Roles, responsabilidades y autoridad: quién hace y quién decide
Un compromiso necesita personas con capacidad para cumplirlo. Vamos a repartir el trabajo y las decisiones sin dejar al equipo solo ante los problemas.
Recupera la decisión de la lección 3.1 y el borrador de política de la 3.2. Tiempo orientativo: 15 minutos de lectura y 25 de práctica.
Audio 008 · Gobernar la IA en equipo
Responsabilidades, objetivos y competencia · Apoyo a las lecciones 3.3, 3.4 y 3.5.
Consultar el punto de escucha del episodio 008 ↗ (nueva pestaña)
Este episodio tiene su punto de escucha en lección 3.5. Si ya lo has escuchado, utiliza estas notas para repasar; no hace falta repetir el audio completo.
Aclaraciones para la escucha
TechServe IT y las cifras del ejemplo son simulados. La meta del 90 % no es un requisito normativo ni una garantía de seguridad. Los fallos críticos necesitan una valoración específica.
Permisos: cada persona necesita los accesos necesarios para su función. Esto no implica conceder permisos generales de administrador. Deben estar claras la autoridad, las suplencias y las vías de escalado.
Comprobación de la preparación: los simulacros son una herramienta didáctica y de evaluación, no una obligación universal atribuida aquí a la norma. La competencia puede evaluarse mediante experiencia contrastada, observación, ejercicios controlados y revisión de resultados. No es necesario provocar situaciones peligrosas en producción.
Objetivos y desviaciones: detectar un incumplimiento muestra que la medición aporta información, pero no demuestra que todo el sistema funcione correctamente. Los objetivos pueden revisarse mediante una decisión justificada y documentada, conservando el resultado anterior. No deben modificarse retrospectivamente para aparentar cumplimiento.
El audio complementa el contenido escrito y las actividades. Las analogías y expresiones enfáticas no sustituyen el análisis del contexto y de los riesgos.
Asignar una tarea no basta
“El equipo técnico se encargará del chatbot” parece una asignación clara. Sin embargo, no responde a preguntas esenciales: ¿puede suspender una función si detecta un problema?, ¿quién autoriza ampliar su uso?, ¿quién aporta los medios?, ¿qué sucede si la persona que decide no está disponible?
En el SGIA necesitamos conectar las funciones con responsabilidades y capacidad de decisión. La explicación pública de ISO incluye la definición de responsabilidades entre los elementos de la gestión de IA. Las funciones y matrices que usamos aquí son propuestas didácticas; sus nombres no constituyen puestos obligatorios.
- Rol: función desde la que actúa una persona, por ejemplo, operar el servicio o coordinar el SGIA.
- Responsabilidad: resultado o tarea que debe atender, como revisar una alerta y registrar lo observado.
- Autoridad: decisiones que puede tomar, dentro de unas condiciones y unos límites conocidos.
- Capacidad: competencias, tiempo, acceso y medios para cumplir lo asignado.
La responsabilidad sin medios deja al equipo expuesto. La autoridad sin límites puede producir decisiones incompatibles. Antes de cerrar una asignación, comprueba ambas cosas con las personas implicadas.
Un mapa de funciones para TechServe IT
Este mapa es una propuesta para trabajar el caso ficticio. No presupone un organigrama aprobado ni personas ya nombradas. Las funciones de apoyo pueden asesorar directamente a quien prepara o toma una decisión, según su ámbito.
Lectura del mapa
- Dirección: marca prioridades, asigna medios y resuelve las decisiones que superan la autoridad delegada.
- Coordinación del SGIA: conecta compromisos, procesos y evidencias; detecta vacíos y promueve su resolución. No concentra necesariamente todas las aprobaciones.
- Responsable del servicio: organiza el uso y los cambios dentro del marco acordado; eleva lo que excede sus límites.
- Equipo técnico: configura, opera, observa resultados y actúa según los procedimientos y permisos definidos.
- Funciones de apoyo: aportan criterio de privacidad, seguridad, legal o compras cuando corresponda. Asesorar no equivale por sí solo a autorizar.
En una organización pequeña, una persona puede asumir varias funciones. Debe quedar claro desde cuál actúa, qué límites tiene y cuándo necesita una revisión adicional para evitar conflictos de interés.
La matriz: hacer, decidir, consultar e informar
Una matriz RACI ayuda a ordenar estas relaciones. Usaremos R para quien realiza el trabajo; A para quien asume la responsabilidad final de la actividad y, cuando procede, su autorización; C para quienes deben ser consultados antes; e I para quienes reciben información. La letra A no concede permisos legales ni sustituye una delegación real de autoridad.
Como criterio de diseño del ejercicio, proponemos una A clara por actividad. Si una decisión requiere aprobación conjunta, documenta cómo se adopta y cómo se resuelven desacuerdos. No ocultes esa necesidad forzándola dentro de una casilla.
| Actividad | Realiza (R) | Responsabilidad final (A) | Consulta (C) | Informa (I) |
|---|---|---|---|---|
| Preparar y aprobar la política | Coordinación del SGIA prepara el borrador. | Dirección aprueba, tras el contraste correspondiente. | Responsable del servicio y apoyos pertinentes. | Personas afectadas por la política. |
| Evaluar la ampliación del chatbot | Responsable del servicio coordina la evaluación con el equipo. | Autoridad competente según el alcance del cambio y la delegación. | Coordinación del SGIA y apoyos según los efectos. | Equipo operativo y personas afectadas por la decisión. |
| Aplicar una contención preautorizada | Operador designado ejecuta los pasos. | Responsable designado en el procedimiento de respuesta. | Apoyos previstos para la situación. | Responsable del servicio y destinatarios definidos. |
Propuesta pendiente de validar. La segunda fila deja una cuestión abierta a propósito: no sabemos qué puede autorizar el responsable del servicio. Hay que confirmar la delegación antes de asignarle esa decisión. La tercera fila solo funciona si existen criterios, medios y autorización previa para actuar.
Una fila que diga “todo el equipo” no identifica quién recoge el trabajo. Si participan varias personas, concreta quién coordina la ejecución y cómo se reparte. Incluye además quién cubre ausencias y cómo se realiza el relevo.
Escalar con información y sin abandonar el caso
Escalar consiste en llevar una decisión al nivel que tiene autoridad o capacidad para resolverla. El equipo mantiene el seguimiento que le corresponde; enviar un correo no demuestra que alguien haya aceptado el caso.
- Identificar la situación: qué se ha observado, cuándo y a qué uso afecta. Separa hechos, hipótesis y datos pendientes.
- Actuar dentro del permiso: aplicar las medidas de contención previstas, si se cumplen sus condiciones. No improvisar una intervención fuera de autoridad.
- Solicitar una decisión concreta: presentar opciones, consecuencias, urgencia y lo que excede la autoridad actual.
- Confirmar la recepción: saber quién asume la decisión y activar la suplencia si no responde conforme al procedimiento.
- Registrar y seguir: conservar decisión, motivo, responsable y siguiente comprobación; comunicar el resultado a quienes deban actuar.
Define los tiempos de respuesta según la criticidad y el servicio. Este curso no fija un plazo universal. Una vía de emergencia puede ser distinta de la vía ordinaria y debe quedar preparada antes de necesitarla.
Caso práctico: nadie quiere decidir
Nueva escena hipotética. Durante una prueba del chatbot, un técnico observa respuestas que no siguen las instrucciones del servicio. No conocemos todavía su frecuencia ni su efecto sobre usuarios. El responsable del servicio responde: “Consúltalo con quien lleva la IA”. La coordinación del SGIA contesta: “Eso es operación”. El proveedor pide un ejemplo reproducible.
El problema de gestión es que no hay una decisión asumida. El conocimiento técnico del proveedor puede ayudar, pero no define quién decide en TechServe IT cómo operar el servicio mientras se investiga.
Empieza por aclarar si la prueba está aislada o si el uso real puede estar afectado. Recoge ejemplos con información protegida, identifica las acciones ya autorizadas y solicita una decisión concreta al responsable competente. Si este no está identificado o disponible, activa la vía de escalado o suplencia prevista. La ausencia de una vía utilizable debe registrarse como una carencia que necesita resolución.
No des por hecho que todo el chatbot debe detenerse ni que puede seguir igual. La medida debe responder a los hechos, a las consecuencias posibles y a las facultades de quien decide. La investigación y la atención del servicio necesitan responsables aunque el proveedor siga analizando la causa.
Tu actividad: una matriz que pueda utilizarse
Completa las cuatro primeras filas con R, A, C e I. Añade los límites de autoridad y las incógnitas. Después define suplencias, escalado y evidencias. Puedes utilizar nombres de funciones; no inventes personas ni delegaciones.
Criterios de revisión
- Cada actividad tiene ejecución y responsabilidad final identificadas o un pendiente explícito de asignación.
- Las decisiones respetan delegaciones que hay que confirmar, no permisos supuestos.
- Las personas consultadas aportan criterio relevante; la información llega a quienes deben actuar.
- Hay cobertura de ausencias y una forma de confirmar que el escalado ha sido recibido.
- Los medios, accesos y competencias necesarios aparecen como condiciones para asumir la tarea.
Orientación para resolver la escena
Una propuesta razonable es que el equipo prepare la información técnica y el responsable del servicio coordine la evaluación y asuma el seguimiento. La decisión operativa corresponderá a quien tenga autoridad para esa medida. La coordinación del SGIA ayudará a resolver el vacío de responsabilidades; los apoyos y el proveedor aportarán información en sus ámbitos. Si la decisión supera la delegación, se elevará a la dirección competente con opciones y consecuencias. Todo ello debe contrastarse con la organización real.
Repaso con respuestas explicadas
¿Saber configurar el chatbot permite autorizar cualquier cambio?
No. La competencia técnica y la autoridad son distintas. Una persona puede preparar o ejecutar un cambio sin estar facultada para aprobar su finalidad, sus riesgos o sus recursos.
¿Una RACI elimina la necesidad de un procedimiento?
No. Reparte participación y responsabilidad, pero no suele explicar condiciones, límites, pasos, tiempos ni suplencias. Hay que conectar ambas herramientas.
¿Coordinar el SGIA significa aprobarlo todo?
No. La coordinación mantiene las relaciones entre las piezas del sistema. Las decisiones deben distribuirse de acuerdo con las funciones y delegaciones pertinentes.
¿Se puede considerar resuelto el escalado después de enviar un mensaje?
No. Hace falta conocer quién asume la decisión y mantener el seguimiento. Si no hay respuesta, se aplica la vía alternativa definida según la urgencia.
Referencias y siguiente paso
Orientación general: ISO/IEC 42001:2023 ↗ (nueva pestaña) y explicación pública de ISO ↗ (nueva pestaña), consultadas durante la preparación del módulo. La matriz y el mapa son herramientas didácticas; esta lección no sustituye la comprobación del texto normativo aplicable.
Conserva la matriz junto a la política. En la lección 3.4: Objetivos y planificación conectaremos los compromisos con resultados, responsables, recursos y seguimiento.