Plumas NCC | Gobernabilidad corporativa con IA

Por: Mtro. Rodolfo Guerrero Martínez

 

 

Un consejero puede firmar un acta sin haber leído el anexo; lo que no podrá es alegar después que el anexo lo redactó una máquina. Esa tensión ya tiene cifras. Seis de cada diez directivos consultados prevén que la mayoría de sus agentes de inteligencia artificial operará con amplia autonomía y que las personas quedarán, sobre todo, como supervisoras, donde apenas 16 % afirma que sus procesos están listos para ello (Widener et al., 2026). Desde el derecho societario, el dato describe una inversión de cargas: el sistema ejecuta, la persona vigila y la ley sigue imputando la decisión a la segunda.

Respecto al caso mexicano agrava la tensión por una razón estructural, debido a que el mercado nacional de IA ronda los 2,780 millones de dólares, con el aprendizaje automático tradicional como segmento dominante y la IA generativa cerca del 12.8 % (Campos et al., 2026). Esa tecnología aterriza, sin embargo, en un tejido empresarial donde la bolsa es la excepción: al cierre de 2024 cotizaban 135 empresas en México, frente a más de 21,000 en el conjunto de Organización para la Cooperación y el Desarrollo Económicos (OCDE, 2025).

La mayoría de las sociedades que hoy incorporan agentes no rinde cuentas a la Comisión Nacional Bancaria y de Valores, sino a una Ley General de Sociedades Mercantiles que no menciona la tecnología y a estatutos que rara vez la anticipan. En esas sociedades cerradas, el vínculo entre IA y deber fiduciario está menos codificado como advierten Hernández et al. (2026), de modo que el vacío de gobernabilidad se ensancha justo donde hay menos reglas escritas y más decisiones concentradas en pocas manos.

A ello se suma un desfase de ritmo, en el cual la Ley del Mercado de Valores [LMV], 2005, en su artículo 27 prevé que el consejo de una emisora sesione al menos cuatro veces por ejercicio, mientras que seis de cada diez directivos esperan que sus procesos funcionen con agentes que operan de manera continua para sostener decisiones en tiempo real (Widener et al., 2026).

Un órgano que se reúne cada trimestre termina vigilando a un sistema que decide cada segundo. La cuarta edición del Código del Consejo Coordinador Empresarial reafirmó el carácter indelegable del consejo en la sostenibilidad de largo plazo (OCDE, 2025); el problema práctico es cómo conservar esa indelegabilidad cuando el calendario de la operación ya no lo marca el consejo.

Llamo gobernabilidad a la capacidad real de los órganos sociales para conservar el timón cuando parte de la operación se decide, se ejecuta o se sugiere desde un modelo. A diferencia de la gobernanza, que describe estructuras, la gobernabilidad mide si esas estructuras todavía alcanzan a mandar. Es una prueba de esfuerzo para instituciones diseñadas en torno a personas que deliberan.

1. Un ecosistema sin ley de IA, pero no sin reglas

Sería cómodo concluir que, sin ley especial, el consejo nada debe, empero, sucede lo contrario. En México no hay deberes de supervisión de IA ni comités obligatorios en la materia, y la vigilancia se arma desde las obligaciones societarias y regulatorias generales (Hernández et al., 2026). Donde el legislador no trazó el mapa, el administrador tendrá que justificar el suyo ante un juez o un accionista.

Así mismo, algunas señales ya orientan ese trazo. Los Principios de Chapultepec, de enero de 2026, no obligan; aun así, afirman que toda decisión apoyada en IA requiere un responsable humano y que lo inexplicable no debería automatizarse. Ese mismo mes, la jurisprudencia federal exigió transparencia, explicabilidad y supervisión humana en el uso judicial de estas herramientas, a las que calificó de auxiliares como reconocen Campos et al. (2026).

Por consiguiente, resulta valioso considerando como argumento a fortiori: si un poder con independencia garantizada se impone ese estándar, un consejo difícilmente podrá sostener que a él le basta menos.

En el plano del soft law, el Código del CCE en 2025 incorporó prácticas de ciberseguridad y protección de datos con la premisa de poner al ser humano al centro. La OCDE (2024), por su lado, advierte que aun las autoridades supervisoras que recurren a decisiones algorítmicas deben conservar un elemento humano frente al sesgo y la dependencia excesiva de los modelos. Cuando la exigencia alcanza al vigilante, el vigilado pierde el argumento de la desproporción.

2. Deberes fiduciarios en clave algorítmica

La Ley General de Sociedades Mercantiles (LGSM), comprende que los administradores responden solidariamente de la existencia y el mantenimiento de los sistemas de contabilidad, control, registro, archivo o información que la ley prevé (art. 158, fr. III). Un modelo que clasifica operaciones alimenta reportes o depura expedientes funciona, para efectos prácticos, como uno de esos sistemas.

Ahora bien, los efectos son inconvenientes dado a que la responsabilidad no nace de haber contratado mal al proveedor, sino de no haber mantenido el sistema que ese proveedor opera dentro de la sociedad. Por eso la prueba consiste en verificar si la conducta vinculada con la IA cabe en los deberes existentes de diligencia, lealtad, confidencialidad, control interno y revelación (Hernández et al., 2026).

En las emisoras, los consejeros deben actuar de buena fe y en el mejor interés de la sociedad, y pueden pedir la información razonablemente necesaria para decidir de acuerdo con la Ley de Mercado de Valores (LMV, 2005) art. 30. La excluyente de responsabilidad, a su vez, ampara a quien decide con base en información de directivos relevantes, del auditor externo o de expertos independientes cuya capacidad y credibilidad no ofrezcan duda razonable (LMV, 2005, art. 40, fr. II).

Ningún sistema de IA figura en ese elenco, en consecuencia, la salida de un modelo solo entra a la excluyente por mediación humana: el directivo que la valida o el experto que la explica. La fracción III empuja en la misma dirección, porque protege la alternativa elegida con base en la información disponible al decidir; una recomendación que nadie puede reconstruir apenas califica como información disponible en sentido jurídico.

3. Arquitectura de supervisión: del comité que informa al comité que decide

El reparto habitual luce razonable en el papel: el consejo asume estrategia y riesgo, el comité de auditoría o de riesgos vigila control interno, datos y ciberseguridad, un comité de tecnología aparece si el grupo lo decide y la dirección conserva la operación diaria como previenen Hernández et al. (2026). Coincide con la facultad del consejo para aprobar los lineamientos de control interno (LMV, 2005, art. 28) y con la función GOVERN del NIST, que pide una cultura de gestión de riesgos capaz de unir el diseño técnico de cada sistema con los valores de la organización (National Institute of Standards and Technology [NIST], 2023). El hueco está en otra parte. Uno habla de cultura y la otra de lineamientos, pero ninguno dice quién desactiva un agente a las tres de la mañana.

McKinsey describe el fallo típico: comités que revisan tableros sin autoridad para mover recursos ni detener un frente deficiente; su remedio son derechos de decisión reales y rutas de escalamiento (Lewandowski et al., 2026). Calvanese et al. (2026) aportan la pieza técnica, una autonomía enmarcada por especificaciones normativas y respaldada por bitácoras que permitan auditar y explicar cada acción. Al cruzar ambas fuentes surge una exigencia que ninguna fórmula: la bitácora del agente debería poder leerse como anexo del acta.

No obstante, si el comité no puede citar lo que el sistema hizo, tampoco podrá acreditar que lo supervisó. Con razón 70 % de los directivos ubica la dificultad para confiar en los agentes y gobernarlos entre las barreras para escalarlos (Widener et al., 2026).

El Departamento de Justicia estadounidense pregunta qué parámetro de decisión humana sirve para medir a la IA, cómo se hace exigible la rendición de cuentas y con qué rapidez se corrige una decisión automatizada contraria a los valores de la empresa (U.S. Department of Justice [DOJ], 2024). Para una emisora con operaciones en Estados Unidos, ese cuestionario puede llegar algún día como requerimiento.

4. Revelación, datos y confianza

Hacia afuera, también el silencio se gobierna. No existe en México una obligación transversal de divulgar el uso de IA; sin embargo, las emisoras deben revelar eventos relevantes y factores de riesgo, de suerte que la IA ligada de forma material al negocio, al control interno o a la continuidad operativa puede tener que revelarse, y una declaración imprecisa sobre ella expone a sanciones y reclamaciones (Hernández et al., 2026).

En tal sentido, se puede presentar un riesgo poco discutido: el entusiasmo. La emisora que presume capacidades de IA sin poder documentarlas comete, en sentido inverso, el mismo error que la que oculta una dependencia crítica.

Con respecto a los datos personales, la ley llegó más lejos que el soft law. La persona titular puede oponerse al tratamiento automatizado que, sin intervención humana, evalúe aspectos personales y le produzca efectos jurídicos no deseados o afecte de manera significativa sus derechos (Ley Federal de Protección de Datos Personales en Posesión de los Particulares [LFPDPPP], 2025, art. 26, fr. II).

A través de la lectura desde el consejo, la norma impone un requisito de diseño: cada proceso que evalúa personas sin intervención humana necesita una vía de retorno hacia una persona, y esa vía cuesta. El Código del CCE ya recomienda un protocolo de incidentes que contemple informar al consejo (CCE, 2025); falta definir quién atiende la objeción del titular y con qué criterio.

Conclusión

Ninguna de las piezas que ofrece el derecho mexicano fue escrita pensando en agentes de IA, y casi todas sirven. Por ejemplo, el artículo 158 de la LGSM alcanza al modelo en cuanto sistema de información; la LMV condiciona la excluyente a fuentes que un algoritmo, por sí solo, no puede ser, y la LFPDPPP ya convirtió la intervención humana en derecho del titular. Lo que escasea es el procedimiento que conecte esas normas con la operación diaria.

Por otra parte, un piso razonable incluiría un inventario de usos aprobado por el consejo; una matriz de riesgos que distinga al agente que sugiere del que ejecuta; umbrales de intervención humana fijados antes del despliegue y no después del incidente; bitácoras legibles para el comité, y un criterio de materialidad para decidir qué se revela.

En las sociedades cerradas, buena parte de esto puede entrar por los estatutos o por el protocolo familiar, sin esperar al legislador. Para las emisoras, la vía natural son los lineamientos de control interno que el consejo ya aprueba.

Y en tal sentido, ese piso tiene un costo que pocos presupuestos de IA contemplan: las horas de personas capaces de entender lo que revisan, sin las cuales la supervisión se reduce a un trámite. Además, deja pendiente una pregunta que nuestro derecho aún no contesta. Cuando la persona en el circuito aprueba en segundos lo que el agente preparó durante horas, ¿supervisó o solo firmó?

Referencias

Calvanese, D., Casciani, A., De Giacomo, G., Dumas, M., Fournier, F., Kampik, T., La Malfa, E., Limonad, L., Marrella, A., Metzger, A., Montali, M., Amyot, D., Fettke, P., Polyvyanyy, A., Rinderle-Ma, S., Sardiña, S., Tax, N., & Weber, B. (2026). Agentic business process management: A research manifesto (arXiv:2603.18916v3). arXiv.

Campos, N., Flores, E., & Andonegui, M. (2026). Artificial intelligence 2026: Mexico. Chambers Global Practice Guides. Chambers and Partners.

Consejo Coordinador Empresarial. (2025). Código de principios y mejores prácticas de gobierno corporativo. CCE.

Hernández G., F., Ríos Saldaña, E., Inzunza Sánchez, A. K., & Estrada Intriago, L. A. (2026). Corporate governance 2026: Mexico. Chambers Global Practice Guides. Chambers and Partners.

Ley del Mercado de Valores [LMV]. (2005). Diario Oficial de la Federación, 30 de diciembre de 2005 (México). Última reforma DOF 14-11-2025.

Ley Federal de Protección de Datos Personales en Posesión de los Particulares [LFPDPPP]. (2025). Diario Oficial de la Federación, 20 de marzo de 2025 (México). Última reforma DOF 14-11-2025.

Ley General de Sociedades Mercantiles [LGSM]. (1934). Diario Oficial de la Federación, 4 de agosto de 1934 (México). Última reforma DOF 20-10-2023.

Lewandowski, D., Cheta, O., & Anant, V. (2026). Stacking the odds: A blueprint for successfully scaling agentic AI. McKinsey & Company.

National Institute of Standards and Technology. (2023). Artificial intelligence risk management framework (AI RMF 1.0) (NIST AI 100-1). U.S. Department of Commerce. https://doi.org/10.6028/NIST.AI.100-1

Organización para la Cooperación y el Desarrollo Económicos. (2024). Principios de gobierno corporativo de la OCDE y del G20 2023. OECD Publishing.

Organización para la Cooperación y el Desarrollo Económicos. (2025). Libro de datos sobre gobierno corporativo de la OCDE 2025: México. OECD Publishing.

U.S. Department of Justice. (2024). Evaluation of corporate compliance programs (Updated September 2024). Criminal Division.

Widener, C., Shact, L., Jarvis, D., & Mazumder, S. (2026). AI agents are only the beginning: The path to agentic transformation. Deloitte Insights.