Política y comité de IA: reglas que habilitan, no que frenan

Una política de IA tiene un solo enemigo: convertirse en un documento declarativo que nadie consulta. Si la gente no sabe qué herramienta puede usar, qué dato puede pegar y a quién preguntar cuando duda, la política no existe en la práctica, exista o no en el papel. Y el vacío lo llena el uso no autorizado: según BCG, el 54% de los trabajadores usaría herramientas de IA aunque no estén permitidas.

Por eso diseñamos la política como una guía operativa, con una versión de una página que cabe en la pared, y la anclamos en estándares estables (ISO/IEC 42001, NIST AI RMF) y en la Ley 21.719, no en un proyecto de ley que puede cambiar. Codelco hizo algo parecido antes de escalar: un marco interno de uso ético y responsable, validado por su Comité de Seguridad de la Información, y revisión de ciberseguridad obligatoria para cada agente.

Los componentes, la matriz y el comité

Así se ven los entregables

La política en una página y el registro de casos de uso son los dos artefactos que más se usan después. El registro es un inventario vivo: cada caso con su área, su dueño, los datos involucrados, su nivel de riesgo, los controles y el estado, desde idea hasta producción o retiro.

Una regla de diseño

No llevar cada uso cotidiano al comité. Los usos de bajo riesgo deben tener un flujo simple, con una vía rápida asíncrona de 72 horas; el comité se concentra en prioridades, riesgos importantes, excepciones y obstáculos transversales. Un comité que revisa todo termina no revisando nada.