La deriva de la IA ya está presente en los sistemas de tu plantilla. Esto es lo que debes hacer al respecto
Deriva de la IA: Los sistemas de IA evolucionan con el tiempo, pudiendo alterar decisiones sin cambios de código nuevos ni autorización.
Riesgos legales: Casos legales recientes destacan una responsabilidad importante para los proveedores de IA y los empleadores que usan IA en contrataciones.
Fallos de gobernanza: La mayoría de las organizaciones carecen del monitoreo necesario para gobernar de manera efectiva los sistemas de toma de decisiones con IA.
Desafíos regulatorios: Nuevas leyes estatales exigen documentación estricta y monitoreo de los sistemas de IA para evitar sanciones.
Gobernanza práctica: Implementa monitoreo continuo y acciones correctivas documentadas para prevenir la deriva y la responsabilidad legal.
Nadie autorizó el cambio. Tu equipo de ingeniería no implementó ningún código nuevo. Pero el sistema de IA que hace recomendaciones de contratación para tu organización no está haciendo hoy lo que hacía cuando lo aprobaste.
El grupo de candidatos cambió y el mercado laboral se movió mientras el modelo seguía funcionando con suposiciones que quedaron obsoletas hace meses. Esto es deriva de IA, y ya está presente en los sistemas laborales de empresas desde startups hasta nivel empresarial, no como un riesgo hipotético, sino como una condición actual.
¿Qué es la deriva de IA?
La deriva de IA es la divergencia gradual entre cómo se diseñó para funcionar un sistema de IA y cómo realmente funciona con el paso del tiempo. Para los equipos técnicos, esto es terreno conocido. Ya están familiarizados con el cambio en la distribución de datos, la deriva conceptual y la degradación del modelo.
Keep Reading—and Keep Leading Smarter
Create a free account to finish this piece and join a community of forward-thinking leaders unlocking tools, playbooks, and insights for thriving in the age of AI.
Have an account? Log In
Para quienes dirigen organizaciones, la definición debe ser más amplia y directa: la deriva de IA es el proceso lento y acumulativo por el cual tus herramientas de IA dejan de hacer lo que crees que están haciendo.
En sistemas de gestión de personal como plataformas de contratación, herramientas de evaluación de desempeño, motores de compensación, algoritmos de programación, la deriva toma formas que importan mucho más a un CHRO o CEO que al gráfico de distribución de un científico de datos.
- Deriva de resultados es la más visible. Las decisiones del sistema se desplazan respecto a los patrones base. Las recomendaciones de contratación comienzan a inclinarse hacia ciertos perfiles de candidatos. Las puntuaciones de desempeño empiezan a agruparse de forma diferente entre equipos. Los resultados de programación cambian de maneras que nadie autorizó. Ninguno de estos cambios requiere una modificación de código. El modelo está reaccionando a datos nuevos o a datos antiguos que ya no reflejan el mundo en el que opera.
- Deriva en la equidad es más sutil y peligrosa. Los resultados relacionados con clases protegidas divergen con el tiempo, aunque el sistema haya superado las pruebas de sesgo en su implementación. Una herramienta de contratación que evaluaba de manera equitativa en 2022 puede no hacerlo en 2026 si el grupo de candidatos ha cambiado, si los requisitos del puesto han evolucionado o si los datos subyacentes reflejan patrones que el modelo nunca fue entrenado para gestionar.
- Deriva en la autoridad de decisión es la forma que la mayoría de líderes pasa completamente por alto. El alcance de la toma de decisiones autónomas de la IA se expande silenciosamente más allá de su mandato original. Una herramienta diseñada para clasificar candidatos comienza, en la práctica, a eliminarlos. Un sistema de puntuación de desempeño empieza a influir en decisiones de compensación para las que nunca fue concebido. Nadie autorizó esa expansión. Ocurrió de manera incremental, por integración de flujos de trabajo y comportamiento del usuario, y nadie lo señaló porque nadie lo estaba vigilando.
- Deriva en la gobernabilidad es la brecha entre lo que tus políticas dicen que hace la IA y lo que realmente está haciendo. Aquí es donde se concentra la exposición legal. Tu política de IA responsable describe un sistema que fue validado al inicio. El sistema que opera hoy puede parecerse poco a esa descripción. La política no cambió, pero el sistema sí.
Lo fundamental que hay que entender sobre la deriva es que no es tanto un evento de fallo como un proceso de deterioro. Un sistema de IA que cumplía con los requisitos en su implementación puede volverse un riesgo sin que se cambie una sola línea de código, simplemente porque el mundo a su alrededor cambió.
Cuando los síntomas aparecen en forma de una denuncia por discriminación, una auditoría o un patrón de resultados que no coincide con las expectativas, la exposición ya lleva meses acumulándose.
Por qué la deriva de IA exige atención ahora
La mayoría de las organizaciones ha implementado IA en sistemas de gestión de personal y luego ha dejado de prestar atención. Hicieron pruebas al lanzamiento. Documentaron al lanzamiento. No han probado ni documentado desde entonces. Mientras tanto, la normativa se ha puesto al día.
El panorama de la litigación
Mobley v. Workday es ahora el caso definitorio. Cinco demandantes, todos mayores de 40 años, alegaron que las herramientas de IA de filtrado de Workday discriminaban por edad. En mayo de 2025, un tribunal federal del Distrito Norte de California certificó el caso como acción colectiva nacional en virtud de la Ley de Discriminación por Edad en el Empleo.
El alcance del fallo potencialmente cubre a cada candidato mayor de 40 años evaluado a través de la plataforma de Workday desde septiembre de 2020. La propia Workday manifestó en sus alegatos que se rechazaron 1.100 millones de solicitudes usando sus herramientas durante el periodo relevante.
La argumentación del tribunal fue directa. La jueza Rita Lin consideró que la implicación de Workday en el proceso de contratación era suficiente para ser tratada como agente de los empleadores que utilizaban sus herramientas.
Hacer una distinción entre los responsables de decisiones de software y los responsables humanos, advirtió el tribunal, vaciaría de contenido las leyes antidiscriminación en la era moderna.
En julio de 2025, el alcance se amplió aún más para incluir a las personas procesadas a través de HiredScore, una plataforma de IA que Workday adquirió después de que se interpusiera la denuncia original.
Luego llegó Eightfold AI. En enero de 2026, se presentó una demanda colectiva en la que se alegaba que Eightfold recopiló datos de más de mil millones de trabajadores, calificó a los candidatos en una escala de cero a cinco y rechazó postulantes antes de que cualquier humano revisara su solicitud, todo ello sin las notificaciones obligatorias por la Ley de Informe Imparcial de Crédito.
Este caso es diferente al de Mobley en un aspecto importante: no alega sesgo. Alega secretismo. El algoritmo existía, operaba y excluía a personas de oportunidades sin que nadie fuera de la empresa supiera que estaba sucediendo. El caso fue presentado por la ex presidenta de la EEOC Jenny R. Yang, lo que señala el nivel de atención legal que ahora se centra en la IA en la gestión de la fuerza laboral.
Leídas en conjunto, estos casos forman una pinza. Mobley ataca los resultados. Eightfold ataca el proceso. Ambos apuntan en la misma dirección: los proveedores de IA que toman o influyen materialmente en decisiones laborales serán responsables de esas decisiones.
La presión de la responsabilidad del proveedor
Aquí es donde las cuentas se ponen incómodas para los empleadores. Investigaciones de plataformas de tecnología legal muestran que el 88% de los proveedores de IA limitan su propia responsabilidad, a menudo restringiendo los daños a las tarifas mensuales de suscripción. Solo el 17% garantiza el cumplimiento regulatorio. Las cláusulas generales de indemnización exigen rutinariamente que los clientes liberen a los proveedores de toda responsabilidad por resultados discriminatorios.
Eso significa que los empleadores son legalmente responsables de resultados que no pueden controlar, generados por datos que no pueden auditar, procesados a través de lógicas que no pueden examinar. Cuando llega una demanda colectiva, el contrato con el proveedor limita la responsabilidad, niega garantías de cumplimiento y restringe las auditorías sobre el algoritmo. El empleador es quien asume el riesgo.
El problema del “humano en el circuito”
Tener una persona nominalmente en la cadena de revisión ya no es una defensa viable.
Aaron Pease, abogado en Highbridge Law Firm y asesor en gobernanza de IA y cumplimiento laboral, lo expresó sin rodeos en una reciente presentación sobre los riesgos de una fuerza laboral autónoma.
«Supervisión sin visibilidad es teatro, y se desmorona bajo el descubrimiento legal.»
Las organizaciones no pueden demostrar qué revisó realmente el humano, qué sobreescribió o qué criterios aplicó. Los tribunales y reguladores avanzan hacia la exigencia de una supervisión documentada y demostrable, no solo una política que indique que alguien, en alguna parte, revisó algo antes de que el proceso siguiera adelante.
La supervisión regulatoria se está materializando
La Ley de IA de Colorado, promulgada en mayo de 2024, es la primera ley estatal integral del país que regula los sistemas de IA utilizados en decisiones de alto impacto, incluido el empleo. La ley exige evaluaciones obligatorias de impacto, programas de gestión de riesgos, obligaciones de divulgación y contempla sanciones de $20,000 por cada infracción.
Su camino hacia la aplicación ha sido turbulento, ya que más de 150 cabilderos acudieron a una sesión legislativa especial en agosto de 2025 y cuatro proyectos de ley rivales intentaron anularla o derogarla. Ninguno tuvo éxito. La legislatura solo acordó retrasar la aplicación hasta el 30 de junio de 2026, dejando intactos los requisitos sustantivos de la ley.
A principios de 2026, la sesión legislativa de Colorado no ha producido acuerdos sobre nuevos cambios.
Mientras tanto, California ha finalizado regulaciones para el uso de IA por parte de empleadores en reclamos de discriminación, e Illinois ha promulgado requisitos de divulgación en IA. El patrón es consistente en todos los estados: los retrasos pueden ocurrir, pero no el retroceso de la regulación.
El costo de la gobernanza pasiva
El ajuste de $569 millones de Zillow en noviembre de 2021 sigue siendo uno de los estudios de caso más claros sobre qué ocurre cuando la deriva algorítmica no es monitoreada. La plataforma iBuying de la compañía utilizaba un modelo de precios para valorar viviendas y hacer ofertas de compra. Conforme el mercado cambió tras la pandemia, el algoritmo siguió asumiendo que el mercado seguía al alza, mientras que las condiciones reales se enfriaban.
Zillow estuvo comprando casas a precios inflados durante meses antes de que alguien se diera cuenta. Cuando llegó el ajuste de cuentas, la empresa cerró toda la unidad de iBuying, despidió al 25% de su plantilla y absorbió pérdidas totales superiores a $900 millones. La acción perdió cerca de $7.8 mil millones en valor de mercado en cuestión de días.
El ajuste no fue provocado por un fallo súbito. Fue causado por una deriva gradual que se agravó porque nadie vigilaba las señales. Si reemplazamos "valoración de vivienda" por "decisiones de contratación" o "evaluaciones de desempeño", el patrón es idéntico. La deriva es silenciosa. La exposición se acumula. El ajuste de cuentas no lo es.
Para los ejecutivos que gestionan IA en la fuerza laboral, las categorías de costos son concretas.
- Exposición financiera proviene de decisiones defectuosas de IA que se acumulan con el tiempo en forma de malas contrataciones, despidos improcedentes y talento mal asignado
- Exposición a litigios surge del hecho de que meses de decisiones de selección sesgadas, todas documentadas en registros de sistema, crean exactamente el tipo de evidencia sistemática que buscan los abogados en demandas colectivas
- Multas regulatorias ya no son teóricas a medida que los marcos de cumplimiento maduran
- Daño reputacional afecta la marca empleadora en un mercado de talento competitivo
- Disrupción a nivel de junta directiva entra en escena cuando los fallos de gobernanza en la toma de decisiones de IA llegan al ámbito del deber fiduciario. Los directores preguntan si la organización puede demostrar control y "tenemos una política" no es una respuesta. Esto es algo con lo que la IA en la gestión de juntas directivas puede ayudar.
Por qué la mayoría de los marcos de gobernanza fallan
La mayoría de las organizaciones adoptaron el lenguaje de la IA responsable. Tienen políticas. Tienen principios. Algunas hacen referencia a NIST. Pero nunca integraron la monitorización interna para verificar que realmente cumplen con todo eso. Pueden describir su postura de gobernanza de IA. No pueden medirla.
Esta es la brecha de instrumentación, y ahí es donde reside el verdadero riesgo.
La Dra. Fern Halper, vicepresidenta y directora senior de investigación para Analítica Avanzada en TDWI, hace referencia a una encuesta de finales de 2025 que la empresa realizó a varios cientos de organizaciones. Solo alrededor de un tercio describió su gobernanza de IA como madura en términos de aceptación organizacional, procesos definidos, responsabilidad, herramientas y la capacidad de medir resultados.
Las capacidades de monitoreo eran aún menos comunes. Menos del 25% reportaron usar algún tipo de herramienta de monitoreo de IA que pudiera detectar desvíos.
«En muchas organizaciones, la falla no se da entre la política y la medición, ocurre antes. Muchas organizaciones aún están desarrollando estructuras básicas de gobernanza como políticas, modelos de responsabilidad e inventarios de modelos. Todavía no han llegado a la etapa donde esté operativizado el monitoreo continuo de modelos en producción.»
Ese hallazgo replantea el problema de la gobernanza para muchos líderes. La conversación en los consejos directivos tiende a asumir que la gobernanza existe y la pregunta es si es lo suficientemente buena. Para la mayoría de las organizaciones, la infraestructura para gobernar las decisiones de IA de manera medible simplemente no se ha construido todavía.
El Marco de Gestión de Riesgos de IA de NIST, publicado en enero de 2023, define cuatro funciones principales: Gobernar, Mapear, Medir y Gestionar. La mayoría de las organizaciones saben que el marco existe. Pocas lo han operacionalizado más allá de las dos primeras etapas.
- Gobernar es el fundamento transversal — cultura de riesgo, estructuras de responsabilidad, compromiso de liderazgo, roles y responsabilidades. NIST lo diseñó para que se infunda en las otras tres funciones, no para que se trate como una casilla independiente. Sin Gobernar, Mapear, Medir y Gestionar son ejercicios teóricos.
- Mapear identifica dónde se ha delegado la autoridad decisoria a la IA, qué datos la alimentan, quiénes se ven afectados y cuáles son los riesgos. Esta es la fase de inventario, y ahí es donde la mayoría de las organizaciones se detienen. Completaron la evaluación del panorama. Documentaron qué sistemas influyen en qué decisiones. Luego siguieron adelante.
- Medir es donde la gobernanza se vuelve real. Requiere herramientas cuantitativas, cualitativas o mixtas para analizar, comparar y monitorear el riesgo de IA en relación con estándares definidos. NIST es explícito: los sistemas de IA deben probarse antes de su implementación y de manera regular cuando están en funcionamiento. Regularmente. No solo una vez.
- Gestionar es la remediación — priorizar y abordar los riesgos identificados, registrar acciones correctivas y conectar señales de detección con respuestas documentadas.
El problema es que la mayoría de las organizaciones se quedan en Mapear, o más precisamente, se quedan en un Mapear parcial que carece del fundamento de Gobernar para que sea accionable. Rara vez cuantifican el desvío, rastrean señales de exposición o registran acciones correctivas.
Según Pease, definitivamente no conectan señales con remediación documentada. Mapear sin medir es solo un catálogo. Medir sin gobernar es solo información. Nada de eso te protege ante una investigación, a menos que esté conectado con una acción documentada.
Vale la pena señalar: La alineación con NIST está pasando de ser una buena práctica a convertirse en algo más. La Ley de IA de Colorado cita explícitamente el NIST AI RMF como referencia para el cumplimiento. Los implementadores que se alinean con él reciben una presunción refutable de que emplearon "diligencia razonable". Eso significa que NIST se está convirtiendo en el estándar con el que se mide la responsabilidad legal, y no solo en una directriz voluntaria.
Cómo detectar y cuantificar la deriva de la IA
El cambio fundamental que las organizaciones deben hacer es conceptual antes que técnico. Hay que dejar de tratar la supervisión de la IA como una función de auditoría con revisión anual o trimestral, programada por adelantado, e informada a posteriori, y empezar a tratarla como una función operativa. Monitoreo continuo de señales con umbrales definidos, funcionando junto a los sistemas que observa.
Qué monitorear
En los sistemas de IA aplicados al trabajo, importan cinco categorías de señales.
- Patrones de salida: ¿las recomendaciones de contratación, las puntuaciones de desempeño o las decisiones de compensación se están desviando respecto a los valores de referencia del despliegue?
- Métricas de equidad: ¿están los resultados de los grupos protegidos divergiendo, incluso gradualmente?
- Entradas de datos: ¿ha cambiado la composición de los datos que alimentan el sistema de manera para la que el modelo no fue diseñado?
- Alcance de decisión: ¿ha ampliado la IA su autoridad efectiva más allá de su mandato original?
- Alineación regulatoria: ¿los requisitos evolucionan más rápido que tu documentación de gobernanza?
Ninguno de estos datos es exótico. Son métricas operativas que ya deberían existir en cualquier sistema que tome decisiones importantes sobre personas. La mayoría de las organizaciones nunca implementa la infraestructura para rastrearlas de forma continua, o nunca define los valores de referencia con los cuales medir el cambio.
De la descripción a la cuantificación
La brecha que la mayoría de organizaciones necesita cerrar es la distancia entre la gobernanza cualitativa y la gobernanza cuantitativa. Entre “tenemos una política de IA responsable” y “podemos mostrar métricas mensuales de deriva con umbrales documentados y acciones correctivas”.
Cuantificar significa medir:
- Magnitud de la deriva: cuán lejos se han alejado los resultados de la línea base y en qué dirección
- Puntuación de exposición financiera: traduce métricas técnicas a lenguaje de negocios en términos de costo estimado de deriva no corregida por mes.
- Índice de exposición legal: basado en patrones de resultados de clases protegidas a lo largo del tiempo
- Medición de brecha de cumplimiento: la distancia entre el comportamiento actual del sistema y los requisitos regulatorios aplicables.
Piénsalo como un motor de sensibilidad al riesgo: es un mecanismo de seguimiento continuo que convierte señales de deriva en métricas de exposición financiera y legal, mes a mes.
Esto es lo que transforma la gobernanza de un documento a un panel de control. Es lo que brinda a la alta dirección la visibilidad necesaria para actuar antes de que la exposición se convierta en el tipo de responsabilidad que termina en los tribunales.
De la detección a la acción: Telemetría de gobernanza
"La gobernanza sin telemetría es un litigio esperando suceder", dijo Pease. "La delegación requiere supervisión."
El marco que expone traza una línea clara entre la gobernanza como documento y la gobernanza como capacidad operativa. Las normas describen cómo debe ser la gobernanza. La telemetría la operacionaliza. Esta diferencia es la misma que entre un manual de políticas y un sistema operativo.
La telemetría, en este contexto, significa captura continua de señales combinada con evaluación de umbrales y un registro documentado de acciones. Cinco componentes la hacen funcionar.
- Captura de señales es la recolección continua de indicadores de desviación en cada punto de decisión delegado a la IA. No es un muestreo. No son auditorías trimestrales. Es continua. Si el sistema está tomando decisiones todos los días, la monitorización debe funcionar todos los días.
- Lógica de umbrales define límites preestablecidos que distinguen una variación aceptable de una desviación que requiere acción. Estos deben calibrarse de acuerdo con la tolerancia al riesgo de la organización y los requisitos regulatorios. Un cambio del 2% en los patrones de recomendaciones de contratación significa algo distinto en un entorno de contratista federal que en una startup. Los umbrales deben definirse antes de que se necesiten, no reconstruirse tras la aparición de un problema.
- Enrutamiento de escalamiento traslada las señales marcadas a la persona adecuada en el nivel adecuado a través de vías automatizadas. No toda señal de desviación requiere la atención del director de recursos humanos. Algunas sí. La lógica de escalado es lo que convierte una desviación en un punto de gestión de riesgos, en vez de sólo quedar como un dato sin atender. Sin esto, las señales se acumulan en paneles que nadie revisa hasta que es demasiado tarde.
- Registro de auditoría proporciona documentación inmutable sobre lo que se detectó, cuándo se detectó, qué acción se tomó y por quién. Este es el artefacto que sobrevive a una investigación legal. Es lo que demuestra que existió gobernanza y que fue más que una simple declaración de intenciones.
- Bucle de acción correctiva cierra la cadena. La detección lleva a la evaluación. La evaluación lleva a la acción. La acción se registra. Sin esto tienes monitorización. Con esto tienes gobernanza.
Estos cinco componentes se corresponden directamente con el NIST AI RMF. Gobernar proporciona la estructura de responsabilidad que garantiza que la telemetría existe, está dotada de recursos y tiene visibilidad por parte del liderazgo. Mapear identifica dónde deben existir los puntos de telemetría: cada punto de decisión delegado a la IA. Medir es lo que captura la telemetría: magnitud de la desviación, señales de exposición, rupturas de umbrales, métricas de equidad. Gestionar es lo que desencadena la telemetría: escalamiento, acciones correctivas, remediación documentada, rendición de cuentas con bucle cerrado.
Este mapeo es importante porque conecta la práctica operativa con el estándar de cumplimiento que la Ley de IA de Colorado — y probablemente las leyes estatales que vengan — utilizarán para evaluar si una organización ejerció el debido cuidado.
Tres preguntas que todo líder debe responder ahora
Pease orienta la postura de gobernanza viable mínima en torno a tres preguntas. Si el liderazgo no puede responder las tres, la gobernanza de la organización es reactiva, gestionando el riesgo reputacional en lugar del riesgo operativo.
- ¿Dónde se ha delegado autoridad de decisión a la IA en los sistemas de tu fuerza laboral? No donde se "usa" IA. Donde se le ha dado autoridad para tomar o influir materialmente en decisiones sobre personas, como contratación, filtrado, evaluación, compensación, programación, evaluación del riesgo de despido. Si no puedes producir este mapa, no puedes gobernar lo que no ves.
- ¿Puedes cuantificar la desviación en la gobernanza mes a mes? No "¿tenemos una política?". ¿Puedes generar una métrica que muestre si tus sistemas de IA operan dentro de los parámetros definidos y si eso ha cambiado desde el mes pasado? Si no se puede medir la gobernanza, no se puede gestionar.
- ¿Puedes demostrar acciones correctivas documentadas? Cuando se detectó una desviación, ¿qué ocurrió? ¿A quién se notificó? ¿Cuál fue la decisión? ¿Qué cambió? Si no puedes mostrar el rastro desde la detección hasta la respuesta, sólo tienes monitorización. No tienes gobernanza.
Por dónde empezar
Para muchas empresas, las prioridades de implementación son prácticas.
- Empieza con los sistemas de la fuerza laboral. Representan la mayor exposición porque afectan directamente a las personas y son los que reciben mayor escrutinio regulatorio.
- Construye primero la trazabilidad de la auditoría. Esto es lo que solicitarán los reguladores y los tribunales. La capacidad de demostrar que existió gobernanza protege más inmediatamente que perfeccionar la monitorización en sí misma.
- Instrumenta antes de escalar. Agregar telemetría tras el despliegue es exponencialmente más difícil y costoso que construirla desde el inicio. Cada nueva implementación de IA sin instrumentación de gobernanza es una nueva exposición no monitoreada.
Las organizaciones que construyen telemetría de gobernanza con IA en la gestión de operaciones están creando la infraestructura que les permite desplegar IA con confianza, acelerar la adopción y demostrar a reguladores, juntas directivas y empleados que las personas afectadas por estos sistemas están siendo protegidas. No procesadas. Protegidas.
La ventana de supervisión se está estrechando. La cuestión es si tendrás las pruebas para demostrar que estabas prestando atención.
