Módulo 4 · Qué pueden hacer los gobiernos

De los principios a las medidas

1. Del diagnóstico a la acción

En el módulo anterior examinamos una oferta de un asistente para orientar sobre ayudas públicas. Faltaban pruebas pertinentes, un procedimiento de revisión y responsabilidades claras ante incidentes.

Ahora corresponde decidir qué hacer con esa información.

Continuación del caso hipotético: el ministerio debe responder a la oferta. La delegación quiere saber qué apoyo internacional sería útil para poner en práctica las condiciones que necesita el país.

Un compromiso como «garantizar una IA segura» necesita traducirse en tareas:

1. 1Obtener evidencia.
2. 2Fijar condiciones de uso.
3. 3Asignar responsabilidades.
4. 4Comprobar resultados.
5. 5Responder cuando surja un problema.

El marco voluntario del NIST organiza la gestión del riesgo en cuatro funciones: gobernar, identificar el contexto, medir y gestionar. En este módulo utilizaremos una pregunta práctica:

2. Identifique desde qué función puede actuar su institución

La siguiente distinción es didáctica. Las competencias concretas dependen de cada país.

Un contrato puede establecer condiciones para un servicio comprado por el Estado. No crea, por sí solo, obligaciones para todos los desarrolladores del mercado. Una declaración internacional tampoco asigna automáticamente facultades a una autoridad nacional.

Antes de proponer una medida, identifique quién podría adoptarla, con qué competencia y qué recursos. Las referencias de este módulo son marcos y orientaciones: no se presentan como obligaciones universales ni sustituyen la revisión del derecho aplicable.

3. Siete instrumentos y qué exige cada uno

Esta matriz es una síntesis didáctica. Los instrumentos pueden combinarse; ninguno reemplaza a todos los demás.

Empezar por saber qué se utiliza

Un inventario inicial puede registrar:

• La tarea y el resultado producido.
• El proveedor, modelo o servicio utilizado.
• La unidad responsable.
• Las personas o grupos afectados.
• Los datos y documentos utilizados.
• Los permisos: consultar, generar, enviar, modificar o decidir.
• El estado: propuesto, piloto, activo o suspendido.
• La revisión más reciente y la próxima fecha de revisión.

Incluya pilotos y funciones de IA incorporadas a herramientas existentes.

En el caso del asistente, el registro debería permitir localizar a la persona responsable de actualizar los documentos. Si esa responsabilidad queda vacía, ya hay una tarea concreta que resolver.

Para priorizar revisiones, considere:

• Las posibles consecuencias.
• El grado de autonomía.
• La sensibilidad de los datos.
• La escala de uso.
• La posibilidad de corregir daños.

Son preguntas orientativas, no una clasificación legal común a todos los países. Una escala pequeña tampoco vuelve aceptable cualquier experimento.

Hacer que la evaluación cambie la decisión

Una evaluación de impacto pregunta quién podría beneficiarse o sufrir daños y qué alternativas existen. Una evaluación técnica examina capacidades y comportamiento bajo condiciones definidas. Se complementan.

Documente la decisión y la evidencia que la respalda.

4. Convertir una promesa en una condición verificable

La orientación del Gobierno del Reino Unido sobre contratación de IA destaca la definición del problema público, equipos multidisciplinarios, evaluación de datos e impactos y supervisión a lo largo del proyecto. Es una referencia práctica de 2020, no una descripción del régimen jurídico vigente en cada país destinatario.

En nuestro caso, convierta «funciona en español» en una solicitud concreta:

Después aclare:

• Quién define los criterios de aceptación.
• Quién revisa los resultados.
• Qué ocurre si no se cumplen.

Los criterios deben responder al daño posible. No basta adoptar un porcentaje universal de precisión.

Preguntas para preparar las condiciones de un acuerdo

• ¿Qué usos y tratamientos de datos se permiten?
• ¿Qué evidencia y registros estarán disponibles para verificar lo acordado?
• ¿Qué cambios requieren aviso y una nueva revisión?
• ¿Qué ocurre ante incumplimientos, incidentes o interrupciones?
• ¿Cómo se recupera la información y continúa el servicio al terminar el acuerdo?

El equipo jurídico y de contratación debe convertir las condiciones pertinentes en instrumentos válidos. El equipo técnico y el responsable del servicio deben poder verificar su cumplimiento.

5. Preparar la respuesta antes del incidente

La OCDE propone un marco común para reportar incidentes de IA y facilitar información comparable entre sectores y jurisdicciones. Esto ofrece un punto de referencia; no significa que todos los países impongan los mismos reportes.

Para el asistente hipotético, analice el siguiente escenario:

Aparece una respuesta incorrecta que podría hacer perder un plazo.

Pregunte:

• ¿Quién recibe el aviso?
• ¿Quién comprueba su alcance?
• ¿Quién puede suspender la función?
• ¿Quién puede corregir la información enviada?
• ¿Cómo se mantiene el servicio mientras se investiga?

Un procedimiento útil podría distinguir:

1. 1. Detección y aviso

   Registrar qué se observó, cuándo y en qué versión, sin afirmar una causa no comprobada

2. 2. Contención

   Limitar la función afectada y mantener una vía alternativa de atención cuando corresponda

3. 3. Investigación y reparación

   Conservar evidencia necesaria, identificar afectados y decidir las correcciones

4. 4. Revisión

   Comprobar las medidas antes de restablecer o ampliar el uso

Es una secuencia ilustrativa que debe adaptarse a la institución. Los registros y las comunicaciones deben respetar los requisitos de protección de datos y seguridad aplicables. No toda la información de un incidente debe hacerse pública.

Comprobación rápida

6. Qué cambia cuando el riesgo va más allá de una aplicación

La supervisión de una aplicación pública es solo una parte de la gobernanza. Cuando los riesgos pueden extenderse entre usos, proveedores o países, pueden requerirse medidas adicionales sobre el modelo, su documentación, el acceso, los incidentes graves o la cooperación internacional.

Aquí se presentan como opciones de política que requieren evaluación, no como un régimen universal establecido.

Examine quién debe aportar evidencia, qué acceso tendrá quien la revisa y qué decisión podría cambiar. Pedir una evaluación sin definir quién puede interpretarla deja una carencia de capacidad.

Para valorar esa cooperación, pregunte:

• ¿Quién selecciona las pruebas?
• ¿Cómo se cubren los costos?
• ¿Los resultados son útiles para los contextos de su país?
• ¿Quién puede utilizarlos y bajo qué condiciones?

El Módulo 5 abordará los espacios internacionales donde se discuten estas cuestiones.

7. Ejercicio · Elija tres primeras acciones

Tiempo sugerido: 4 minutos. Caso completamente hipotético.

El ministerio dispone de seis semanas para responder a la oferta. No tiene un laboratorio propio. Puede asignar una persona responsable del servicio y solicitar apoyo de contratación y asesoría técnica. Siguen faltando pruebas en español para el contexto local, personal asignado a revisión y un protocolo de incidentes. Todavía no se ha autorizado el uso con público.

Pregunta 1

Pregunta 2

Proponga tres acciones e indique quién las realizaría y qué evidencia mostraría su cumplimiento.

Sus respuestas permanecen solo en este navegador y no se guardan ni se envían.

Pregunta 3

¿Qué solicitaría su delegación a un posible socio internacional?

Autoevaluación

Compruebe que cada acción:

• Responde a una carencia concreta.
• Tiene un responsable plausible.
• Produce evidencia que permite continuar, modificar o detener la propuesta.

Una lista de documentos sin decisiones asociadas está incompleta.

8. Qué llevarse

• Distinga si su institución actúa como compradora, reguladora o participante en cooperación internacional.
• Vincule cada medida con un problema, una decisión y una condición de implementación.
• Asigne capacidad, presupuesto y autoridad para verificar y actuar.
• Convierta las promesas del proveedor en condiciones verificables.
• Planifique la respuesta a incidentes y los cambios después del despliegue.
• Solicite cooperación para capacidades concretas que su institución no pueda cubrir por sí sola.

Herramienta: Matriz de medidas y primeros pasos.

Fuentes y lecturas opcionales

Consultadas el 6 de octubre de 2026. Las tablas, el caso y los ejercicios son elaboración didáctica original. Las fuentes respaldan los conceptos señalados y no implican un aval de esta guía.

1. [1]NIST, AI Risk Management Framework (AI RMF 1.0): Core, 2023. Marco voluntario sobre funciones de gobernanza y gestión de riesgos, incluidas responsabilidades, evaluación y seguimiento. Leer el marco
2. [2]Gobierno del Reino Unido, Guidelines for AI Procurement, 2020. Orientación práctica para considerar beneficios, datos, riesgos y gestión de contratos de IA. Se utiliza como referencia metodológica histórica, no como derecho aplicable a otras jurisdicciones. Leer la guía
3. [3]OCDE, Towards a Common Reporting Framework for AI Incidents, 2025. Referencia para estructurar información sobre incidentes. El marco permite a los países adaptar su implementación a sus políticas y legislación nacionales. Leer la publicación