🛡️ Define qué es la gobernanza de IA
La gobernanza reúne la identidad del agente, los permisos, las responsabilidades, la auditoría, los logs, el control de costos, los entornos permitidos, los datos accesibles, las acciones prohibidas, la aprobación humana, la política de seguridad, la retención de información y el manejo de incidentes.
🆕 ¿Nuevo por aquí?
Gobernanza no es burocracia: es el conjunto de decisiones que permite decir "sí" con seguridad. Sin ella, cada equipo decide por su cuenta a qué puede acceder la IA, y la organización descubre sus reglas después del primer incidente. Auditoría es poder responder, después de los hechos, quién hizo qué, cuándo y con qué autorización.
✓ Gobernanza que funciona
- ✓Cabe en una página y la lee quien la va a usar
- ✓Dice qué está permitido, no solo qué está prohibido
- ✓Es verificable: el control existe en el sistema, no solo en el texto
- ✓Tiene responsable y fecha de la última revisión
✗ Gobernanza de fachada
- ✗Documento de 40 páginas que nadie abrió
- ✗Prohibiciones genéricas que el equipo elude para poder trabajar
- ✗Regla sin ningún control técnico correspondiente
- ✗Redacción de quien nunca usó un agente
Habilita
No solo prohíbe
Verificable
Control en el sistema
Breve
La que se lee es la que cuenta
Con responsable
Y fecha de revisión
🪪 Dale identidad y permisos al agente
Si un agente se ejecuta con la credencial personal de alguien, es imposible auditarlo y exigir responsabilidades; además, se concede un acceso que nadie revisó. El agente es un usuario del sistema, y debe tener identidad propia, alcance mínimo y un registro de auditoría.
Registro de acciones (recreación ilustrativa, no es una captura de pantalla real)
10:02 agente-ci-bot · leyó 14 archivos · repo: pagamentos
10:03 agente-ci-bot · ejecutó "npm test" · salida adjunta
10:05 agente-ci-bot · abrió PR #4821 · 3 archivos
10:06 agente-ci-bot · DENEGADO: acceso a secrets/ (fuera del alcance)
10:31 maria.souza · aprobó PR #4821 · costo: 0,42 USD
Cómo leer: la línea amarilla es la más importante: el intento denegado muestra que el alcance existe de verdad. Y la última línea cierra el ciclo: una persona identificada aprobó, con el costo registrado.
Identidad
Nunca la tuya
Alcance mínimo
La opción predeterminada es denegar
Negativa visible
Demuestra que hay un límite
Rastreable
Incluso quien autorizó
💰 Controla los costos, los datos y los entornos
Tres controles que suelen recordarse demasiado tarde: cuánto se puede gastar, qué datos pueden entrar en el contexto y en qué entornos puede ejecutarse el agente.
Costo con límite y visibilidad
Límite por tarea y por equipo, con alerta antes de superarlo. Haz seguimiento del costo por tarea entregada: es la métrica que sostiene o derriba la inversión en la próxima reunión de presupuesto.
Datos: lo que nunca entra en el contexto
Datos personales, secretos, información regulada. Es una cuestión de privacidad y cumplimiento, no un detalle técnico; la respuesta debe estar escrita antes de que alguien la necesite con urgencia.
Entornos autorizados
Lista breve y explícita: dónde puede ejecutarse el agente. Producción queda fuera de forma predeterminada, y agregarla a esa lista es una decisión registrada, no un efecto secundario de la configuración.
Límite
Por tarea y equipo
Costo/tarea
Métrica de gestión
Dato sensible
Fuera del contexto
Producción
Fuera por defecto
🪜 Conoce los cinco niveles de autonomía
Esta escala es el lenguaje común que sustituye la discusión vaga sobre «usar o no usar IA». La pregunta correcta es: ¿para qué tipo de tarea, en qué nivel?
Cómo leer: cada nivel trae el control que lo respalda. No «eliges» el nivel 4: llegas a él cuando ya tienes gates, rules, sandbox y auditoría funcionando. El nivel 5 aparece en rojo porque es un límite, no un objetivo.
Por tarea
No por empresa
Control previo
Después el nivel
Nivel 5
Límite, no meta
Lenguaje común
Cierra el debate vago
📈 Sube de nivel con evidencia
La autonomía concedida por entusiasmo se revierte ante el primer susto, y entonces el equipo pierde incluso lo que ya funcionaba. Promueve un tipo de tarea basándote en cifras.
📊 Qué medir antes de promover
- • Aprobación sin corrección: ¿cuántas entregas pasaron la revisión sin retrabajo?
- • Incidentes atribuibles: ¿cuántos problemas en producción surgieron de este flujo?
- • Tiempo de revisión: ¿bajó o subió desde que entró el agente?
- • Costo por tarea entregada: ¿está estable, subiendo o bajando?
- • Tasa de detención correcta: cuando no sabía, ¿se detuvo y preguntó?
💡 Consejo práctico
Promueve en un piloto acotado: un repositorio, un tipo de tarea, durante un mes, con métricas acordadas antes de empezar. Y deja explícito que bajar de nivel es una decisión normal: no un fracaso del equipo ni de la tecnología.
Medir antes
De promover
Piloto
Delimitado y breve
Detención correcta
Métrica subestimada
Degradar
Decisión válida
🧾 Arma el checklist de gobernanza
Una página que responde siete preguntas. Es el artefacto que permite llevar el uso de IA a otros equipos sin repetir toda la discusión cada vez.
🧪 Ejercicio copiable — la lista de verificación de tu equipo
Objetivo: salir de la teoría con un documento listo para circular. Complétalo y llévaselo a la persona responsable del sistema.
# Governança de agentes — <time / sistema> Dono: <nome> · Última revisão: <data> 1. QUEM é o agente? <identidade, onde as credenciais vivem> 2. O QUE pode acessar? <repos, ambientes, dados — e o que NUNCA entra no contexto> 3. O QUE faz sozinho? <lista curta: tarefas reversíveis e verificáveis> 4. O QUE exige aprovação?<deploy, migração, secrets, infra, dados de produção> 5. QUANTO pode gastar? <teto por tarefa e por mês; quem é avisado no estouro> 6. O QUE é registrado? <ações, comandos, custo, aprovações — e por quanto tempo> 7. QUEM responde? <pela mudança entregue e pelo incidente causado> Nível de autonomia atual, por tipo de tarefa: - correção de CI ......... nível <N> - feature pequena ........ nível <N> - migração de banco ...... nível <N>
Cómo verificar: muéstrale la página a alguien de fuera del equipo y pídele que responda: "¿el agente puede modificar la base de datos de producción?". Si la persona no encuentra la respuesta en treinta segundos, el documento aún no está listo.
Chequeo rápido: tu equipo quiere subir la corrección automática de CI del nivel 3 al nivel 4. ¿Qué lo justifica?
Siete preguntas
Una página
Nivel por tarea
Explícito en la página
Fácil de encontrar
En 30 segundos
Responsable
Sin él no existe
📌 Resumen del módulo
Próxima ruta:
Ruta 6 - Ejercicio práctico: ahora ejecutas el flujo completo en un repositorio real.