Fernando Pérez Lizano — Director Académico Adjunto y Director del Programa Internacional de Inteligencia Artificial, PAD – Escuela de Dirección (Universidad de Piura)

Tecnología, seguridad, datos e inteligencia artificial ante el directorio

Un directorio deshace con una instrucción casi todo lo que aprueba en materia tecnológica. Casi. Hay una decisión de ese terreno que no se revierte con una instrucción ni con un acuerdo técnico, y el problema es que llega a la sala con el mismo formato que las demás: un punto de agenda, un expediente, una aprobación.

El Banco Central de Reserva del Perú preguntó en enero de 2026 a empresas de distintos sectores si usaban inteligencia artificial. Construcción respondió que sí en 64 % de los casos. Manufactura, en 38 %. Veintiséis puntos separan a los dos extremos de esa medición, y la diferencia es explicable: distintos procesos, distintos márgenes, distinta presión de sus clientes.

La encuesta mide adopción, no estructura de decisión, y sobre eso no existe una medición peruana equivalente. Lo que sigue parte de una hipótesis y no de un hallazgo medido: la adopción varía entre sectores mucho más de lo que varía el órgano que decide sobre ella. En uno y en otro suele responder el mismo comité de tecnología, que existía antes de que la inteligencia artificial apareciera en la agenda y que resolvió incorporarla como un punto más.

Ese comité también responde por la seguridad de la información. Y por los datos. Y por la infraestructura. Cuatro preguntas distintas y un solo criterio para contestarlas.

Las cuatro preguntas no son la misma pregunta

Agruparlas por costumbre bajo una sola etiqueta —gobierno digital, gobierno tecnológico— oculta que son de naturaleza distinta.

La primera pregunta es económica: ¿genera valor lo que estamos invirtiendo en tecnología? La segunda es defensiva: ¿estamos protegidos y quién corta primero cuando algo ocurre? La tercera es de propiedad: ¿podemos confiar en el dato y quién responde por él? Las tres tienen décadas de práctica acumulada y marcos de referencia maduros.

La cuarta no tiene precedente en las otras tres: ¿hasta dónde puede decidir sola una máquina? No pregunta por el valor de una inversión ni por la protección de un activo ni por la calidad de un insumo. Pregunta por el límite de una delegación. Y una delegación se otorga, se acota y se revoca; no se compra ni se protege ni se mide.

Un directorio que trata esa cuarta pregunta como una variante de las tres anteriores está contestando otra cosa.

Hay además una asimetría de madurez. Cuando un comité discute la seguridad de la información, discute sobre un terreno con convenciones establecidas acerca de qué es aceptable y qué no. El cuarto frente no las tiene todavía. Aplicarle el mismo grado de confianza que a los otros tres no es prudencia: es confundir la madurez del órgano con la madurez del asunto.

Cómo se formó el gobierno único

La explicación no es la negligencia. Es la sedimentación.

El gobierno de la tecnología de información llegó primero y construyó su órgano: comité, presupuesto, responsable, punto propio en la agenda. Cuando la seguridad se volvió una preocupación directiva, ese órgano ya existía y crear uno nuevo habría exigido justificar duplicidad ante un directorio que preguntaba por qué dos comités para el mismo proveedor. Cuando llegaron los datos ocurrió lo mismo. Cuando llegó la inteligencia artificial, la estructura receptora llevaba tres capas encima.

Adosarse siempre fue más barato que abrir un órgano. Nadie decidió que las cuatro preguntas se contestaran con el mismo criterio: simplemente ninguna decisión en contrario se tomó nunca.

La asimetría de costos explica por qué nadie objetó. Abrir un órgano tiene un costo visible e inmediato: una sesión más, un responsable más, una discusión sobre atribuciones que nadie quiere abrir. No abrirlo tiene un costo difuso y posterior, que rara vez se atribuye a la estructura. Cuando una decisión sobre datos se toma con criterio de seguridad y sale mal, el diagnóstico habitual es que faltó información. Casi nunca es que faltó un órgano.

Lo que se deshace y lo que no

El costo de esa acumulación no está en la agenda compartida, sino en algo que casi nunca se discute: los cuatro frentes no se deshacen de la misma manera. Una decisión de seguridad se revierte en minutos, porque revertirla es volver a conectar lo que se desconectó. Un límite de autonomía se revierte con una instrucción. Una plataforma tecnológica queda fijada por años. Y una decisión sobre propiedad del dato es la menos reversible de todas, porque no se deshace con un acuerdo técnico sino con una devolución de poder interno: quien perdió la posición de fuente no la entrega de vuelta en la sesión en que se le pide.

Un comité que decide los cuatro con el mismo criterio termina tratando como reversible lo que no lo es. El error no se nota cuando se comete, sino meses después, cuando alguien intenta deshacerlo y descubre que la decisión ya se volvió estructura.

La velocidad es el síntoma visible de esa asimetría, y es lo primero que se nota. Una decisión de seguridad no puede esperar a la siguiente sesión: cuando un incidente está en curso, alguien corta la conexión y avisa después, y puede hacerlo porque cortar es reversible. En el otro extremo, la propiedad del dato toma varias sesiones, porque devolver una posición interna no se ordena: se acuerda entre áreas que hoy usan ese dato como fuente. Lo que ordena esos cuatro ritmos no es la urgencia técnica, sino el costo de equivocarse.

Estos horizontes son una caracterización del autor, no una medición, y varían por sector y por tamaño de organización. Lo que se sostiene no son las magnitudes sino el orden relativo: los cuatro frentes no corren al mismo ritmo, y cuando se los resuelve en el mismo punto de agenda, prevalece el ritmo del frente que ya tenía titular, formato y presupuesto: el de tecnología.

El efecto se ve en la sesión. Cuando comparten punto de agenda, los cuatro tienden a recibir el mismo tratamiento: igual documentación previa, igual umbral de aprobación, igual detalle en el acta. Igualar el trámite es la forma más silenciosa de desigualar la decisión.

Dos sectores, un solo criterio

Los datos permiten precisar el diagnóstico, no cerrarlo.

En la encuesta del Banco Central, 49 % de las empresas declaró usar inteligencia artificial. Entre las que ya la usan, 66 % la emplea principalmente para consultas mediante herramientas generativas. Es decir: la mayoría de la adopción declarada todavía no toca la estructura de decisión. Todavía.

EY Perú encuestó entre el 12 de enero y el 5 de marzo de 2026 a 250 miembros de directorio y alta dirección. El 24 % declaró haber asignado la supervisión de la inteligencia artificial a un comité; el 10 %, tener una política aprobada. La lectura que este artículo propone es que hay órgano designado sin criterio propio: se nombró un responsable dentro de una estructura que ya existía, y el criterio con que decide sigue siendo heredado.

Caben dos explicaciones rivales, y ambas son fuertes. La primera: designar un comité toma una sesión y aprobar una política toma meses; la distancia entre ambas cifras podría ser un desfase normal y no una señal de adosamiento. La segunda: la encuesta no dice qué comité recibió la supervisión, y parte de ese 24 % podría corresponder a órganos creados para el asunto, lo que contradiría el mecanismo de sedimentación descrito antes. Ninguna puede descartarse con los datos disponibles, y omitirlo sería más cómodo que honesto. Lo que este artículo sostiene es más acotado: un órgano con criterio propio habría hecho de esa política su primer producto, y la encuesta no permite distinguir un caso del otro.

Un tercer dato de la encuesta delimita el problema: 18 % de los encuestados declaró contar con protocolos de uso seguro y ético de la inteligencia artificial. Esa posición intermedia es coherente con la lectura propuesta: hay más organizaciones con reglas de uso que con política aprobada porque una regla puede emitirse desde el área técnica y una política exige que alguien la apruebe con criterio propio.

Una constructora con obras en varias regiones y una planta manufacturera del sur enfrentan riesgos tecnológicos distintos y adoptan a ritmos distintos. Si ambas resuelven los cuatro frentes en el mismo punto de agenda —y esa es la hipótesis planteada al inicio—, eso diría menos sobre el sector que sobre una estructura que nadie diseñó. Comprobarlo no exige una encuesta: basta con revisar las actas del último año.

Los dos errores del comité único

El colapso de los cuatro en un solo criterio produce dos errores simétricos, ambos de decisión directiva y no de ejecución técnica.

El primero es decidir demasiado rápido lo que exigía deliberación. Ocurre cuando un comité formado en torno a la urgencia de la seguridad aplica ese reflejo a un asunto de propiedad del dato. Se nombra un responsable en la misma sesión, sin el acuerdo entre áreas que esa decisión requiere. Seis meses después el nombramiento existe en el acta y no en la práctica.

El segundo es decidir demasiado lento lo que no admitía espera. Ocurre cuando el límite de autonomía de un sistema entra al ciclo presupuestal, porque el comité está acostumbrado a que las decisiones tecnológicas se aprueben una vez al año. El sistema opera mientras tanto con el límite que le fijó quien lo configuró, que rara vez es un directivo.

Los dos errores tienen la misma raíz y ninguna capacitación los corrige: no son fallas de conocimiento, sino de estructura.

Qué decide cada quien, y en qué sesión

La respuesta no es crear cuatro comités. Es separar el criterio sin separar la agenda, y eso admite tres movimientos ordenados por dependencia.

La gerencia, antes de la próxima sesión de comité: levantar el inventario de los cuatro frentes. Qué se decide hoy en cada uno, quién lo decide y en qué punto de agenda entra. Si el inventario muestra que tres de los cuatro no tienen punto propio, esa constatación vale más que cualquier diagnóstico externo.

El comité, en su siguiente sesión: fijar el apetito de riesgo de cada frente por separado. Es el paso que hace visible la incompatibilidad: obliga a escribir cuatro respuestas distintas donde hoy hay una sola. Si las cuatro salen iguales, el ejercicio ya entregó su hallazgo.

El directorio, en la sesión de aprobación anual: decidir qué se separa y qué se mantiene junto. La agenda y la secuencia siguen siendo comunes: los cuatro frentes se tocan entre sí y revisarlos por separado los desconectaría. Lo que pasa a ser propio de cada uno es el responsable, el riesgo aceptado, la métrica y el control.

Queda decir qué no debería hacerse. Ninguno de los tres requiere contratar un diagnóstico externo, adoptar un marco adicional ni crear un cargo. Los tres se resuelven con las personas que ya están en la sala, y por eso suelen postergarse: no hay proveedor que los proponga ni presupuesto que los active. El único requisito es que alguien los ponga en la agenda.

El frente que el marco no tiene

Queda una ausencia que ningún esquema de cuatro frentes contempla y que este artículo tampoco resuelve: el capital.

Ninguno de los cuatro gobierna la asignación de recursos. El de tecnología aprueba proyectos, pero aprobar un proyecto no es decidir cuánto del presupuesto va a un tipo de iniciativa y cuánto a otro, ni con qué criterio se compara una inversión que promete ahorro contra otra que promete aprendizaje.

Cuando esa comparación no tiene órgano, no desaparece: se hace igual, dentro del comité que ya tiene el expediente en la mano y con el criterio que ese comité venía usando. Si el criterio disponible es el retorno por tramo, la iniciativa que promete aprendizaje pierde siempre. No porque el directorio haya decidido que el aprendizaje vale menos, sino porque nadie le fijó una regla propia con la que medirlo. Un artículo anterior de esta serie sostuvo que las empresas peruanas invierten en inteligencia artificial sin un criterio explícito de retorno; el problema estructural que lo hace posible es que la asignación no tiene dueño.

Se podría argumentar que ese frente corresponde al comité de inversiones o al propio directorio. Es probable que así sea. Pero si nadie lo dice, la decisión queda donde caen todas las decisiones sin dueño: en el órgano que estaba más cerca.

Nombrarlo no exige crear nada. Exige que en la próxima aprobación de presupuesto alguien pregunte quién decide el reparto entre los cuatro frentes, y que la respuesta quede en el acta.

Dónde falla también la separación

Una objeción razonable: la empresa peruana mediana no tiene tamaño para sostener cuatro gobiernos, y multiplicar órganos es multiplicar burocracia sobre estructuras ya tensionadas. Es cierta, y por eso la propuesta no es multiplicar órganos sino separar criterios dentro del que ya existe. Un comité puede revisar los cuatro frentes en la misma sesión sin que ninguno herede el apetito de riesgo del otro; lo que no puede es hacerlo sin haberlo decidido.

Hay un límite más incómodo. Un informe del Foro Económico Mundial elaborado con McKinsey sobre América Latina reporta que 23 % de las organizaciones de la región, el Perú incluido, genera algún valor económico con inteligencia artificial. Solo 6 % declara una creación de valor significativa. Separar gobiernos no garantiza capturar valor. La separación es condición necesaria, no suficiente, y así debe presentarse ante un directorio que ya escuchó demasiadas promesas.

Reflexiones finales

El país tiene hoy los instrumentos técnicos de los cuatro frentes. Existen marcos maduros y de acceso público para la gestión de la tecnología, para la seguridad de la información y para el gobierno del dato. Existe también un estándar internacional de sistemas de gestión de inteligencia artificial, adoptado en 2025 como norma técnica nacional por el Instituto Nacional de Calidad. Ninguno de los cuatro frentes carece de instrumento, y aun así solo uno de cada diez encuestados declara que su organización tiene aprobada una política de inteligencia artificial. El problema nunca estuvo en la disponibilidad del instrumento.

Esa distancia no se cierra adoptando un marco más. Los cuatro fueron escritos para quienes implementan, y ninguno contesta la única pregunta que le pertenece por completo al directorio y no puede delegarse: quién tiene permiso para decidir sin preguntar. Contestarla cuatro veces, y que las cuatro respuestas sean distintas, es todo lo que separa a un gobierno de cuatro puntos de agenda.

Ideas fuerza

Primera. Un comité que contesta cuatro preguntas distintas con el mismo criterio no toma cuatro decisiones: toma cuatro veces la que habría tomado el frente de tecnología, el único que llegó a la sala con titular, formato y presupuesto propios. La estructura no retrasa la decisión, la sustituye.

Segunda. Compartir agenda no es compartir criterio. Un directorio puede mantener los cuatro frentes bajo el mismo techo y bajo el mismo calendario; lo que no puede es dejar que uno preste sus umbrales a los otros tres sin haberlo autorizado.

Tercera. Compartir criterio entre frentes que se deshacen de distinta manera no simplifica la agenda: acepta que lo irreversible se decida con la ligereza de lo que puede corregirse mañana. Devolver una posición de fuente no es un acuerdo técnico, y ningún comité lo hace dos veces.

Cuarta. Si un directorio no puede nombrar cuatro apetitos de riesgo distintos, no tiene cuatro gobiernos: tiene uno con cuatro puntos de agenda, y el frente de tecnología está fijando el ritmo de los otros tres sin que nadie lo haya autorizado.

Preguntas al directorio

1. De nuestros cuatro frentes, ¿cuántos tienen hoy responsable, apetito de riesgo, métrica y control propios? Si la respuesta es uno, ¿cuál de los otros tres separamos primero y en qué sesión?

2. ¿Qué decisión de seguridad esperó a la siguiente reunión de comité durante el último año, y qué decisión sobre datos se tomó sin que nadie la esperara?

3. Cuando aprobemos nuestra política de inteligencia artificial, ¿de qué órgano será producto? Si es el mismo que aprueba la arquitectura tecnológica, ¿con qué criterio distinguirá entre las dos decisiones?

4. ¿De qué órgano depende hoy el reparto del presupuesto entre los cuatro frentes? Si se decide proyecto por proyecto, ¿con qué criterio comparamos una inversión que promete ahorro contra otra que promete aprendizaje?

5. ¿Quién puede decidir sin consultarnos en cada uno de los cuatro frentes? Si no podemos dar cuatro respuestas distintas, la separación todavía no existe.

Referencias

Banco Central de Reserva del Perú. (2026). Informe de la Encuesta Mensual de Expectativas Macroeconómicas – Enero 2026 (Notas de Estudios del BCRP N.º 08). BCRP.

EY Perú. (2026). La IA ya está aquí. ¿Quién la gobierna? Resultados de la encuesta AI & Boards 2026. EY.

Instituto Nacional de Calidad. (2025). NTP-ISO/IEC 42001:2025. Sistema de gestión de inteligencia artificial. Requisitos. INACAL. [Denominación exacta pendiente de cotejo con la Sala de Lectura Virtual del INACAL].

World Economic Forum & McKinsey & Company. (2026). Latin America in the Intelligent Age: A New Path for Growth. World Economic Forum.