El "Buen Hombre de Negocios" y la obligación de tomar decisiones informadas en el proceso de adopción de IA.

La adopción de sistemas probabilísticos de Inteligencia Artificial exige mecanismos probatorios rigurosos que protejan el patrimonio personal de los administradores. En este escenario, la constitución de un Comité de Gobernanza de IA se consolida como la herramienta corporativa más útil y eficaz para materializar el deber de diligencia y el cuidado exigido por la ley. Este órgano colegiado interdisciplinario permite a la alta dirección documentar un proceso de decisión informada, detectando, midiendo y mitigando los riesgos algorítmicos antes de su despliegue en producción. Es mediante la actuación documentada de este comité que los administradores logran activar la protección legal de la discrecionalidad empresarial (Business Judgment Rule), construyendo un escudo fiduciario inatacable ante cualquier escrutinio judicial o sancionatorio por parte de entidades como la Superintendencia de Industria y Comercio. 

Para que las decisiones de este comité operen legalmente y eviten nulidades por actuaciones ultra vires (extralimitación de funciones), su legitimidad de origen debe estructurarse en estricto apego al ropaje societario y a los límites estatutarios de la compañía. En modelos como la Sociedad por Acciones Simplificada (S.A.S.), la facultad de creación de este comité recae en principio sobre el Representante Legal, asumiendo este la gestión operativa. Sin embargo, se debe tener especial cuidado: si los estatutos de la S.A.S. fijaron límites expresos de cuantía, restricciones por materia o limitaron la creación de órganos de decisión, un comité instaurado exclusivamente por el Representante Legal quedaría operativamente ineficaz. Al carecer de competencia legal para autorizar decisiones de IA de gran impacto que superen dichos topes financieros o estratégicos, sus actas serían nulas ante un juez. En estos escenarios restrictivos, es estrictamente necesario que sea la Junta de Accionistas la que establezca el comité desde su origen, dotándolo del poder absoluto para decidir sobre riesgos mayores. 

Por el contrario, en las Sociedades Anónimas (S.A.) y asimiladas, el nivel de responsabilidad y la dinámica de poder cambian radicalmente. Al existir la obligación de contar con una Junta Directiva, es este órgano colegiado el verdadero administrador estratégico del riesgo corporativo. En este escenario, el Representante Legal tiene un poder reducido para asumir por sí solo los riesgos de daño exponencial que trae la IA; no es su competencia aislar a la compañía de estas contingencias sin mandato superior. Por lo tanto, la responsabilidad máxima recae sobre la Junta Directiva, siendo ella quien ostenta la legitimidad ineludible para instituir el Comité de Gobernanza de IA y delegarle formalmente la evaluación de estos riesgos. Si el administrador actúa por su cuenta sin el respaldo y mandato directo de la Junta, sus decisiones no activarán el blindaje de la Business Judgment Rule. Independientemente de la estructura societaria y de quién lo origine, la validez probatoria de la diligencia exige que el comité mantenga una composición híbrida e indelegable que unifique la visión de negocio del CEO, el blindaje conservador del área de Compliance, la agilidad del dueño del proceso y la factibilidad técnica del CTO. 

La competencia material de este comité estructurado radica en la resolución de los dilemas de compensación de diseño o Trade-offs inherentes al Machine Learning. Dado que los ingenieros carecen de competencia legal para asumir riesgos corporativos, el comité debe dictaminar el balance exacto entre Precisión y Exhaustividad (Recall), utilizando la métrica F1-Score para definir la tolerancia ante falsos positivos y omisiones críticas. Asimismo, debe calibrar la fricción entre Determinismo y Creatividad ajustando parámetros como la Temperatura y los umbrales Top-K y Top-P para limitar alucinaciones, y ponderar la Fidelidad Literal frente a la Inferencia en sistemas de bases de datos externas (Retrieval-Augmented Generation o RAG). Finalmente, en cumplimiento del principio de privacidad por diseño delineado en la Circular 002 de 2024 de la Superintendencia de Industria y Comercio, el órgano resuelve la tensión entre Ruido y Precisión, documentando la inyección de ofuscación necesaria para proteger datos personales sin destruir la utilidad estadística del modelo. 

La deliberación jurídica de estos dilemas carece de valor eximente si el algoritmo se degrada en producción sin una auditoría técnica inmutable. Por consiguiente, el comité debe imponer un cronograma estricto de pruebas funcionales que incluya evaluaciones de Anti-overfitting, Anti-drifting y resistencia a ataques cibernéticos como inyecciones de prompts y RAG Poisoning. Esta vigilancia probatoria se divide en monitoreo continuo para riesgos críticos y pruebas recurrentes justificadas por la intensidad de uso, sumado a la fijación de “Gatillos de Ejecución Obligatoria” que fuerzan reevaluaciones inmediatas ante vulnerabilidades Zero-Day o alteraciones del proveedor fundacional. Para garantizar que esta diligencia técnica y administrativa sobreviva a un escrutinio bajo la Ley 527 de 1999, toda autorización de despliegue, métrica de fiabilidad y mecanismo de contención (Kill-Switch) debe registrarse obligatoriamente en un ecosistema de Logs inalterables, protegidos criptográficamente mediante sellado Hash y estampado de tiempo (Timestamping). 

Retornar al Pilar de Deberes de los Administradores en IA