Si tu IA no puede explicar por qué respondió eso, tienes un problema que todavía no te han facturado.

Es el conjunto de límites, verificaciones y registros que hacen que un sistema de IA sea controlable y auditable: qué puede responder, qué debe escalar a una persona, y cómo se documenta cada decisión. En D8M la gobernanza no es una política escrita: está implementada en la arquitectura — límites editables por el cliente, verificación previa a cada respuesta y registro completo por interacción.

Consultando su registro: qué entrada la originó, qué reglas se evaluaron, qué modelo respondió, con qué fuentes, en cuánto tiempo y qué verificación pasó antes de entregarse. Si ese registro no existe, la auditoría es una reconstrucción especulativa — por eso en D8M se genera automáticamente para cada interacción desde el primer día.

Si el modelo es el sistema, quedas atrapado. Si el modelo es una pieza —como en la arquitectura de D8M—, la operación conmuta a otro proveedor sin reescribir el sistema: las reglas, los límites y la trazabilidad no dependen del modelo. Esa independencia es una decisión de arquitectura que se toma el primer día, no una migración que se improvisa después.

El marco regulatorio de IA en Colombia está en construcción, sobre la base vigente de protección de datos (Ley 1581 de 2012) y de los estándares internacionales que las autoridades están adoptando como referencia — supervisión humana, explicabilidad y registro auditable. Construir así hoy no es anticiparse por lujo: es evitar rehacer la operación cuando sea obligatorio.