Whitepaper · Documento para la dirección
Primero el criterio
Por qué gobernar la inteligencia artificial antes de automatizar, y cómo hacerlo con ISO/IEC 42001.
Resumen para la dirección
La pregunta ya no es si adoptar la IA, sino cómo hacerlo con criterio
La inteligencia artificial ya forma parte del trabajo diario de la mayoría de las organizaciones. Lo que distingue a unas de otras no es cuánta IA usan, sino si la usan con reglas claras, responsables definidos y riesgos bajo control. Este documento resume por qué ese orden importa y cómo empezar.
La IA ya está adentro
Equipos, proveedores y proyectos piloto la incorporan con o sin una decisión formal de la dirección.
El riesgo no está en la tecnología, sino en usarla sin reglas
Información confidencial expuesta, decisiones sin validar y dependencia de proveedores son las consecuencias más comunes.
Existe un estándar para ordenarlo
ISO/IEC 42001, adoptada en Costa Rica como INTE/ISO/IEC 42001:2026, define cómo gobernar la IA de forma verificable.
Gobernar primero acelera
Con el marco definido, cada automatización se evalúa, se aprueba y escala con menos fricción.
01 · Punto de partida
La IA ya llegó, con o sin decisión
En la mayoría de las organizaciones, la inteligencia artificial no entró por una decisión estratégica. Entró por tres puertas a la vez, y casi siempre sin que nadie tuviera la foto completa.
Por los equipos
Colaboradores que usan asistentes de IA generativa para redactar, resumir o analizar, a menudo con cuentas personales y sin reglas comunes sobre qué información pueden compartir.
Por los proveedores
Funciones de IA que aparecen en el correo, el CRM, el ERP o las herramientas de colaboración que la empresa ya paga, muchas veces activadas por defecto.
Por los proyectos
Pilotos que cada área impulsa por su cuenta, sin criterios comunes para aprobarlos, medirlos ni escalarlos.
Nada de esto es negativo en sí mismo. El problema aparece cuando nadie puede responder con certeza qué IA se usa, con qué información y bajo la responsabilidad de quién.
78 %de quienes usan IA en el trabajo lo hace con herramientas propias, que la empresa no provee. En América Latina, el 77 %.
02 · Lo que está en juego
Cuatro riesgos que suelen pasar inadvertidos
Información que sale de la organización
Datos de clientes, cifras financieras o información estratégica ingresados en herramientas externas sin condiciones claras. Cuando hay datos personales de por medio, aplica la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales. En un estudio de Cisco, el 42 % de los profesionales consultados reconoció haber ingresado información no pública de su empresa en herramientas de IA generativa.
Decisiones sin validar
Resultados generados por IA que terminan en informes, respuestas a clientes o decisiones internas sin que nadie verifique su exactitud.
Dependencia sin condiciones
Herramientas adoptadas sin evaluar qué hace el proveedor con la información, qué ocurre si cambia sus términos o cómo se sale de ella.
Inversión que no escala
Pilotos prometedores que no llegan a producción porque nadie definió cómo debían aprobarse, supervisarse y medirse. Gartner estima que al menos la mitad de los proyectos de IA generativa se abandonó tras la prueba de concepto al cierre de 2025, entre otras causas por controles de riesgo insuficientes.
El riesgo de no hacer nada. Prohibir la IA tampoco resuelve el problema: los equipos la siguen usando, ahora sin visibilidad, y la organización renuncia a mejoras de productividad que sus competidores sí aprovechan.
03 · El momento
Por qué ahora
Una norma internacional
ISO/IEC 42001, publicada en diciembre de 2023, es la primera norma que establece los requisitos de un sistema de gestión de IA. Aplica a cualquier organización que desarrolle, ofrezca o simplemente use IA, sin importar su tamaño o sector.
Una norma nacional
En 2026, INTECO la adoptó como INTE/ISO/IEC 42001:2026, y el MICITT la presentó como una herramienta para implementar la Estrategia Nacional de Inteligencia Artificial. Las organizaciones costarricenses cuentan con una referencia local reconocida para ordenar su uso de la IA.
Clientes y socios que preguntan
Es cada vez más común que clientes corporativos, casas matrices y socios internacionales pidan evidencia de cómo sus proveedores gestionan la IA y los datos.
Regulación en movimiento
Las leyes de protección de datos ya alcanzan el uso de la IA, el marco regulatorio específico sigue en evolución y mercados como la Unión Europea ya cuentan con regulación propia. Un sistema de gestión es una base sólida para responder a nuevas exigencias.
Quien ordena hoy su uso de la IA llega preparado a esas conversaciones. Quien espera, tendrá que hacerlo con prisa y bajo presión.
04 · Gobierno y valor
Gobernar no es frenar
Un marco de gobierno no agrega burocracia: reemplaza la improvisación por un camino conocido. La diferencia se nota en la forma en que la organización decide y escala.
| Automatizar sin marco | Automatizar con criterio |
|---|---|
| Cada área elige sus herramientas. | Herramientas autorizadas, con reglas de uso comunes. |
| Nadie sabe qué IA se usa ni con qué datos. | Inventario de usos de IA, con un responsable por sistema. |
| Los riesgos se descubren cuando ocurre un incidente. | Los riesgos se evalúan antes de poner cada caso en producción. |
| Cada piloto se discute desde cero. | Criterios comunes para aprobar, medir y escalar. |
| Difícil de explicar a clientes o auditores. | Evidencia ordenada y verificable. |
Con el marco definido, las automatizaciones dejan de ser apuestas aisladas. Cada caso de uso entra por el mismo camino: se evalúa, se aprueba, se construye con supervisión humana y se mide. Esa es la diferencia entre experimentar con IA y adoptarla.
05 · En términos simples
Qué es un sistema de gestión de IA
Es la forma en que la organización dirige y supervisa su uso de la inteligencia artificial. ISO/IEC 42001 lo organiza en cinco elementos:
Una política aprobada por la dirección
Para qué se usa la IA, con qué principios y qué no se permite.
Responsables claros
Quién decide, quién supervisa cada sistema y quién tiene autoridad para detenerlo.
Evaluación de riesgos e impacto
Proporcional al uso: un asistente de redacción interna no se gobierna igual que un sistema que interviene en decisiones sobre clientes.
Controles operativos
Sobre los datos, los proveedores y el ciclo de vida de cada sistema de IA.
Medición y mejora
Indicadores, auditoría interna y revisión periódica por la dirección.
La norma no exige una estructura grande ni un departamento nuevo. El alcance se define según la organización: puede empezar por un área, un proceso o un grupo de sistemas, y ampliarse después.
06 · Cómo empezar
IA con Criterio: de la norma a la práctica
IA con Criterio es la metodología de Soto AI Consulting para adoptar la inteligencia artificial de forma responsable. Traduce ISO/IEC 42001 en cinco fases con entregables concretos, siguiendo el ciclo Planificar–Hacer–Verificar–Actuar.
- Fase 01
Contexto y alcance
Qué IA se usa hoy y hasta dónde llega el sistema.
- Fase 02
Liderazgo y política
Reglas de uso y responsables definidos por la dirección.
- Fase 03
Riesgos e impacto
Cada uso evaluado y tratado según su riesgo.
- Fase 04
Operación controlada
Controles en marcha y casos de uso dentro de las reglas.
- Fase 05
Evaluación y mejora
Verificación del cumplimiento y plan del siguiente ciclo.
Eje transversal · Personas y cultura: formación, comunicación y acompañamiento del cambio en todas las fases.
El primer paso es un diagnóstico de brechas: una revisión frente a todos los requisitos de la norma que muestra dónde está la organización, qué falta y por dónde conviene empezar. Todo comienza con una conversación inicial sin costo, que incluye un diagnóstico rápido de madurez en IA, para conocer el contexto y las prioridades del negocio. Ver la metodología completa.
07 · Autodiagnóstico
Cinco preguntas para la dirección
Una forma rápida de medir el punto de partida es intentar responder, con certeza, estas cinco preguntas:
- ¿Sabemos qué herramientas de IA usan nuestros equipos y qué funciones de IA incluyen nuestros proveedores?
- ¿Existen reglas escritas sobre qué información puede compartirse con herramientas de IA?
- ¿Cada sistema de IA tiene un responsable con autoridad para supervisarlo, corregirlo o detenerlo?
- ¿Evaluamos los riesgos y el impacto de un caso de uso antes de ponerlo en producción?
- ¿Podríamos demostrar hoy a un cliente, socio o regulador cómo gobernamos la IA?
Si alguna respuesta es «no» o «no lo sé», la organización ya tiene un punto de partida claro. Esas respuestas son, precisamente, lo que un diagnóstico de brechas convierte en un plan.
Para una lectura más completa, haz el autodiagnóstico de gobierno de IA: 12 preguntas, unos 5 minutos, con el resultado al instante.
ISO/IEC 42001 es una norma publicada por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Este documento tiene fines informativos: no reproduce la norma ni sustituye la asesoría legal.