¿Saben los directores lo que firman? El gap de governance de IA en directorios y sus implicancias constitucionales

El estudio Tendencias en Directorios 2026 del Instituto de Directores de Chile (IdDC), publicado en marzo de 2026 con base en una muestra de 300 directores, gerentes generales y gerentes de primera línea, arrojó un dato que debería preocupar no solo a la comunidad corporativa sino también a la doctrina constitucional. El 20,8% de los encuestados identificó la inteligencia artificial, la ciberseguridad y la protección de datos como prioridad estratégica del directorio para 2026. Solo el 0,5% declaró expertise real en esas materias.

La resta aritmética entre ambas cifras es de 20,3 puntos porcentuales, pero esa métrica subestima la magnitud del problema. La proporción relevante es otra: de cada 42 directores que declaran la IA como prioridad, solo uno posee expertise para respaldar esa declaración. El 97,6% de la prioridad declarada carece de sustancia. La cifra no es un dato aislado: el propio estudio del IdDC señala que el 51,9% de quienes reconocen que el rol del director ha cambiado admite que los directorios no han adoptado las medidas necesarias para adaptarse a esa transformación.

El fenómeno tiene una dimensión que trasciende el gobierno corporativo y alcanza el derecho constitucional: cuando el ordenamiento jurídico impone deberes de supervisión sobre tecnologías que los directores no comprenden, se genera responsabilidad sin condiciones materiales de cumplimiento.

El contexto normativo chileno

Chile se encuentra en una posición singular. El proyecto de ley que regula los sistemas de inteligencia artificial (boletines fusionados 15.869-19 y 16.821-19) pasó a segundo trámite constitucional en el Senado tras ser aprobado con modificaciones por la Cámara de Diputados. El texto contempla cuatro niveles de riesgo (inaceptable, alto, limitado y sin riesgo evidente), un Consejo Asesor Técnico de IA y la fiscalización a cargo de la Agencia de Protección de Datos Personales, con multas de hasta 20.000 UTM para infracciones gravísimas.

Simultáneamente, la Ley 21.719 sobre protección de datos personales, con vacancia legal hasta el 1 de diciembre de 2026, crea la institucionalidad que el proyecto de ley de IA presupone: la misma Agencia de Protección de Datos que deberá fiscalizar ambos marcos regulatorios. La Ley 20.393 de responsabilidad penal de personas jurídicas, reformada por la Ley de Delitos Económicos, ya impone a las empresas obligaciones de prevención que incluyen la supervisión de riesgos asociados a sus operaciones, con deberes de diligencia asignados al directorio.

El problema constitucional surge cuando se cruza este entramado con el dato empírico del IdDC. Si el marco legal exige al directorio supervisar los riesgos derivados de sistemas de IA, pero el 99,5% de los directores carece de expertise para ejercer esa supervisión de forma sustantiva, se produce una tensión con el principio constitucional de culpabilidad.

La tensión con el principio de culpabilidad

El art. 19 N° 3 de la Constitución Política de la República garantiza la igual protección de la ley en el ejercicio de los derechos. Su inciso séptimo, reforzado por la doctrina del Tribunal Constitucional, establece que la ley no podrá presumir de derecho la responsabilidad penal. La garantía opera como límite a la configuración de deberes de conducta cuyo cumplimiento sea materialmente imposible para el destinatario.

El argumento no requiere recurrir a la prohibición de la responsabilidad objetiva en materia penal, que es pacífica. Basta con observar que un deber de supervisión tecnológica que el 99,5% de sus destinatarios no puede ejercer sustantivamente funciona, en la práctica, como un estándar que presume la negligencia: el director que no detectó el riesgo algorítmico es declarado negligente por no haberlo detectado, aunque carecía de las herramientas cognitivas para identificarlo. La culpa se predica sobre la base de un estándar que la población destinataria no puede alcanzar.

Esto no equivale a afirmar que el deber de supervisión sea inconstitucional. La solución no es eliminar el deber sino calibrar su contenido. La distinción entre un deber de supervisión genérico (asegurar que existan mecanismos de control) y un deber de supervisión específico (evaluar la adecuación técnica de los sistemas de IA en uso) es constitucionalmente relevante. El primero es exigible a cualquier director con formación profesional razonable; el segundo requiere una capacidad técnica que el mercado de directores no posee y que ninguna norma ha previsto cómo suplir.

Perspectiva comparada: Argentina como caso límite

La comparación con Argentina ilustra el espectro completo del problema. Mientras Chile tiene un proyecto de ley de IA en trámite avanzado, con institucionalidad definida y plazos identificables, Argentina acumula más de 60 proyectos legislativos sin aprobación y un vacío normativo total a nivel nacional.

Sin embargo, Argentina ofrece un dato jurisprudencial que merece atención chilena. En el fallo Oviedo c/ Telecom Argentina S.A. (CSJN, 10 de julio de 2025), la Corte Suprema argentina sostuvo que en empresas de gran envergadura, los directores no pueden revisar personalmente todas las decisiones operativas; basta con que verifiquen la existencia de mecanismos de control apropiados. Ese estándar, aplicado al contexto de la supervisión de IA, produce un resultado paradójico: el director que verifica la existencia de un sistema algorítmico de compliance ha cumplido con su deber, aunque no tenga capacidad para evaluar si el sistema funciona correctamente.

La flexibilidad institucional chilena (el Constitutional Lock-in Index estimado de Chile es 0,24, frente a 0,89 para Argentina) sugiere que el sistema jurídico chileno tiene mayor capacidad para adaptar el estándar de diligencia directorial al problema de la supervisión tecnológica. Pero esa adaptación requiere que la doctrina y la legislación reconozcan explícitamente que el deber de supervisión sobre sistemas de IA no puede evaluarse con el mismo metro que el deber de supervisión financiera o contable: las competencias requeridas son distintas, la asimetría de información entre director y administración es mayor, y el ritmo de cambio tecnológico excede la capacidad de actualización de cualquier directorio sin formación especializada.

El dilema del compliance performativo

El estudio del IdDC proporciona una clave interpretativa adicional. La evaluación de la efectividad de los directorios chilenos se ha mantenido inalterada en 5,1 sobre 7 durante los últimos tres años, según la serie comparativa 2024-2026 del propio instituto. Ni la irrupción de la inteligencia artificial, ni la entrada en vigor de la Ley de Delitos Económicos, ni el crimen organizado como factor de gestión modificaron esa percepción. Más que estabilidad, la cifra sugiere inercia evaluativa.

Si los directorios no ajustan su autoevaluación ante cambios de entorno que modifican sustancialmente sus obligaciones, el cumplimiento del deber de supervisión se convierte en un acto performativo: se declara cumplido sin que haya variado el contenido de lo que se supervisa ni las capacidades de quien supervisa. Esa performance, leída junto con el principio de culpabilidad, plantea la pregunta de si un sistema jurídico puede legítimamente sancionar por negligencia a un actor cuya conducta es indistinguible de la del 99,5% de sus pares.

Una propuesta concreta

El problema no se resuelve con capacitación genérica ni con la incorporación de un «director tecnológico» al directorio, aunque ambas medidas tengan valor complementario. Se resuelve calibrando legislativamente el estándar de diligencia para distinguir tres niveles de obligación:

Un deber de consulta: el director debe acreditar que solicitó información técnica sobre los sistemas de IA en uso antes de aprobar decisiones que los involucren.

Un deber de verificación de existencia: el director debe constatar que la empresa cuenta con mecanismos de evaluación de riesgo algorítmico, en línea con la clasificación de riesgos que el proyecto de ley chileno propone.

Un deber de escalamiento: ante indicios de riesgo que el director no puede evaluar por sí mismo, debe constar que lo comunicó al comité de auditoría, a la administración o a un asesor externo.

Ninguno de estos niveles exige al director poseer expertise técnica en IA. Todos exigen que documente su diligencia de forma verificable. La diferencia entre un director protegido y un director expuesto no radica en lo que sabe, sino en lo que hizo para intentar saber.

El proyecto de ley de IA en trámite no contempla expresamente esta escala de obligaciones para directores. Su incorporación, sea en el texto legislativo o en la regulación secundaria que dicte la Agencia de Protección de Datos, permitiría alinear el deber de supervisión con el principio constitucional de culpabilidad y con la realidad empírica que el propio IdDC documenta.