Del uso de IA a su gobernanza: claves para llegar preparados al 10 de setiembre

Por: Gloria Zapata, Consultora Senior de Riesgos, BDO Perú
 

El próximo 10 de setiembre de 2026 vence el primer plazo del cronograma gradual previsto por el Reglamento de la Ley N.º 31814 para determinadas obligaciones aplicables a desarrolladores e implementadores privados de inteligencia artificial en los sectores de salud, educación, justicia, seguridad, economía y finanzas.

A pocos días de este hito, las organizaciones deben avanzar más allá de la identificación de sus herramientas de inteligencia artificial. El verdadero desafío consiste en conocer dónde se utilizan, determinar su nivel de riesgo, asignar responsabilidades y conservar evidencia de los controles implementados.

En este artículo, Gloria Zapata, Consultora Senior de Riesgos de BDO Perú, analiza las principales disposiciones aplicables y plantea cinco acciones para fortalecer la gobernanza de la IA: inventariar, clasificar, asignar responsables, documentar controles y monitorear su funcionamiento.

El Decreto Supremo N.º 115-2025-PCM aprobó el Reglamento de la Ley N.° 31814 y estableció un esquema de implementación progresiva. Conviene precisar que el hito del 10 de setiembre no representa la entrada en vigor integral del Reglamento. Para el sector privado, corresponde al vencimiento del primer plazo para implementar las disposiciones de transparencia algorítmica del artículo 25 y las obligaciones y buenas prácticas del Capítulo II del Título VI, cuando la IA se utiliza en los seis sectores señalados.

Los demás sectores cuentan con plazos diferenciados: dos años para transporte, comercio y trabajo; tres años para producción, agricultura, energía y minería; y cuatro años para los usos no incluidos en esas categorías. Las MYPE y los emprendimientos innovadores tienen un calendario propio. Esta gradualidad, sin embargo, no debería interpretarse como una razón para postergar la gobernanza: identificar sistemas, responsables, datos, decisiones y riesgos requiere tiempo y coordinación entre varias áreas.
 

¿Cuándo estamos ante una IA de alto riesgo?

El Reglamento adopta un enfoque basado en riesgos. Considera de alto riesgo los sistemas cuyo uso puede comprometer la vida, la dignidad, la libertad, la seguridad física u otros derechos fundamentales. Entre los casos expresamente contemplados se encuentran la gestión de activos críticos que soportan servicios esenciales, la selección y evaluación de trabajadores, la evaluación crediticia, el acceso a servicios de salud y determinados usos en educación.

La clasificación no depende únicamente de la tecnología. También importa el propósito del sistema, la decisión que apoya, las personas afectadas y las posibles consecuencias no deseadas. Por ello, una herramienta aparentemente operativa puede adquirir una exposición relevante si influye en decisiones laborales, financieras o de acceso a servicios.
 

De la transparencia formal a la trazabilidad real

Para los sistemas de alto riesgo, el artículo 25 exige mecanismos de transparencia algorítmica. Los usuarios deben recibir, de manera previa, clara y sencilla, información sobre la finalidad del sistema, sus principales funcionalidades y el tipo de decisiones que puede adoptar. Cuando corresponda, deben utilizarse avisos o etiquetado visible; y, si una decisión impacta derechos humanos, el resultado debe poder explicarse mediante criterios y factores comprensibles para la persona afectada.

A ello se suman obligaciones para el desarrollador o implementador privado: mantener un registro actualizado de los sistemas de alto riesgo; mediante: políticas, protocolos y procedimientos de seguridad, privacidad, transparencia, y rendición de cuentas; fortalecer la concientización interna; y asegurar supervisión humana efectiva.
 

Cuatro preguntas clave para llevar la norma a la práctica:

¿Cómo y por qué mantener registros de los sistemas de alto riesgo?

El registro debe mantenerse actualizado y accesible para identificar los sistemas en uso, su finalidad, responsables, fuentes de datos, lógica general, impactos esperados, versiones, pruebas, incidentes y medidas correctivas. Esto permite asegurar la trazabilidad, reconstruir decisiones y demostrar los controles implementados.

¿Qué políticas y procedimientos pueden implementarse?

Por ejemplo, una política de uso responsable de IA; procedimientos para inventariar y clasificar sistemas; protocolos de validación, gestión de cambios e incidentes; controles para proveedores y tratamiento de datos; y criterios de aprobación, monitoreo y escalamiento. Cada documento debe establecer responsables y evidencias que deben conservarse.

¿Cuál debería ser el contenido mínimo de la capacitación interna?

Debe incluir los usos permitidos y prohibidos de la IA, riesgos de sesgo, privacidad y seguridad, limitaciones del sistema, verificación de resultados, obligaciones de transparencia, reporte de incidentes y situaciones que requieren revisión humana. El contenido debe adaptarse a las funciones de cada colaborador.

¿Cómo garantizar una supervisión humana efectiva?
Se deben designar personas capacitadas, con acceso a la información necesaria y autoridad para cuestionar, detener, corregir o invalidar una decisión. Asimismo, deben definirse umbrales de intervención, rutas de escalamiento y mecanismos para documentar cada revisión, evitando que la validación humana se convierta en una aprobación automática.
 

Cinco recomendaciones para convertir la norma en gestión:
  • Inventariar: registrar, por ejemplo, un sistema de IA utilizado para evaluar candidatos, indicando su finalidad, responsable, proveedor y datos utilizados.
  • Clasificar: determinar si ese sistema es de alto riesgo porque influye en decisiones de selección o contratación laboral. Ajustar la matriz de riesgos para la óptima valuación de riesgos relacionados a IA.
  • Asignar responsables: definir quién aprueba el sistema, quién valida sus resultados y quién atiende incidentes o reclamos.
  • Documentar controles: conservar las pruebas realizadas, versiones, resultados, limitaciones detectadas y decisiones de supervisión humana.
  • Comunicar y monitorear: informar que se utiliza IA, capacitar a los usuarios y revisar periódicamente posibles errores, sesgos o cambios en su desempeño.

La oportunidad detrás del cumplimiento

La adecuación al Reglamento no debe entenderse únicamente como una obligación legal. Una gobernanza adecuada permite gestionar riesgos, fortalecer la confianza de clientes y usuarios y aprovechar la IA de manera responsable y sostenible.
 

Fuentes oficiales consultadas

Decreto Supremo N.° 115-2025-PCM y Reglamento de la Ley N.° 31814: https://busquedas.elperuano.pe/dispositivo/NL/2436426-1
 
Ley N.° 31814: https://www.gob.pe/institucion/congreso-de-la-republica/normas-legales/4565760-31814

Portal oficial de Inteligencia Artificial de la PCM: https://www.gob.pe/iaperu


Contáctanos

¿Tienes consultas o necesitas apoyo especializado? Nuestro equipo está listo para ayudarte.