Ninguna entidad tiene un problema de IA que no sea, primero, un problema de datos

La gobernanza de datos suele presentarse como un asunto técnico de sistemas de información. Es, ante todo, un problema de gestión pública: saber qué datos tiene la entidad, quién responde por ellos, con qué calidad, quién puede usarlos y bajo qué reglas. Una entidad que no puede responder esas cinco preguntas no puede cumplir bien su misión ordinaria — y no debería, con esos cimientos, adoptar inteligencia artificial.

El momento de decirlo no es casual. El Consejo de la Unión Europea acaba de adoptar formalmente el Reglamento de IA, y entre sus requisitos para sistemas de alto riesgo está precisamente la gobernanza de los datos que los alimentan. La banca multilateral condiciona cada vez más su financiamiento digital a capacidades de datos. Y la región acumula recordatorios del costo de no gobernarlos: en 2023, un ataque de ransomware a un solo proveedor tecnológico interrumpió servicios de decenas de entidades públicas colombianas, incluida la rama judicial.

La paradoja colombiana: vitrina brillante, trastienda pendiente

Colombia tiene una posición de partida mejor que casi cualquier vecino. El marco normativo está razonablemente completo — habeas data (2008), protección de datos (2012), transparencia (2014), la primera política de explotación de datos de la región (2018), un plan nacional de infraestructura de datos (2021). Y el país es una potencia reconocida en datos abiertos: tercer lugar mundial en el índice OURdata de la OCDE en 2019, sobre el promedio OCDE en la edición 2023.

La brecha no es de normas ni de vitrinas: es de gestión interna. La mayoría de las entidades no tiene inventario de sus datos, ni responsable identificable, ni reglas de calidad y compartición. Cada evaluación de política paga el costo de reconstruir datos que el Estado ya tiene; cada cruce entre entidades se negocia desde cero.

El marco: cuatro capas, diez componentes

Nuestro marco ordena el trabajo en cuatro capas. Dirección: una política de datos corta aprobada por la cabeza de la entidad, y un responsable de datos del nivel directivo — si la respuesta a “¿quién responde por los datos?” es “sistemas”, la entidad no tiene gobernanza; tiene infraestructura. Activos y calidad: el inventario con dueño por cada base —la pieza fundacional: no se protege lo que no se conoce—, estándares de identificadores y medición de calidad. Flujos: interoperabilidad, acuerdos escritos de intercambio y datos abiertos. Salvaguardas: seguridad —incluido el riesgo de terceros que 2023 dejó tasado—, privacidad y ciclo de vida.

La ruta de 90 días convierte el marco en calendario: responsable y comité en dos semanas; inventario de bases críticas en un mes; contratos de custodia revisados; acuerdos formalizados para cada intercambio activo; política y métricas al día 90. Tres reglas la acompañan: empezar por los dominios que deciden, medir poco y en público, y no comprar plataformas antes del inventario.

Por qué importa

Para la dirección de una entidad, este marco define qué debe existir antes de firmar cualquier proyecto de analítica o IA — y qué exigirle a quien lo proponga. Para los órganos de control, entrega seis preguntas verificables, empezando por la primera: ¿existe un inventario con dueño por cada base? Si la respuesta es no, nada de lo demás es comprobable.

La conclusión admite formularse como predicción: en cinco años, la diferencia entre las entidades que aprovechan la IA y las que la padecen se explicará menos por los modelos que compren y más por el estado de sus datos. La buena noticia es que los datos, a diferencia de los modelos, ya son suyos.

El documento completo —con su metodología, sus fuentes y sus limitaciones— está disponible en el PDF descargable de esta página.