El costo oculto de no gobernar los datos

Por qué muchas empresas chilenas están acumulando dos deudas al mismo tiempo: valor de la IA que no se captura y una exposición regulatoria que crece.

1La inversión que nadie quiere priorizar

Pocas empresas dirían en voz alta que les da lo mismo operar con datos poco confiables. Casi todos los directorios reconocen que la calidad, la propiedad, la seguridad y la trazabilidad de la información importan. Pero reconocer algo no es lo mismo que financiarlo, y el gobierno de datos sigue siendo uno de los casos de negocio más difíciles de aprobar.

La razón es conocida. Exige invertir en personas, procesos, arquitectura y cambio organizacional; sus costos caen en un presupuesto corporativo y sus beneficios se reparten entre muchas áreas y varios años. Frente a un proyecto comercial que promete ingresos o a una iniciativa operacional que muestra ahorros inmediatos, el gobierno de datos casi siempre pierde la pelea por el capital. Entonces se posterga, se hace por partes o se limita a lo que exige algún regulador, con la idea de que se podrá ordenar más adelante, cuando la empresa sea más madura o aparezca una necesidad que lo justifique.

La inteligencia artificial está desarmando ese supuesto. Mientras la IA vive en pilotos, la empresa puede convivir con datos desordenados: un equipo pequeño los limpia a mano y el prototipo funciona. El problema aparece al llevarla a la operación. La mala calidad baja la confiabilidad de los modelos, la falta de responsables deja las decisiones sin nadie que responda por ellas, las arquitecturas fragmentadas encarecen cada integración y la falta de trazabilidad impide explicar de dónde salió un dato y cómo se transformó.

Al mismo tiempo, la Ley 21.719 cambia la forma en que se exigen cuentas sobre los datos personales. Ya no basta con declarar que se protegen: hay que poder demostrarlo y responder a las personas en plazos concretos.

Dos desafíos que las empresas solían gestionar por separado empiezan a converger. La capacidad que se necesita para escalar la IA es, en buena parte, la misma que se necesita para cumplir la ley. Quien posterga una, posterga las dos. Esa es la tesis de este artículo: postergar el gobierno de datos no ahorra una inversión; acumula dos deudas.

2Chile: reconocer no es estar preparado

No existe en Chile una medición única de cuántas empresas tienen gobierno de datos. Hay encuestas que miran dimensiones relacionadas (madurez de datos, protección de datos personales, calidad, preparación para la IA) con muestras, preguntas y definiciones distintas. Sus cifras no se pueden sumar ni comparar directamente. Pero, leídas en conjunto, apuntan en la misma dirección.

La primera Encuesta de Seguridad y Protección de Datos de la FEN de la Universidad de Chile (2025, 1.107 respuestas) encontró que solo el 29 % de las empresas tiene un programa formal de protección de datos con una estrategia clara. Apenas el 25 % alcanza un nivel avanzado de madurez en privacidad. Lo más revelador es cómo operan: el 41 % atiende las solicitudes de las personas sobre sus datos (acceso, rectificación, eliminación) con procesos manuales y lentos, y el 44 % no capacita regularmente a sus equipos.¹

Las encuestas sobre IA muestran algo parecido. El AI Maturity Index Chile 2026 de Forbes Chile y Kyndryl, que encuestó a 50 ejecutivos de una decena de industrias, registró una madurez de datos promedio de 2,98 sobre 5. Un tercio de los ejecutivos señala la calidad y el gobierno de los datos como la principal barrera para escalar la IA, y apenas uno de cada diez dice tener datos listos para alimentar modelos en producción.² El estudio ConvergencIA de Deloitte, enfocado en grandes empresas, encontró que solo el 25 % asegura la calidad de sus datos de forma proactiva y continua.³

La cifra más optimista viene de la encuesta de CustomerTrigger, la Cámara de Comercio de Santiago y Experian (2025): el 51 % de los líderes ubica a su empresa en un nivel avanzado o muy avanzado en el uso de datos.⁴ Es autoevaluación, y la distancia con los indicadores operativos de los otros estudios es, en sí misma, un dato.

Con todas sus diferencias, las cifras dibujan un patrón: las empresas chilenas ya reconocen los datos como un activo estratégico, pero todavía no construyen las capacidades para gestionarlos de forma consistente. Esa brecha pesa más ahora, porque muchas aprueban inversiones en IA generativa, modelos predictivos o agentes mientras siguen operando con responsabilidades difusas, controles de calidad dispares y poca trazabilidad. Invierten en la capa de inteligencia antes que en la base de la que esa inteligencia depende.

No se trata de exigir una transformación completa de gobierno de datos antes de partir cualquier proyecto de IA. Se trata de que la madurez de los datos forme parte de la evaluación de cada iniciativa (su factibilidad, su escalabilidad y su retorno) y no se descubra cuando el presupuesto ya está comprometido.

3El costo de postergar

¿Por qué se sigue postergando? Porque el costo de no hacerlo no aparece en ninguna planilla: queda escondido dentro de otros proyectos.

Un ejemplo con números lo hace visible. Es un caso ilustrativo, con supuestos explícitos y redondeados; no es la medición de una empresa real.

El caso. Una empresa de retail financiero, con tarjeta de crédito propia y más de un millón de clientes, planifica cinco iniciativas de IA para los próximos dos años: scoring de admisión de clientes, priorización de cobranza, prevención de fuga, ofertas personalizadas y un asistente de atención. Todas usan datos personales de los mismos clientes. El comité de inversiones tiene dos caminos.

Camino A: postergar. Cada proyecto resuelve sus datos por su cuenta. Preparar los datos le cuesta a cada uno USD 250.000 y le agrega cinco meses antes de entrar en operación. Aparte, para cumplir la Ley 21.719, la empresa contrata un levantamiento de datos personales y un proceso para responder las solicitudes de las personas sobre sus datos por USD 400.000.

Camino B: construir una base común. La empresa invierte USD 700.000 en capacidades compartidas, incluida su operación durante los dos años (catálogo de datos, responsables por dominio, reglas de calidad, linaje, es decir, el registro de dónde viene cada dato y cómo se transformó, y un inventario de datos personales) y las construye junto con el primer proyecto, que igual asume el costo completo de preparar sus datos. Desde el segundo proyecto, esa preparación cuesta USD 80.000 y toma dos meses. Como el inventario ya cubre buena parte de lo que pide la ley, completar el cumplimiento cuesta USD 120.000.

Se supone, además, que cada iniciativa genera USD 40.000 mensuales de beneficio una vez en operación, de modo que cada mes dedicado a preparar datos es valor que no se captura.

En gasto directo en datos, los dos caminos casi empatan: A gasta 1.250 y B, 1.270. Por eso un comité que evalúa proyecto por proyecto aprueba A: en el primer año, la base común aparece como USD 700.000 adicionales sin retorno visible. La diferencia aparece al sumar lo que la planilla no mira: el tiempo que cada proyecto pierde preparando datos y un levantamiento para la ley que repite el mapeo de datos que cada proyecto ya hizo por su cuenta. Con esos dos elementos, postergar le cuesta a la empresa unos USD 740.000 más en dos años, y el punto de quiebre llega, a más tardar, en el cuarto proyecto.

De esa diferencia, unos USD 480.000 vienen de capturar antes el valor de los proyectos y USD 280.000 de no repetir el trabajo de cumplimiento; la base común gasta USD 20.000 más en datos. Aunque cada iniciativa generara la mitad del beneficio supuesto, la base común seguiría ahorrando unos USD 500.000.

Hay un tercer costo que la tabla no mide. En el camino A, el modelo de scoring se construye sobre datos sin linaje documentado. Si un cliente rechazado pide saber cómo se tomó la decisión, la empresa tendrá dificultades para explicarlo, y eso, como veremos, ya no es solo un problema técnico.

Los supuestos se pueden discutir y cada empresa tendrá los suyos. Lo que importa es la estructura del cálculo: el caso de negocio del gobierno de datos no se gana con sus ahorros directos, sino sumando el valor de lo que habilita y el costo de lo que obliga a duplicar. Y con una disciplina: no contar dos veces el mismo beneficio.

4Dos deudas que se refuerzan

La Deuda de Liderazgo en IA, vista desde los datos

En Más allá del AI-First propuse el concepto de Deuda de Liderazgo en IA (AI Leadership Debt): la brecha que se acumula cuando el potencial de la tecnología avanza más rápido que la capacidad del liderazgo para entenderla, gobernarla y convertirla en valor.⁵ La describí a partir de cinco señales observables. El gobierno de datos es uno de los lugares donde esas señales se ven con más claridad:

1. Iniciativas sin indicador financiero. Los proyectos de datos se aprueban como “habilitantes”, sin que nadie defina qué resultado deberían mover, y por eso son los primeros en recortarse.
2. Nadie responde de punta a punta. TI administra los sistemas, cada área usa los datos y nadie responde por su calidad. Cada proyecto de IA negocia el acceso desde cero.
3. Los líderes no distinguen lo que la IA puede hacer de lo que aparenta. Se espera que un modelo compense datos que nunca se ordenaron, o se descarta la IA porque “los datos no sirven” sin medir cuánto costaría arreglarlos.
4. Finanzas no separa el beneficio realizado del estimado. Sin trazabilidad entre el dato, la decisión y el resultado, no hay forma de atribuir valor, y el gobierno de datos queda como un costo sin retorno demostrable.
5. Herramientas que nadie aprobó. Los equipos suben datos de clientes a asistentes generativos externos porque no tienen alternativas gobernadas. Con la nueva ley, eso deja de ser solo un riesgo de seguridad.

No todo problema de datos es deuda de liderazgo. Las fallas técnicas, los cambios de requisitos y la complejidad operacional existen incluso en empresas bien conducidas. La diferencia está en si las limitaciones persistentes se pueden rastrear hasta decisiones sobre prioridades, inversiones y responsabilidades. Cuando el mismo problema de datos frena un proyecto tras otro y nadie tiene el mandato de resolverlo, eso también es una decisión, aunque nadie la haya tomado de forma explícita.

La deuda regulatoria: lo que cambia con la Ley 21.719

La Ley 21.719 reforma a fondo el régimen de protección de datos personales en Chile, toma como referencia el reglamento europeo (GDPR) y crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar.⁶ Tres de sus elementos conectan directamente con el gobierno de datos y con la IA.

Los derechos de las personas se cumplen con procesos, no con documentos. La ley consagra los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, y fija un plazo de 30 días corridos para responder. Para contestar una solicitud de acceso, la empresa tiene que saber en qué sistemas están los datos de esa persona, con qué finalidad se tratan, con quién se comparten y quién es responsable de cada uno. Si esos datos están repartidos entre aplicaciones desconectadas, planillas y proveedores, el plazo se vuelve difícil de cumplir. Con un 41 % de las empresas atendiendo hoy estas solicitudes en forma manual, el problema es concreto.¹

Las decisiones automatizadas quedan reguladas. El nuevo artículo 8° bis reconoce el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, cuando producen efectos jurídicos o afectan significativamente a la persona. Un modelo que aprueba o rechaza un crédito, fija un precio o prioriza una cobranza puede caer en esa categoría. Para operarlo, la empresa necesita saber qué datos usó el modelo, de dónde salieron y cómo intervenir con revisión humana. Es decir, necesita linaje, trazabilidad y responsables: gobierno de datos.

Las sanciones dejan de ser simbólicas. La ley clasifica las infracciones en leves, graves y gravísimas, con multas de hasta 5.000, 10.000 y 20.000 UTM (esta última, unos $1.450 millones, cerca de USD 1,5 millones) y, para las empresas que no son pequeñas y reinciden, de hasta el 2 % o el 4 % de sus ingresos anuales. Más que el monto, importa el cambio de lógica: el régimen anterior casi no se aplicaba; el nuevo tiene un fiscalizador dedicado y un registro público de sanciones.

Conviene ser preciso con una distinción. La ley establece obligaciones; el gobierno de datos entrega las capacidades organizacionales y técnicas que permiten cumplirlas. No toda buena práctica de gestión de datos es una exigencia legal, y los controles necesarios dependen de qué datos trata cada empresa y para qué. Pero es difícil cumplir los plazos de los derechos o explicar una decisión automatizada sin inventario, responsables y trazabilidad.

Cuando las dos deudas se multiplican

Las encuestas de preparación muestran el tamaño del desafío. En 2025, PwC Chile y Fundación Generación Empresarial encontraron que solo el 13 % de las empresas se consideraba “muy preparada” para la ley y que más de la mitad no había designado un delegado de protección de datos.⁷ En agosto de 2026, LemonTech (127 organizaciones) reportó que el 72 % no se siente preparada y que cuatro de cada diez no tienen protocolos para informar filtraciones; incluso entre las grandes, no más del 36 % dice estar lista.⁸

La IA agrava ese cuadro, porque cada modelo nuevo suma tratamientos, integraciones y decisiones automatizadas. La IA no crea por sí sola una brecha regulatoria, pero amplifica las debilidades de datos que ya existían. Por eso las dos deudas no solo se suman: se multiplican. La exposición regulatoria de la IA depende de cuántas decisiones automatizadas afectan a personas, de qué tan probable es que la empresa no pueda explicarlas y de cuánto cuesta cada falla. La IA aumenta la cantidad de decisiones automatizadas. Un gobierno de datos débil mantiene alta la probabilidad de no poder explicarlas, y la empeora con cada integración sin linaje documentado. Y la reincidencia encarece cada falla. Cuando esos factores crecen a la vez, la exposición crece bastante más rápido que el número de proyectos. Con datos gobernados, la misma expansión de la IA la hace crecer mucho más lento.

La fecha de entrada en vigencia ha estado en discusión. Para un directorio, eso cambia cuándo se exigen las obligaciones, no cuáles son. Usar cualquier plazo adicional para seguir postergando reproduciría el mismo patrón que creó la brecha actual. La pregunta útil es cómo aprovechar el tiempo para construir capacidades que sirvan, a la vez, para cumplir la ley y para escalar la IA.

5Gobernar sin burocracia

¿Toda empresa necesita una gran oficina corporativa, una plataforma costosa y un programa de varios años? No. Parte de la mala fama del gobierno de datos viene de asociarlo con implementar completo el DAMA-DMBOK, el cuerpo de conocimiento de referencia, cuando ese marco no exige que todas las organizaciones tengan las mismas estructuras. Una minera que usa modelos de optimización con datos de sensores necesita, ante todo, confiabilidad y linaje de sus variables de proceso. Un banco con millones de clientes necesita además inventario de datos personales y trazabilidad de sus modelos de crédito. Un prestador de salud que desarrolla apoyo a decisiones clínicas trabaja con datos sensibles y necesita controles estrictos de acceso, finalidad y consentimiento.*

El gobierno de datos falla tanto por falta de inversión (responsabilidades fragmentadas, mala calidad, remediaciones caras) como por sobrediseño (comités que se vuelven cuellos de botella y plataformas sobredimensionadas). Debe diseñarse en torno a las decisiones y los riesgos que la empresa necesita gestionar, no en torno a la idea de que más madurez significa más complejidad.

¿Centralizado, federado o híbrido?

La segunda pregunta es cómo repartir las responsabilidades. En un modelo centralizado, las decisiones y los estándares se concentran en un equipo corporativo. En uno federado, las áreas de negocio asumen parte de las responsabilidades dentro de políticas comunes. Los modelos híbridos combinan ambos. Suelen presentarse como filosofías opuestas, pero la pregunta práctica es más concreta: qué decisiones necesitan consistencia en toda la empresa y cuáles necesitan cercanía con la operación.

Pensemos en un grupo con negocios en minería, energía, logística y servicios financieros. Las políticas de privacidad, la clasificación de la información y la seguridad deben ser comunes: si cada negocio define las suyas, el riesgo es de todo el grupo. Pero las reglas de calidad de una variable de proceso minero requieren un conocimiento que un equipo corporativo no tiene. La solución no es descentralizar por principio, sino asignar bien los derechos de decisión:

La tabla es un punto de partida, no una receta. Y la federación no es más barata por definición: requiere capacidades en cada área, estándares comunes y mecanismos para resolver conflictos. Mal implementada, solo reparte la fragmentación. La pregunta económica no es qué modelo es superior, sino cuál entrega los controles y las capacidades necesarias a un costo razonable para esa organización.

6Del dato al valor: dónde se pierde en el camino

Los indicadores tradicionales de gobierno de datos (completitud, cobertura del catálogo, tiempo de acceso, cumplimiento de estándares) describen el estado de la gestión de datos. Son necesarios, pero no explican cómo esa inversión llega al estado de resultados. Para eso hay que mirar la cadena completa.

En Más allá del AI-First presenté la teoría de realización de valor de la IA (AVRT, por su sigla en inglés), un marco en desarrollo que describe cómo la inteligencia que produce la IA se convierte en resultados: IA → inteligencia → decisiones → acciones → resultados operacionales → valor de negocio → reinversión → capacidades.⁵ El gobierno de datos no reemplaza esa cadena; define las condiciones en que opera. Datos de mala calidad producen inteligencia poco confiable. Sin responsables claros, las decisiones se demoran. Con arquitecturas fragmentadas, las acciones no escalan. Y sin trazabilidad no se puede demostrar ni el valor generado ni la legitimidad de una decisión automatizada. Por eso la misma tecnología rinde distinto en dos empresas: acceder a la IA no garantiza capturar su valor; lo que lo determina son las capacidades de la organización.

Cómo leer un embudo de conversión

Para ubicar dónde se pierde el valor, ese marco usa un embudo de conversión. La idea es simple: se cuentan los casos que entran a la primera etapa y cuántos siguen en cada etapa posterior. Como en un embudo de cocina, arriba entra mucho y abajo sale menos. El ancho de cada franja es proporcional a la cantidad de casos, así que basta mirarlo para ver en qué paso se produce la mayor pérdida.

El embudo se mide con tres tasas, calculadas por período sobre un mismo proceso:

• Conversión a decisión: decisiones tomadas dividido por las alertas relevantes que generó la IA.
• Conversión a acción: acciones ejecutadas dividido por decisiones tomadas.
• Conversión a valor: acciones con efecto medido contra una línea base dividido por acciones ejecutadas.

Volvamos al retail financiero y a su modelo de priorización de cobranza. En un mes típico, el modelo identifica 200 clientes con un riesgo relevante de mora. Los ejecutivos deciden gestionar 110 (conversión a decisión de 55 %): el resto queda sin atender porque los datos de contacto no son confiables y nadie quiere gastar esfuerzo en casos dudosos. De esas 110 decisiones, 80 se ejecutan (conversión a acción de 73 %): las demás se pierden porque nadie es responsable de cargar la nueva estrategia en el sistema de cobranza. Y de las 80 acciones, solo 48 tienen un efecto medido (conversión a valor de 60 %), porque sin trazabilidad entre la alerta, la gestión y el pago no se puede atribuir el resultado.

El embudo es, en el fondo, un sistema en serie: el valor llega solo si cada etapa funciona, y las tasas se multiplican (55 % × 73 % × 60 % = 24 %, que son las 48 de 200 alertas). Lo mismo ocurre aguas arriba, en los datos que alimentan al modelo. Si un modelo usa 20 fuentes, cada una está correcta el 95 % de las veces y sus errores son independientes, la probabilidad de que todas lo estén a la vez es apenas 36 %; con fuentes al 99 % sube a 82 %. La confiabilidad de una cadena cae exponencialmente con cada eslabón que no se gobierna, y por eso mejoras que parecen pequeñas en cada fuente cambian por completo el resultado final.

El embudo muestra, además, algo que los indicadores de datos por sí solos no muestran: en este caso, cada una de las tres pérdidas tiene una causa de gobierno de datos (calidad, propiedad y trazabilidad), y la mayor está en la primera etapa. Ahí una inversión en gobierno de datos tiene el retorno más visible. Un mejor gobierno de datos no crea valor por sí mismo; crea las condiciones para que el valor de la IA llegue al resultado.

7Qué hacer ahora

En el caso de la sección 3, esperar costaba USD 740.000 en dos años. Para superar la dificultad histórica de financiar el gobierno de datos, el caso de negocio debe partir con tres preguntas: qué está obligada a hacer la empresa, qué capacidades necesita para su estrategia de IA y qué inversiones resuelven varias necesidades a la vez. Las obligaciones legales y los requisitos mínimos de seguridad no se rechazan por tener un retorno poco atractivo. La tercera pregunta es la que abre las mejores oportunidades: un inventario de datos personales hecho para cumplir la ley puede convertirse, con poco esfuerzo adicional, en la base de un catálogo que acelere todos los proyectos de IA. O puede quedar como un documento que nadie vuelve a abrir. La diferencia es una decisión de diseño.

La Figura 5 ordena ese trabajo en cinco pasos. El último es el que más se omite: medir el valor realizado, no el prometido, y el embudo de conversión es una forma de hacerlo.

Para un directorio, la conversación cambia si en vez de preguntar solo cuánto cuesta el gobierno de datos, se hace cinco preguntas:

1. ¿Cuántas de nuestras iniciativas de IA están preparando sus propios datos por separado, y cuánto nos cuesta eso en plata y en meses?
2. ¿Quién responde, con nombre y cargo, por la calidad de los datos de nuestros clientes?
3. Si mañana un cliente pide acceso a sus datos, ¿podemos responderle en 30 días sin un esfuerzo extraordinario?
4. ¿Qué modelos toman o influyen en decisiones que afectan significativamente a personas, y podemos explicar con qué datos lo hacen?
5. ¿Nuestro plan para la Ley 21.719 construye capacidades que también usará la IA, o es un proyecto de cumplimiento aislado?

Durante años, el gobierno de datos se trató como una función necesaria pero cara: costos inmediatos, beneficios indirectos e implementación que podía esperar. Ese razonamiento se sostiene cada vez menos cuando la misma empresa quiere escalar la IA y enfrenta una ley que le exige demostrar cómo trata los datos de las personas. No todas las empresas necesitan una transformación completa, y cumplir la ley no es un problema de optimización financiera. Pero postergar también es una decisión, y sus costos hay que ponerlos sobre la mesa.

El costo de gobernar los datos aparece en el presupuesto de hoy. El costo de no hacerlo aparece después, repartido en proyectos de IA que se atrasan, valor que no se captura, inversiones duplicadas y exposición regulatoria. Por eso la pregunta para el directorio no es solo cuánto cuesta gobernar los datos, sino cuánto nos está costando seguir operando sin las capacidades que exigen nuestra estrategia de IA y la ley.

Referencias

1. Facultad de Economía y Negocios, Universidad de Chile. Primera Encuesta de Seguridad y Protección de Datos en Chile (2025). Reportada en Portal Innova.
2. Forbes Chile y Kyndryl. AI Maturity Index Chile 2026. Forbes Chile, BrandVoice, 25 de agosto de 2026.
3. Deloitte Chile. ConvergencIA: Impacto y transformación de la IA en organizaciones en Chile. Reportado en Ex-Ante.
4. CustomerTrigger, InsightLab, Cámara de Comercio de Santiago y Experian. El uso de los datos Data-Driven 2025. Diario Financiero, 28 de marzo de 2025.
5. Barrientos, C. (2026). Más allá del AI-First: convertir la inteligencia artificial en resultados de negocio; AI Value Realization Theory: resumen ejecutivo. claudiobarrientos.com
6. Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Biblioteca del Congreso Nacional (bcn.cl/leychile).
7. PwC Chile y Fundación Generación Empresarial. Encuesta de Protección de Datos Personales (2025). pwc.com/cl
8. LemonTech. Estudio de preparación para la Ley 21.719 (agosto de 2026; 127 organizaciones). Portal Innova, 14 de septiembre de 2026.

* Declaración de interés: el autor es cofundador de Oncoger.ai, empresa que aplica inteligencia artificial en oncología.