Gobierno y permisos de IA: quién puede ver, proponer y ejecutar

El gobierno de IA empieza por decisiones prácticas: quién es responsable, qué información puede consultar la solución y qué acciones puede ejecutar. Recomendamos separar acceso a datos, propuesta de cambios y ejecución. Esa distinción permite apoyar al equipo sin conceder autonomía que el negocio no ha aprobado. Un documento general de principios ayuda, pero necesita traducirse a permisos y procedimientos que realmente se apliquen en los sistemas.

Asigna responsabilidad de negocio y técnica

Nombra a quien aprueba el caso de uso, a quien administra la solución y a quien atiende incidentes. Define cómo se revisan cambios de modelo, instrucciones y conexiones. El marco voluntario de NIST organiza gestión de riesgos en funciones como gobernar, contextualizar, medir y gestionar. Puedes usarlo para ordenar responsabilidades, pero cada compañía debe concretar qué decisiones se toman, con qué evidencia y quién tiene autoridad para detener una operación que no funciona.

Diseña acceso según necesidad de la tarea

Un asistente que resume ventas no necesita necesariamente leer todos los datos personales de clientes. Limita campos y fuentes al propósito aprobado. Comprueba permisos en el servidor, no solo en las instrucciones del modelo. Si cambia el rol del usuario, el acceso debe reflejarlo. Revisa también credenciales de integración y entornos de prueba para evitar que una demostración conserve privilegios amplios al convertirse en un servicio utilizado diariamente por el equipo.

Clasifica acciones por impacto y reversibilidad

Consultar una ficha, preparar un borrador y enviar una oferta tienen consecuencias distintas. Define qué acciones requieren confirmación, límites o doble revisión. Registra identidad, acción solicitada y resultado real. Las prácticas de seguridad de OpenAI recomiendan supervisión humana en contextos apropiados; en tu proceso debes convertirla en un paso concreto, con información suficiente para aprobar, rechazar o modificar, en lugar de una confirmación automática que nadie entiende.

Mantén un procedimiento para fallos y cambios

Define cómo reportar una salida incorrecta, suspender una conexión y recuperar una operación manual. Revisa periódicamente permisos y datos que ya no sean necesarios. Conserva versiones y pruebas asociadas a cambios importantes. SellerPlus recomienda que el gobierno acompañe el piloto desde su diseño, con controles proporcionales al impacto: la capacidad de aprender y corregir es tan importante como la documentación inicial cuando crecen usuarios, fuentes y acciones disponibles.

Checklist para llevarlo a la práctica

• Nombrar responsables de aprobación, operación e incidentes.
• Limitar fuentes y campos al propósito del caso.
• Exigir validaciones para acciones de mayor impacto.
• Documentar revisión de accesos y recuperación manual.