En mi entrega anterior, describí el mapa normativo salvadoreño de inteligencia artificial y la nueva figura del operador. Cierro aquí el ciclo con la pregunta que sigue naturalmente: ¿quién, dentro de la empresa, convierte ese marco en una forma concreta de operar?

Al respecto, podemos decir que la distancia que separa hoy a la mayoría de las organizaciones del cumplimiento normativo no es de información. Es de traducción. Buena parte de los equipos directivos ya conoce las obligaciones; lo que muchas no tienen resuelto es cómo un principio jurídico se transforma en un procedimiento que alguien ejecuta y del cual debe quedar registro.

Por ejemplo, una ley puede establecer transparencia, supervisión humana, protección de datos y rendición de cuentas. Ninguno de esos principios se aplica solo. Alguien debe convertirlos en pasos, asignar responsables, fijar umbrales, conservar evidencia y definir qué ocurre cuando el sistema falla. Esa función —llamémosla traducción institucional— es hoy la capacidad más pertinente en el mercado salvadoreño y regional.

Cómo se ve una obligación legal traducida: Pensemos en una empresa que filtra currículos con una herramienta de inteligencia artificial. Recursos Humanos suele describirla como un apoyo que ordena información. La primera pregunta de la traducción es incómoda y precisa: la IA ¿ordena, selecciona o excluye? Si el candidato que la herramienta relega no vuelve a ser visto, el sistema no está apoyando la decisión: la está tomando.

De esa respuesta se desprende todo lo demás. Identificar la herramienta en el inventario, documentar su finalidad y los datos que procesa, definir quién está autorizado a usarla y quién revisa sus resultados es el camino adecuado. Asimismo, establecer en qué momento un revisor puede apartarse de la recomendación algorítmica, con qué criterio y registrar las razones de esa decisión.

Así, la supervisión humana deja de ser una declaración y se vuelve verificable: una persona competente, con autoridad real para revertir el resultado, interviene en un punto definido del proceso, aplica criterios establecidos de antemano y deja constancia. Son cuatro condiciones. Si falta cualquiera de ellas, hay revisión aparente, no supervisión.

El mismo ejercicio en una institución financiera produce decisiones distintas, pero de idéntica naturaleza. Proteger datos se traduce en reglas sobre qué se recopila, cuánto tiempo se conserva, quién accede y cómo se elimina. La rendición de cuentas obliga a nombrar a quien responde cuando el modelo recomienda mal. Y aparece una decisión técnica que casi siempre queda sin dueño: el límite. ¿Cuándo una solicitud rechazada merece una segunda lectura humana? Ese número no está en la ley y debería fijarlo la institución, justificarlo y revisarlo periódicamente.

Incluso una empresa -como los escritorios jurídicos- que usan IA generativa para redactar contratos, preparar ofertas o responder consultas necesita esta traducción. Prohibir el ingreso de información confidencial no sirve de nada si antes nadie definió qué información es confidencial, qué herramientas están autorizadas y quién revisa un documento antes de que salga hacia un cliente. La política de IA se vuelve operativa cuando se convierte en clasificación de información, lista de herramientas permitidas, control de accesos y un protocolo para el día en que un texto generado resulte falso.

Una función, no un cargo: Ninguna de estas decisiones cabe en una sola cabeza, y por eso el error más frecuente es delegarlas en un área. El abogado identifica la obligación, pero no sabe en qué punto del proceso insertar el control. El especialista técnico sabe cómo funciona el sistema, pero no qué derecho está en juego. Operaciones conoce el flujo real de trabajo; gestión de riesgos, los límites y el escalamiento; Auditoría, determina lo que constituye una evidencia suficiente; Recursos Humanos, examina las competencias que exige revisar un resultado algorítmico. La alta dirección decide quién tiene autoridad para aprobar, suspender o retirar un sistema.

Por ello, la traducción institucional no agrega necesariamente un puesto al organigrama, pero si requiere un espacio responsable que articule esos saberes en una arquitectura coherente. Sin esa articulación, cada área entenderá una parte del problema y nadie gobernará el conjunto, que es exactamente lo que una verificación documental dejará al descubierto.

Conviene señalar que esta no es solo una exigencia local. El Reglamento europeo de inteligencia artificial convierte sus principios en obligaciones concretas de supervisión, conservación de registros, monitoreo y gestión de incidentes. El marco de gestión de riesgos del Instituto Nacional de Estándares y Tecnología de Estados Unidos —NIST— recomienda conectar la gobernanza de IA con los controles que la organización ya tiene, inventariar sistemas, documentar responsabilidades y establecer procedimientos de corrección. Jurisdicciones distintas para una misma conclusión: el cumplimiento no vive en el documento, vive en el proceso.

¿Qué hacer en cuatro semanas?: Sería irreal sugerir que un mes basta para construir una gobernanza madura. No basta. Pero sí alcanza para algo que cambia sustancialmente la posición de una empresa ante una eventual verificación: pasar de no saber a saber lo que no sabe. La secuencia razonable sería:

1. Inventario (Tecnología y Operaciones): Identificar qué sistemas de IA están en uso, incluidos los no autorizados formalmente.
2. Clasificación (Legal y Riesgos): Determinar cuáles intervienen en decisiones que afectan derechos, acceso a servicios o la situación económica de una persona.
3. Asignación (Alta Dirección): Asignar a cada sistema crítico un responsable con nombre, un límite de revisión humana y un criterio explícito para apartarse de la recomendación automática.
4. Documentación (Auditoría Interna): Dejar constancia de lo decidido, incluso si la decisión es postergar un control por falta de capacidad. Una brecha identificada y fechada se defiende; una desconocida, no..

En resumen, para responder quién usa cada sistema, sobre qué datos y bajo qué autorización, una empresa debe primero averiguarlo, y la mayoría de las direcciones descubre en ese inventario herramientas que no sabía que estaban en uso, contratos con proveedores que nunca se evaluaron y procesos donde una decisión importante depende de un criterio que nadie escribió.

Lo que se gana, además de cumplir: al principio, este rediseño de funciones pudiera parecer una carga o como exceso de burocracia,al cual no se le ve el retorno inmediato. Sin embargo, la experiencia sugiere lo contrario. Ordenar eso tiene valor propio, con regulación o sin ella. Mejora la selección de proveedores, reduce la improvisación, protege información estratégica y permite sostener ante un cliente internacional una afirmación que hoy pocas empresas de la región pueden sostener.

Queda entonces una elección de tiempos. Las organizaciones salvadoreñas pueden esperar a que una autoridad, un cliente o una persona afectada les pida explicaciones, o comenzar a ordenar lo que ya tienen y dimensionar lo que falta. La diferencia entre ambas rutas no es el costo: es quién elige el momento para hacerlo.

La próxima ventaja institucional no consistirá en adoptar inteligencia artificial antes que los demás. Consistirá en poder usarla con propósito claro, responsabilidad identificable, mando humano efectivo y evidencia verificable. La ley ya fijó el marco. Traducirlo en capacidad es trabajo de cada organización, y ese trabajo no empieza solo.

Dra. Mireya Rodríguez

Experta en gobernanza ética y transformación digital · CEO de VORTEX IA Solutions, S.A. de C.V.

Quien desee revisar cómo luce una obligación normativa convertida en procedimiento verificable, puede solicitar el esquema de traducción que utilizamos en nuestros diagnósticos escribiendo a: mireya@vortexIA-solutions.com