El Marco de Gestión de Riesgos de NIST: Qué Significa para tu Empresa en Venezuela

El Marco de Gestión de Riesgos NIST, Explicado para CEOs

Seguro ya usas IA en algún proceso de tu empresa — atención al cliente, generación de contenido, análisis de datos — aunque nadie lo haya llamado oficialmente "adopción de IA". Lo que probablemente no tienes es una forma de explicar, si alguien te lo pregunta mañana, cómo decidiste qué herramienta usar, qué datos toca, y quién revisa que esté funcionando bien. Eso no es un detalle técnico. Es exactamente lo que un marco de gestión de riesgos existe para resolver — y hay uno que ya se convirtió en referencia internacional, aunque nació en Estados Unidos.

Qué es el Marco de Gestión de Riesgos (RMF) de NIST

El Risk Management Framework, o RMF, viene del National Institute of Standards and Technology (NIST), la agencia federal de Estados Unidos que define estándares técnicos. Se creó originalmente para agencias federales estadounidenses y sus contratistas, documentado en la publicación SP 800-37. Fuera del gobierno federal de EE.UU., ninguna ley obliga a una empresa privada a seguirlo — y mucho menos a una empresa venezolana. Pero se convirtió en algo más importante que una obligación legal: es el punto de referencia que usan organizaciones serias, auditores, clientes internacionales e inversionistas para juzgar si una empresa realmente gestiona el riesgo o solo dice que lo hace.

El marco tiene siete pasos: Preparar, Categorizar, Seleccionar, Implementar, Evaluar, Autorizar y Monitorear. En términos simples: te organizas y asignas responsables, defines qué está realmente en juego en cada herramienta o proceso, decides qué protecciones necesita ese nivel de riesgo, las implementas, verificas que funcionen, tomas una decisión documentada sobre el riesgo que queda, y sigues monitoreando en vez de tratarlo como un proyecto de una sola vez.

Por qué no te dejo esto convertido en un checklist

Podría entregarte los siete pasos convertidos en una lista de casillas para marcar. No lo voy a hacer, y la razón es simple: un checklist copiado de un marco público, ejecutado sin alguien que entienda tus operaciones reales, tus contratos y tu exposición legal, no te protege. Te da la sensación de estar cubierta sin la sustancia de estarlo — y eso es peor que saber que tienes un vacío, porque deja de motivarte a buscarlo. Esa distancia entre "hicimos el checklist" y "puedo defender esta decisión si alguien me pregunta" es donde realmente trabajo, no en marcar casillas.

Por qué esto le importa a una empresa venezolana, aunque el RMF sea de EE.UU.

Hay dos razones prácticas, y ninguna depende de que exista una ley de IA venezolana vigente.

1. Es el idioma que ya hablan tus clientes internacionales

Si tu empresa trabaja con clientes, proveedores o inversionistas fuera de Venezuela — algo cada vez más común entre empresas de 5 a 30 empleados que exportan servicios — es probable que en algún momento te pregunten cómo gestionas el riesgo de las herramientas de IA que usas. Un marco reconocido internacionalmente es lo que te permite responder esa pregunta con algo real, no con "lo estamos viendo".

2. Anticipa exactamente lo que ya se sabe del Proyecto de Ley de IA venezolano

En Venezuela no existe todavía una Ley de Inteligencia Artificial vigente — hay un Proyecto de Ley, aprobado en primera discusión por la Asamblea Nacional en noviembre de 2024, que sigue en trámite y no es de aplicación obligatoria. Pero el texto discutido ya anticipa su dirección: evaluación de impacto, supervisión humana en decisiones automatizadas, y documentación técnica. Eso es, casi punto por punto, la misma lógica que ya aplica el RMF de NIST. Aplicar sus principios hoy no es una obligación — es llegar preparada cuando la ley local se apruebe, en vez de reconstruir todo bajo presión.

Dónde se rompe la versión federal para una empresa de 5 a 30 empleados

NIST diseñó el RMF asumiendo una organización con equipo de seguridad dedicado, oficial de cumplimiento, y el personal para ejecutar siete pasos formales como procesos separados. Tu empresa casi con certeza no tiene eso — y no lo necesitas para aprovechar la lógica detrás del marco. Lo que necesitas es que alguien traduzca ese razonamiento de nivel corporativo grande a decisiones que un equipo pequeño pueda realmente ejecutar y sostener, sin fingir que tienes recursos que no tienes. Esa traducción es el trabajo real — y es justo donde fallan la mayoría de las plantillas de cumplimiento genéricas: están escritas para una empresa tres veces más grande que la tuya.

El riesgo que más se le escapa a las empresas venezolanas que ya usan IA

Casi toda conversación que tengo con un dueño de negocio sobre IA empieza como una pregunta tecnológica — qué herramienta, qué proveedor, qué tan rápido la implementamos. Debería empezar como una pregunta de gobernanza. ¿Qué datos toca esa herramienta? ¿Quién aprobó que se usara? ¿Qué dice realmente el contrato con ese proveedor sobre responsabilidad si algo sale mal? Si un cliente o inversionista te preguntara mañana cómo evaluaste la IA que usa tu empresa, ¿tendrías algo concreto que mostrarle?

Esa última pregunta es donde lo operativo y lo legal dejan de ser conversaciones separadas. Categorizar el riesgo — el segundo paso del RMF — no es solo un ejercicio técnico. Es también un ejercicio legal: a qué estás expuesta depende de tus contratos, del manejo de tus datos y de tu jurisdicción, no solo de qué herramienta elegiste.

Cómo se ve esto aplicado a tu empresa, no a una agencia federal

Esta es la parte de mi trabajo que no cabe en un artículo, porque no está diseñada para ser genérica. Tomo la lógica detrás de marcos como el RMF y la reconstruyo a la escala de una empresa con operación real, ingresos reales, y un fundador que ya está desbordado — combinando el diseño operativo (quién es responsable de qué, qué se revisa, cada cuánto) con la revisión legal (qué te protege realmente tu contrato con cada proveedor de IA, y qué no). El resultado no es una carpeta. Son unas pocas decisiones, claramente asignadas, que podrías defender si alguien te las cuestionara.

Antes de construir cualquier cosa

Algunas preguntas que vale la pena hacerte antes de contratar a alguien —incluyéndome a mí— para trabajar esto:

• ¿Puedes nombrar, ahora mismo, cada herramienta de IA que hoy toca datos de tus clientes o empleados?

• ¿Hay una persona responsable de aprobar un nuevo proveedor de IA, o simplemente pasa donde pasa?

• Si un cliente te pidiera mostrarle cómo gestionas ese riesgo, ¿tendrías algo real que mostrarle?

Si alguna de esas preguntas te hizo dudar, esa duda es el punto de partida real — no un framework, no una plantilla, sino la decisión de quién va a hacerse cargo de esto antes de que esto se haga cargo de ti.

Agenda una sesión →

María Alejandra Tuozzo

Abogada | Consultora en Estructura Operativa