Controlar la IA o esperar que no pase nada: las dos únicas estrategias que existen hoyControl AI, or hope nothing goes wrong: the only two strategies that exist today
Analista de Transfer Pricing. Investigador en gobernanza algorítmica aplicada al cumplimiento fiscal internacional. Creador del Sistema TRIA.Transfer Pricing Analyst. Researcher in algorithmic governance applied to international tax compliance. Creator of Sistema TRIA.
Hay exactamente dos estrategias disponibles para una organización frente al uso de IA en sus procesos. La primera es diseñar activamente cómo se usa, quién la supervisa, qué queda registrado y quién responde cuando algo sale mal. La segunda es no hacer nada y esperar que nada salga mal.There are exactly two strategies available to an organization facing AI use in its processes. The first is to actively design how it's used, who oversees it, what gets recorded, and who's accountable when something goes wrong. The second is to do nothing and hope nothing goes wrong.
Por qué la inacción es una decisiónWhy inaction is a decision
No existe una tercera opción. "Estamos evaluando" es otra forma de nombrar la segunda.
There is no third option. "We're evaluating it" is just another name for the second one.
La IA no espera a que la organización esté lista para usarla. Ya está siendo usada — por los equipos que encontraron una herramienta que les ahorra tiempo, por los analistas que generan borradores con IA y los revisan antes de enviarlos, por los asistentes que organizan documentación con modelos que nadie autorizó formalmente pero tampoco nadie prohibió.
AI doesn't wait for the organization to be ready to use it. It's already being used — by teams that found a tool that saves them time, by analysts who generate drafts with AI and review them before sending, by assistants who organize documentation with models no one formally authorized but no one prohibited either.
La adopción sin política no es un escenario hipotético. Es el estado actual de la mayoría de las organizaciones. Y en ese estado, la organización ya tiene exposición — sin haberla evaluado, sin haberla documentado y sin saber exactamente qué la genera.
Adoption without a policy isn't a hypothetical scenario. It's the current state of most organizations. And in that state, the organization already has exposure — without having assessed it, documented it, or knowing exactly what's generating it.
Esperar a que algo salga mal para diseñar la política es la estrategia de gestión de riesgos más costosa que existe: se paga el costo del incidente más el costo de la respuesta de emergencia más el costo reputacional de haberlo podido prevenir.
Waiting for something to go wrong before designing the policy is the most expensive risk-management strategy there is: you pay the cost of the incident, plus the cost of the emergency response, plus the reputational cost of having been able to prevent it.
Qué significa controlar en este contextoWhat 'control' means in this context
Controlar no significa prohibir. Una organización que prohíbe el uso de IA no la controla — la empuja a la clandestinidad. Los equipos siguen usándola, pero ahora sin ningún registro y sin ninguna posibilidad de supervisión.
Control doesn't mean prohibition. An organization that bans AI use doesn't control it — it pushes it underground. Teams keep using it, but now with no record and no possibility of oversight.
Controlar significa tres cosas concretas:
Control means three concrete things:
Saber qué está pasando. Qué herramientas se usan, para qué tipo de tareas, con qué tipo de datos. Sin ese inventario, no hay punto de partida.
Knowing what's happening. Which tools are used, for what kind of tasks, with what kind of data. Without that inventory, there's no starting point.
Definir el estándar mínimo. Qué se puede cargar y qué no. Qué versiones de herramientas están autorizadas (las que tienen ZDR activo y contrato vigente) y cuáles no. Qué registro debe quedar antes de que un output de IA integre un documento que sale de la organización.
Setting the minimum standard. What can be uploaded and what can’t. Which tool versions are authorized (the ones with active ZDR and a valid contract) and which aren’t. What record must be kept before an AI output feeds into a document that leaves the organization.
Asignar responsabilidad. Quién tiene mandato para mantener ese estándar actualizado, quién lo hace cumplir y a quién escalan los casos que no encajan en los criterios existentes.
Assigning accountability. Who has the mandate to keep that standard up to date, who enforces it, and who cases that don't fit the existing criteria get escalated to.
Eso no es burocracia. Es la diferencia entre operar con defensa y operar expuesto.
That's not bureaucracy. It's the difference between operating with a defense and operating exposed.
El momento en que la segunda estrategia fallaThe moment the second strategy fails
Hacia 2026, las organizaciones pasarán de la experimentación con IA a una fase donde la gobernanza y la rendición de cuentas son centrales. Esa transición no es voluntaria — es la consecuencia de que los reguladores, los auditores y las contrapartes contractuales empezaron a preguntar.
By 2026, organizations will move from AI experimentation into a phase where governance and accountability are central. That shift isn't voluntary — it's the consequence of regulators, auditors, and contractual counterparties starting to ask questions.
El momento en que la estrategia de esperar falla no es dramático. Es una pregunta de un auditor: ¿cómo elaboraron este análisis? O una cláusula en un contrato intercompany: el proveedor debe acreditar que los datos procesados con IA tienen ZDR activo. O un requerimiento de la UIF: reconstitúyan fila por fila el proceso detrás de esta declaración.
The moment the wait-and-see strategy fails isn’t dramatic. It’s an auditor’s question: how did you build this analysis? Or a clause in an intercompany contract: the vendor must certify that data processed with AI has active ZDR. Or a UIF request: reconstruct, row by row, the process behind this filing.
Si la respuesta a cualquiera de esas preguntas es "no tenemos el registro", la segunda estrategia acaba de mostrar su costo real.
If the answer to any of those questions is "we don't have the record," the second strategy has just shown its real cost.
Lo que separa a las organizaciones que están adelanteWhat sets the organizations ahead of the curve apart
No es que usen IA mejor. Es que tomaron la decisión de tener una política antes de que alguien se la exigiera. Eso les da dos ventajas concretas: documentación lista cuando llegue el regulador, y la posibilidad de iterar sobre una política que ya existe en lugar de construirla desde cero bajo presión.
It's not that they use AI better. It's that they made the decision to have a policy before someone demanded one. That gives them two concrete advantages: documentation ready when the regulator arrives, and the ability to iterate on a policy that already exists instead of building one from scratch under pressure.
La política no tiene que ser perfecta. Tiene que existir, ser conocida por quienes usan IA y tener alguien que la mantenga actualizada.
The policy doesn't have to be perfect. It has to exist, be known by the people who use AI, and have someone keeping it up to date.
Eso es todo lo que separa las dos estrategias. Y la distancia entre ellas se mide en evidencia disponible cuando alguien la pide.
That's all that separates the two strategies. And the distance between them is measured in evidence available when someone asks for it.
ReferenciasReferences
Lento U. (2026). Marco TRIA™: Trazabilidad, Razonamiento, IA, Auditoría. Dirección Nacional del Derecho de Autor, Legajo N.° RL-2026-46255181.
Lento U. (2026). Marco TRIA™: Trazabilidad, Razonamiento, IA, Auditoría. Dirección Nacional del Derecho de Autor, Legajo N.° RL-2026-46255181.