La facilidad para incorporar inteligencia artificial a una organización está modificando el lugar donde comienzan sus riesgos. Una decisión que antes requería negociar con un proveedor puede iniciarse hoy con la descarga de un modelo o la prueba de una aplicación. La distancia entre experimentar y afectar derechos puede reducirse a unos cuantos clics. El problema aparece cuando la rapidez de acceso se confunde con una autorización para usar.
Hugging Face permite observar esa transformación. Su importancia para el compliance reside en una pregunta que atraviesa todo el ecosistema: ¿qué debe comprobar una organización antes de convertir una herramienta disponible en un componente de sus decisiones? La respuesta exige mirar más allá del prestigio de una plataforma y examinar el uso que alguien ha decidido darle.
Una plataforma que acerca la tecnología
Hugging Face reúne herramientas y una comunidad para desarrollar y compartir inteligencia artificial. Su Hub permite alojar modelos, conjuntos de datos y aplicaciones conocidas como Spaces. Un modelo es el componente entrenado para realizar determinadas tareas; un conjunto de datos reúne información que puede servir para entrenarlo o evaluarlo; un Space permite presentar y utilizar una aplicación, frecuentemente mediante una interfaz en el navegador. Son piezas distintas de un mismo ecosistema. [1–2]
Esta distinción tiene consecuencias prácticas. La plataforma puede alojar un recurso publicado por un tercero, mientras otra organización lo adapta y lo incorpora a su propio servicio. Identificar quién publicó, modificó, ejecutó y utilizó cada componente permite reconstruir las decisiones relevantes. La expresión “usamos Hugging Face” resulta demasiado amplia para explicar qué tecnología intervino y bajo cuáles condiciones.
La apertura ofrece oportunidades valiosas: facilita el aprendizaje, la comparación y la revisión de recursos que de otro modo serían menos accesibles. También permite que universidades y empresas ensayen soluciones ajustadas a sus necesidades. Esa posibilidad merece aprovecharse con criterios que hagan compatible la experimentación con la protección de quienes pueden resultar afectados.
La ficha del modelo y los límites de la confianza
Una de las herramientas documentales del Hub es la model card, o ficha del modelo. La documentación de Hugging Face indica que debe describir sus usos previstos, limitaciones, posibles sesgos, datos de entrenamiento y resultados de evaluación. Esta información ayuda a formular preguntas antes de adoptar una herramienta. Su presencia, sin embargo, no equivale por sí sola a una certificación independiente de idoneidad. [3]
Para una organización, leer esa ficha debería ser el comienzo del examen. Conviene preguntar si las pruebas corresponden al idioma, a la población y a la tarea que se pretende atender. Una buena puntuación en una evaluación determinada no responde automáticamente por el desempeño en otra. Tampoco la ausencia de una advertencia permite concluir que el riesgo haya sido estudiado y descartado.
Pensemos en un ejemplo hipotético: una empresa utiliza un clasificador de sentimientos para ordenar reclamaciones. Después decide archivar automáticamente las que el sistema considera positivas. Una persona escribe: “Gracias por responder, pero sigo esperando la devolución”. Aunque el modelo identificara correctamente una expresión de cortesía, de ello no se seguiría que la reclamación quedó resuelta. El error empresarial consiste en convertir una clasificación lingüística en una decisión que exige otros elementos.
En ese escenario, la revisión debe alcanzar la regla de negocio que conecta el resultado del modelo con el archivo de la reclamación. Mejorar la precisión del clasificador podría dejar intacta la equivocación principal. El compliance necesita examinar qué significado atribuye la organización a cada salida y qué consecuencias permite producir a partir de ella.
Acceso público, permisos concretos
El Hub permite indicar licencias en sus repositorios y reconoce distintas familias de licenciamiento. La propia documentación pide consultar y respetar la licencia del proyecto que se pretende utilizar. Por eso, la disponibilidad pública de un recurso no debe tomarse como una respuesta completa sobre las condiciones de su aprovechamiento. [4]
La revisión debería identificar qué términos corresponden al modelo, al código y a los datos, y si existen condiciones relevantes para el uso previsto. Cuando la información sea incompleta o ambigua, esa incertidumbre debe quedar registrada y resolverse antes de una adopción que dependa de ella. La popularidad de una descarga ofrece escasa ayuda para contestar una pregunta contractual concreta.
La misma cautela resulta útil al probar aplicaciones. Spaces facilita desplegar demostraciones de inteligencia artificial. [2] Antes de introducir documentos de clientes o información interna, la organización debería establecer quién opera la aplicación, dónde procesa las entradas y qué condiciones rigen su conservación y acceso. Una interfaz sencilla puede ocultar una cadena de servicios que el usuario necesita comprender para decidir qué información suministrar.
Como criterio de gobierno, las primeras pruebas pueden realizarse con casos sintéticos y datos preparados para ese propósito. Incorporar información real exige una evaluación adicional del flujo de datos y de las reglas aplicables. La prueba técnica y la autorización para tratar información de terceros son decisiones diferentes, aunque ocurran dentro del mismo proyecto.
Cuando el sistema puede actuar
El examen se vuelve más exigente cuando un modelo se integra en un sistema con herramientas para consultar archivos, enviar mensajes o modificar registros. En ese diseño, importa tanto la calidad de sus respuestas como el alcance de los permisos concedidos. Una instrucción general de prudencia resulta insuficiente si las credenciales disponibles permiten ejecutar operaciones que exceden la tarea autorizada.
La documentación de seguridad de Hugging Face describe mecanismos como repositorios privados, tokens de acceso, autenticación multifactor y análisis de archivos maliciosos. [5] Estos recursos aportan controles útiles, pero la organización debe comprobar cuáles utiliza, cómo los configura y qué riesgos permanecen en su propia integración. Disponer de una función de seguridad y demostrar que protege una operación concreta son pasos distintos.
La propuesta de gobierno es delimitar los permisos por tarea, separar los entornos de prueba y producción y exigir autorización adicional para actuaciones de consecuencias relevantes. También conviene definir qué eventos quedarán registrados y quién recibirá las alertas. Un supervisor necesita información suficiente y capacidad real de intervención; de otro modo, su participación puede reducirse a confirmar decisiones que ya no puede revisar oportunamente.
El relato que un sistema produce sobre su actividad tampoco debería ser la única evidencia de lo ocurrido. Para reconstruir una operación se requieren registros de accesos, herramientas utilizadas, cambios y autorizaciones. Esta precaución permite investigar fallas sin atribuir intenciones humanas a un comportamiento técnico ni aceptar como prueba suficiente una explicación generada por el propio sistema.
La debida diligencia sobre el uso
El NIST ofrece un marco voluntario de gestión de riesgos de inteligencia artificial orientado a incorporar consideraciones de confiabilidad en el diseño, desarrollo, uso y evaluación de estos sistemas. [6] Su valor para esta discusión consiste en ofrecer una referencia de trabajo; su adopción no debe presentarse como una certificación general ni como una respuesta automática a las exigencias de cada jurisdicción.
A partir de esa perspectiva, propongo que la autorización interna identifique el recurso y su versión, el propósito admitido, los datos que puede recibir y las actuaciones que puede ejecutar. Debería acompañarse de pruebas pertinentes, condiciones de uso revisadas y una persona responsable de decidir sobre su continuidad. La documentación debe permitir entender las razones de la aprobación, además de acreditar que alguien la firmó.
La autorización también necesita límites temporales y materiales. Un cambio relevante del modelo, de sus herramientas o de la finalidad empresarial puede exigir una nueva evaluación. Los criterios de revisión deben definirse antes del incidente: qué resultado activa una alerta, qué operación se detiene y quién puede ordenar la suspensión. Así, el control acompaña la evolución del sistema.
Estas medidas son propuestas de gobierno que deben concretarse según el sector y el ordenamiento aplicable. Un ensayo sobre una plataforma no permite resolver por anticipado la responsabilidad jurídica de todos sus participantes. Esa valoración exige hechos, normas y evidencia sobre la intervención de cada actor. Precisamente por ello, la trazabilidad merece un lugar central desde el diseño del proyecto.
La responsabilidad comienza al incorporar
Hugging Face hace visible una oportunidad: ampliar el acceso a recursos con los que se puede investigar, aprender y construir soluciones. Su utilización responsable requiere que las organizaciones desarrollen una capacidad equivalente para evaluar aquello que incorporan. Abrir la puerta a la tecnología incluye decidir qué puede entrar, para qué y con qué límites.
El desafío del compliance consiste en convertir esa decisión en una práctica verificable. Una empresa debe poder explicar por qué eligió un modelo, qué comprobó antes de usarlo, qué consecuencias autorizó y cómo reaccionará si el desempeño cambia. Cuanto más fácil resulte incorporar inteligencia artificial, mayor será el valor de conservar esas razones.
La disponibilidad de un modelo inicia una posibilidad técnica. La decisión de confiarle una función empresarial compromete el juicio de quienes lo adoptan. Entre ambos momentos se encuentra el trabajo que ninguna plataforma puede realizar por toda organización: justificar el uso concreto y mantenerlo bajo control.
Álvaro Rolando Pérez Castro. Abogado y profesor universitario.
Referencias
Documentación institucional consultada el 21 de septiembre de 2026. Los títulos se conservan en su idioma original. Las propuestas de gobierno y el caso hipotético corresponden al análisis del autor.
[1] Hugging Face. Hugging Face Hub documentation. Consultar fuente
[2] Hugging Face. Spaces Overview. Consultar fuente
[3] Hugging Face. Model Cards. Consultar fuente
[4] Hugging Face. Licenses. Consultar fuente
[5] Hugging Face. Security. Consultar fuente
[6] National Institute of Standards and Technology (NIST). AI Risk Management Framework. Consultar fuente
