicamente viable a la vez que proporcionaba el nivel de protección correcto.
Invertieron en políticas y formación como artefactos vivos en lugar de creaciones puntuales, actualizando las políticas conforme cambiaba el panorama y refrescando la formación con la cadencia a la que la empresa se comprometió. Se relacionaron con reguladores y partes externas como parte del ritmo operativo en lugar de solo cuando se vieron obligados. Informaron de la imagen de responsabilidades de manera transparente al comité ejecutivo y al consejo, con informes que abarcan riesgos y controles, incidentes y respuestas y tendencias en el desempeño.
Los patrones que han fallado
Las empresas cuyos programas de ética y cumplimiento legal de IA han tenido dificultades también han seguido un conjunto reconocible de patrones, y nombrar los patrones de fracaso es útil como guía de lo que se debe evitar.
Asignaron la responsabilidad a una única función que no tenía la autoridad ni el alcance para asumirla. Al asesor jurídico se le indicó que gestionara la ética de IA sin capacidad operativa. Al CISO se le indicó que gestionara el riesgo de IA sin mandato más allá de la seguridad. Al director de datos se le indicó que gestionara la gobernanza de IA sin la participación de las líneas de negocio. La asignación desajustada produjo un programa que no pudo cumplir la responsabilidad que se le había dado.
Elaboraron un documento de política que la plantilla nunca leyó y frente al cual el programa no operaba realmente. La política estaba redactada en lenguaje legal, la formación era un clic anual, las prácticas operativas no se correspondían con la política y el comportamiento real del programa se regía por normas no escritas de los equipos que gestionaban los casos de uso. La brecha entre política y práctica produjo los incidentes que la política debía prevenir.
Crearon un proceso de revisión pesado que se convirtió en un obstáculo que las líneas de negocio sortearon. La revisión llevaba semanas, los requisitos eran poco claros, los revisores no estaban comprometidos con el negocio, el resultado era a menudo una preocupación vaga en lugar de una decisión y las líneas de negocio dejaron de presentar casos de uso. El proceso pesado produjo el uso en la sombra de IA del que el programa no tenía visibilidad.
Trataron el trabajo de ética de IA como una corriente separada del resto del trabajo de riesgo y cumplimiento de la empresa, con el registro de riesgos de IA separado del registro empresarial y la formación de IA separada del resto de la formación. Reaccionaron al panorama regulatorio en lugar de adelantarse, esperando a que la regulación se finalizara antes de ajustar las prácticas. Y subinvirtieron en los mecanismos operativos que requería el mapa de responsabilidades, con el órgano de gobernanza reuniéndose sin materiales preparados y los informes al consejo quedando escasos.
La postura práctica que funciona
Las empresas que han construido programas de ética y cumplimiento legal de IA que funcionan comparten una postura reconocible, y esa postura es la que permite que el mapa de responsabilidades se convierta en una práctica operativa.
La postura comienza con el reconocimiento de que la responsabilidad se comparte entre los roles por diseño, y que ese diseño es trabajo de la empresa y no algo que pueda esperar a que haga el regulador o el proveedor. El equipo de liderazgo se compromete a trabajar sobre el mapa, a asignar los roles deliberadamente y a construir los mecanismos operativos que respalden esas asignaciones. Ese compromiso es lo que hace posible el resto del trabajo.
La postura trata el trabajo de ética y legal de IA como algo central para el programa de IA en lugar de una corriente separada que el programa debe satisfacer. El mapa de responsabilidades forma parte del diseño del programa, los controles se incorporan al diseño del caso de uso y los informes forman parte del ritmo operativo del programa. La integración es lo que produce un programa que opera dentro de sus responsabilidades en lugar de estar constantemente en su contra.
La postura ajusta el nivel de inversión al riesgo y a la madurez del programa. El programa incipiente construye los mecanismos fundamentales en proporción a los casos de uso que está ejecutando, y el programa maduro escala los mecanismos a medida que crece la cartera. La disciplina de dimensionar correctamente mantiene el programa eficaz en cada etapa en lugar de subinvertir y exponer a la empresa o sobreinvertir y ralentizar el programa hasta detenerlo.
La postura se relaciona activamente con el panorama externo en lugar de hacerlo de forma reactiva. Los desarrollos regulatorios, las normas de la industria, las prácticas de los pares, los debates académicos y de política y las expectativas de los clientes se siguen como insumos para el programa, y el programa se ajusta con una cadencia que lo mantiene actualizado. El compromiso activo produce un programa informado por la imagen en evolución en lugar de sorprendido por ella.
La postura informa con honestidad sobre el estado del programa al liderazgo y al consejo. Los informes incluyen las categorías en las que el programa es fuerte y las categorías en las que queda trabajo, los incidentes que han ocurrido y las lecciones aprendidas de ellos, y las tendencias en el desempeño del programa a lo largo del tiempo. La honestidad es lo que sostiene la confianza que el programa necesita para operar a escala.
La respuesta honesta a la pregunta del titular
¿Entonces quién es responsable de la ética y los asuntos legales relacionados con la IA? La respuesta honesta es que la responsabilidad se comparte entre un conjunto definido de roles, la forma de ese reparto la diseña la empresa en lugar de ser un valor predeterminado, y el diseño debe ser lo suficientemente específico como para ser operativo y no un eslogan que diga que todos son responsables de todo. La junta tiene un rol definido, el equipo ejecutivo tiene un rol definido, las funciones de legal y cumplimiento tienen roles definidos, las funciones de tecnología, datos y seguridad tienen roles definidos, las líneas de negocio tienen roles definidos, los equipos de producto e ingeniería tienen roles definidos, los trabajadores individuales tienen roles definidos y las partes externas tienen roles definidos. El modelo operativo que articula esos roles es lo que hace que la responsabilidad sea real.
Las empresas que se toman el trabajo en serio pueden construir programas que cumplan las responsabilidades que exigen esas categorías y que soporten el escrutinio regulatorio, de clientes y de la plantilla al que el programa se enfrentará. Las empresas que esperan a que la cuestión de la responsabilidad se resuelva por sí sola producen programas que descubren la respuesta en el momento de un incidente, y rara vez la respuesta es la que la empresa esperaba. La diferencia es el trabajo que la empresa haya invertido en el diseño de la responsabilidad antes de que llegue ese momento.
Cómo aborda ProvenROI la cuestión de la responsabilidad con los clientes
El enfoque de ProvenROI comienza con la conversación que nombra las categorías de cuestiones éticas y legales de las que la empresa es realmente responsable, los roles que deben asumir la responsabilidad y los mecanismos operativos que convierten el mapa en una práctica de trabajo. El resultado es un mapa de responsabilidades específico para la estructura de la empresa y los casos de uso del roadmap.
El modelo operativo se incorpora al diseño del programa en lugar de añadirse como una corriente separada. El órgano de gobernanza, la revisión de casos de uso, el registro de riesgos, el marco de políticas, la respuesta a incidentes, la evaluación y el monitoreo, la formación, la elaboración de informes y el compromiso externo se diseñan en conjunto. La integración produce un programa que opera dentro de sus responsabilidades en lugar de trabajar constantemente en su contra.
El nivel de inversión en los mecanismos operativos se ajusta al riesgo y a la madurez del programa. El programa inicial construye los mecanismos fundamentales en proporción a los casos de uso que está ejecutando, y el programa maduro escala los mecanismos a medida que crece la cartera. Los informes a la dirección y al consejo incluyen la imagen de responsabilidad junto con los resultados de los casos de uso, con las categorías de fortalezas y las tareas pendientes, los incidentes y las lecciones aprendidas, y las tendencias de rendimiento.
La cuestión de la responsabilidad no tiene una respuesta genérica que valga para todas las empresas. Tiene una respuesta específica para cada empresa que se toma el tiempo de trabajarlo deliberadamente. ProvenROI ayuda a los clientes a llegar a esa respuesta y a construir el programa que convierte el mapa de responsabilidades en una práctica de trabajo, con los mecanismos operativos dimensionados al programa y la disciplina que lo mantiene sólido a medida que crece la cartera de IA. Ese es el programa que un equipo directivo puede respaldar, y no el que tiene que defender tras el siguiente incidente.