El dato que nadie aprobó mover
Un analista de cumplimiento en Bogotá pega un contrato confidencial en una herramienta de IA de uso libre. Un socio en Ciudad de México usa un asistente de lenguaje para redactar un memorando interno con información regulatoria sensible. Nadie lo prohíbe. Nadie lo sabe.
Ese es el escenario más común en las empresas financieras y de servicios profesionales de la región hoy. La adopción de herramientas de IA crece a ritmo acelerado, pero la gobernanza sobre dónde viajan los datos va muy por detrás.
Esto no es un problema técnico. Es un problema de junta directiva.
Por qué la soberanía de datos llega al salón de juntas
En Colombia, la Superintendencia Financiera (SFC) tiene lineamientos claros sobre el tratamiento de datos de clientes y la responsabilidad institucional sobre los sistemas de procesamiento. En México, la CNBV y la Ley Federal de Protección de Datos Personales en Posesión de Particulares establecen obligaciones similares. Ninguno de estos marcos fue diseñado pensando en LLMs, pero aplican de todas formas.
Cuando un empleado usa un modelo de IA alojado fuera del territorio nacional, o cuyo proveedor entrena sobre los datos ingresados, la empresa puede estar en incumplimiento regulatorio sin saberlo. Y en caso de una brecha o auditoría, la pregunta no será quién pulsó "enviar": será quién aprobó la política.
Las consecuencias no son solo regulatorias. Son reputacionales. Un cliente corporativo o institucional que descubra que su información fue procesada por un servidor en otra jurisdicción sin consentimiento explícito tiene razones fundadas para terminar la relación.
Las tres preguntas que la junta debería poder responder
Antes de aprobar cualquier despliegue de IA a escala, la dirección ejecutiva necesita respuestas concretas a tres preguntas:
1. ¿Dónde se procesan nuestros datos? No es suficiente saber el nombre del proveedor. ¿En qué región están los servidores? ¿Qué contratos de procesamiento de datos existen? ¿Hay subcesionarios involucrados?
2. ¿Nuestros datos se usan para entrenar modelos externos? Algunos proveedores de herramientas de IA incluyen cláusulas de uso de datos para entrenamiento por defecto. Esto puede ser aceptable en ciertos contextos; en servicios financieros y legales, generalmente no lo es.
3. ¿Tenemos alternativas con el mismo nivel de capacidad? Esta es donde entra la conversación sobre modelos de código abierto y arquitecturas soberanas. La respuesta corta es sí, existen alternativas. La respuesta larga requiere un análisis de caso.
Modelos de peso abierto: la opción que muchos CIOs aún no han evaluado formalmente
Los modelos de lenguaje de código abierto de alta capacidad, como las familias Llama de Meta y Mistral, permiten despliegues completamente contenidos dentro de la infraestructura de la empresa, ya sea en nube privada o en instalaciones propias. El dato nunca sale del perímetro.
Esto tiene implicaciones directas:
- El cumplimiento regulatorio es más simple de demostrar, porque el flujo de datos es controlado y auditable.
- El riesgo de que información sensible de clientes alimente modelos de terceros desaparece.
- La empresa retiene el control total sobre la configuración, el acceso y el registro de uso.
La contrapartida es real: el despliegue de modelos abiertos requiere capacidad de infraestructura, expertise técnico y gobernanza de versiones. No es el camino correcto para cada caso de uso. Pero para empresas financieras y de servicios profesionales que manejan información regulada, es una opción que merece análisis serio, no descarte automático.
La decisión no es binaria entre "usar ChatGPT" o "no usar IA". Hay un espectro de arquitecturas, y la tarea del CIO y del líder de transformación digital es mapear ese espectro frente a los requisitos específicos de la organización.
Plataformas empresariales con controles de datos explícitos
Para organizaciones que necesitan capacidades avanzadas de búsqueda y conocimiento a escala, existen plataformas empresariales diseñadas con controles de datos explícitos desde el inicio. Glean, por ejemplo, está construida sobre una arquitectura de permisos que garantiza que cada empleado solo accede a la información que ya tiene autorización para ver, con conectores a los sistemas existentes de la empresa y sin retener datos propietarios para entrenamiento de modelos.
ClearFuture es Certified Glean Partner. Cuando recomendamos Glean, lo hacemos porque es la solución correcta para el problema en cuestión, no por incentivo comercial.
Glean ha sido reconocida como Emerging Leader in the Emerging Market Quadrant of the 2025 Gartner Innovation Guide for Generative AI Knowledge Management Apps. Empresas como Databricks, Booking.com y Samsung la operan a escala.
Pero la plataforma es solo parte de la ecuación. La gobernanza del despliegue, los conectores, la gestión del cambio y la optimización continua son los factores que determinan si la inversión produce resultados medibles. Eso es lo que ClearFuture entrega como AI Office embebido.
Un marco práctico para la decisión
La soberanía de datos no se resuelve con una política de una página. Requiere cuatro elementos que trabajen juntos:
Inventario de flujos de datos: qué herramientas de IA están en uso hoy, qué datos procesan, y bajo qué términos contractuales. Muchas empresas no tienen esta visibilidad.
Clasificación de sensibilidad: no todos los datos requieren el mismo nivel de control. Un modelo de clasificación permite priorizar dónde aplicar controles más estrictos y dónde la fricción es innecesaria.
Evaluación de arquitectura: para cada caso de uso prioritario, ¿cuál es la arquitectura correcta? ¿Modelo propietario con contrato de procesamiento de datos robusto? ¿Modelo abierto en infraestructura propia? ¿Plataforma empresarial con aislamiento de datos? La respuesta varía según el caso.
Gobernanza continua: la política no es un documento estático. Los proveedores cambian sus términos, los modelos evolucionan, y los reguladores actualizan sus guías. La gobernanza de IA requiere revisión periódica.
Para llevar
- La soberanía de datos en el contexto de IA es una responsabilidad institucional, no una decisión técnica delegable.
- Las empresas financieras y de servicios profesionales en Colombia y México están expuestas a riesgo regulatorio y reputacional si no tienen una política explícita sobre dónde se procesan sus datos.
- Los modelos de peso abierto y las plataformas empresariales con aislamiento de datos son alternativas reales que merecen evaluación formal.
- La decisión correcta depende del caso de uso, la infraestructura existente y el apetito regulatorio de la organización. No existe una respuesta única.
- El primer paso es tener visibilidad sobre los flujos de datos actuales. Sin ese inventario, cualquier política de gobernanza construida sobre él es incompleta.
El informe Work AI en la empresa - LATAM 2026 de ClearFuture incluye datos específicos sobre adopción de IA, preocupaciones de gobernanza y patrones de inversión en empresas de la región. La descarga es abierta, sin registro: insights.clearfuture.ai.
Si su organización está evaluando cómo estructurar la gobernanza de IA antes de escalar, podemos ayudarle a mapear el terreno con una llamada de diagnóstico sin costo: calendly.com/jp-clearfuture/30min.