Gobernanza de datos: qué es y por qué la necesita

Cuando algo falla con los datos —una incidencia de cumplimiento, un modelo entrenado con la población equivocada, una métrica que significa cosas distintas para cada equipo—, las organizaciones a menudo no pueden responder a las preguntas que surgen. La propiedad no está clara, el linaje es incompleto y los registros de acceso no existen o no se remontan lo suficientemente atrás en el tiempo. El problema sale a la luz en la oficina de un regulador o en una revisión posterior al incidente.

La gobernanza de datos es la práctica de establecer los controles de propiedad, clasificación, linaje y auditoría que hacen que esas respuestas estén disponibles antes de que se exijan. A medida que los datos se desplazan entre sistemas, nubes, partners y flujos de trabajo de IA, las exigencias sobre la gobernanza no dejan de crecer. En la mayoría de las organizaciones, obtener respuestas sobre los datos resulta mucho más difícil de lo que debería. En esta guía se muestra cómo cambiar esa situación.

La gobernanza de datos es el sistema de políticas, roles, procesos y tecnología que define cómo una organización gestiona los datos a lo largo de su ciclo de vida. Establece quién es propietario de los datos, qué significan, cómo se clasifican, quién puede acceder a ellos, cómo se mide la calidad y cómo se audita su uso. En términos prácticos, la gobernanza de datos es un modelo operativo para que los datos sean fiables, estén protegidos y se puedan utilizar a escala.

Un programa de gobernanza de datos maduro responde a cuatro preguntas:

• ¿Qué datos existen y qué significan?
• ¿Quién es su propietario y quién responde por su uso?
• ¿Quién puede acceder a ellos, compartirlos o utilizarlos en flujos de trabajo de IA?
• ¿Puede la organización demostrar cómo se transformaron, protegieron y utilizaron?

La capacidad de responder a esas preguntas depende de los metadatos, la administración de datos, la calidad de los datos, los controles de privacidad, los procesos de cumplimiento y una responsabilidad clara. Sin la articulación de todos estos elementos, los equipos no pueden gobernar los datos de forma fiable.

La gobernanza de datos se ha vuelto más difícil porque los datos ya no permanecen dentro de un único entorno de reporting. Una tabla de uso de producto puede alimentar las analíticas, los procesos de asistencia al cliente, los informes a partners, las características de aprendizaje automático (ML) y los paneles para dirección. Una política de gobernanza de datos que funciona para un panel no gobierna automáticamente cada copia, transformación o prompt de IA posterior que utiliza esos mismos datos.

Esta fragmentación es una de las mayores barreras tanto para una gobernanza eficaz como para una IA escalable. “Cuando mantienes tus datos en un sitio para una cosa y en otro sitio para otra, gobernarlos y protegerlos se vuelve realmente difícil”, afirma Baris Gutelkin, VP of Product, AI de Snowflake. Sostiene que invertir en un fundamento de datos único y estandarizado en toda la organización permite casos de uso de IA generativa más potentes, a la vez que simplifica la gobernanza y la seguridad.

Para que ese tipo de fundamento de datos funcione en la práctica, se necesita algo más que centralizar los datos: se requiere una gobernanza coherente y escalable. Los equipos necesitan clasificar las columnas sensibles, asignar la propiedad, rastrear el linaje, aplicar el enmascaramiento, supervisar la actualidad de los datos y auditar el uso sin depender del conocimiento tácito ni de hojas de cálculo inconexas. Una gobernanza bien aplicada hace que los datos fiables sean más fáciles de encontrar y más seguros de usar, sin añadir fricciones para los equipos que los necesitan.

La IA eleva el nivel de exigencia de la gobernanza de datos, porque ahora los modelos y los agentes de IA pueden recuperar, resumir, transformar los datos gobernados o actuar sobre ellos. Cuando un agente de IA actúa en nombre de un usuario, las preguntas se multiplican: ¿qué filas ha recuperado?, ¿qué ha incluido en un prompt? y ¿existe un registro de auditoría de todo ello?

La gobernanza de datos para la IA se centra en los datos que utilizan los sistemas de IA. Esto incluye la procedencia de los datos de entrenamiento; la clasificación de los datos personales (PII) y de los datos confidenciales; los controles de consentimiento y de uso permitido; el sesgo y la representatividad de los datos de origen; el linaje entre conjuntos de datos, características, prompts, resultados y decisiones posteriores; y los controles de acceso de los agentes, junto con los registros de auditoría de la recuperación, el contexto del prompt y los resultados generados.

Esto está relacionado con la gobernanza de la IA, pero no es lo mismo. La gobernanza de datos para la IA gobierna los datos que utilizan los sistemas de IA. La gobernanza de la IA gobierna el modelo o el sistema en sí: aprobaciones de modelos, evaluaciones, fichas de modelos, monitorización, desviación, supervisión humana y gestión de riesgos. Ambos programas deben conectarse. Un flujo de trabajo de IA de alto riesgo no puede gobernarse bien si la organización desconoce qué fuentes de datos lo alimentan, qué campos sensibles pueden aparecer en la recuperación, quién aprobó el uso de los datos y si los resultados pueden rastrearse hasta fuentes gobernadas.

Descubre cómo Snowflake ayuda a gobernar los datos para una IA fiable:

Los principios de la gobernanza de datos guían las decisiones que toma un programa sobre políticas, propiedad, tecnología y procesos. Entre los principios habituales se incluyen:

• Responsabilidad: Cada activo de datos crítico tiene un propietario designado, responsable de las decisiones de acceso, los problemas de calidad y las disputas sobre definiciones.
• Transparencia: Los usuarios pueden consultar las definiciones, el linaje, las señales de calidad y el contexto de las políticas de los activos de datos con los que trabajan.
• Calidad de los datos: Los datos gobernados se miden con respecto a expectativas explícitas, en lugar de presuponer que son fiables.
• Privacidad y seguridad: Los datos confidenciales se clasifican, se protegen y se supervisan durante todo su ciclo de vida.
• Administración de datos: Los administradores designados mantienen las definiciones, resuelven los problemas y fomentan un uso responsable en todos los dominios.
• Estandarización: Los términos, las políticas y los controles son coherentes en todos los dominios, con excepciones documentadas y aprobadas.
• Auditabilidad: La organización puede demostrar cómo se accedió a los datos, se modificaron, se compartieron y se utilizaron.
• Uso ético: La ética de datos significa que los datos se utilizan de forma justa, no discriminatoria y acorde con las expectativas de los usuarios, con mecanismos para identificar y mitigar resultados perjudiciales o no deseados.

Estos principios se materializan en mecanismos concretos: campos de propiedad en un catálogo, etiquetas de confidencialidad en las columnas, políticas de enmascaramiento asociadas a datos regulados, rutas de linaje para informes críticos y registros de auditoría para las revisiones de acceso.

Los marcos y estándares de la gobernanza de datos ayudan a las organizaciones a estructurar un programa, definir capacidades y decidir qué implementar primero. Algunos se centran en la madurez de la gestión de datos, mientras que otros se centran en la gobernanza de la tecnología de la información (TI), la arquitectura, la calidad o los controles en la nube.

Una organización sanitaria podría utilizar DAMA-DMBOK para definir las capacidades básicas de gestión de datos, CDMC para asignar los controles en la nube y los requisitos de gobernanza de datos de la HIPAA para definir las expectativas de acceso, retención y auditoría.

Los marcos aportan estructura, pero un programa también necesita propietarios, metadatos, clasificación, reglas de calidad, políticas de acceso, procesos de auditoría y tecnología capaz de aplicar esas decisiones allí donde se utilizan los datos.

Más información sobre los marcos de gobernanza de datos →

Un programa de gobernanza necesita un modelo operativo que se ajuste a la forma de trabajar de la organización. Una empresa global con decenas de unidades de negocio no puede gobernar cada tabla a través de un único equipo central, pero un modelo totalmente descentralizado podría dar lugar a definiciones incoherentes, políticas duplicadas y un control desigual.

La mayoría de las organizaciones eligen uno de estos tres modelos:

Un modelo híbrido suele ser el más práctico. Un equipo central define los estándares de clasificación, las plantillas de políticas, los requisitos del catálogo y las expectativas de auditoría. Los equipos de dominio gestionan sus productos de datos, mantienen las definiciones, resuelven los problemas de calidad y aprueban los accesos en función del contexto local.

Sea cual sea el modelo que utilice una organización, los derechos de decisión deben ser explícitos. Si dos equipos definen el “cliente activo” de forma distinta, el modelo de gobernanza debe especificar quién resuelve el conflicto. Si un partner solicita acceso a un conjunto de datos confidenciales, el modelo debe identificar quién aprueba la solicitud, qué evidencia se requiere y cómo se registra la decisión.

Un programa de gobernanza de datos se basa en principios y marcos, pero se materializa a través de componentes operativos específicos. Estos componentes hacen visible la gobernanza en los sistemas que las personas utilizan a diario: catálogos, etiquetas, grafos de linaje, políticas de acceso, controles de calidad, flujos de trabajo de administración y registros de auditoría.

Gestión de metadatos

Los metadatos son el contexto que indica a las personas y a los sistemas qué es un activo de datos, de dónde procede y cómo debe utilizarse. Pueden describir el nombre de una tabla, el tipo de columna, el propietario, la definición de negocio, la etiqueta de confidencialidad, el objetivo de actualización, la ruta de linaje, el patrón de uso o el perfil de coste.

La mayoría de los programas de gobernanza se basan en tres tipos de metadatos:

• Los metadatos de negocio abarcan definiciones, propietarios, dominios, términos de glosario y estado de certificación, y ayudan a los equipos a entender si un activo de datos es relevante y está aprobado para su uso.
• Los metadatos técnicos abarcan esquemas, tipos de datos, transformaciones, dependencias y linaje, y ayudan a ingenieros y arquitectos a entender cómo se mueven y cambian los datos.
• Los metadatos operativos abarcan actualidad, uso, coste, resultados de calidad y patrones de acceso, y ayudan a los equipos a supervisar si los datos están actualizados, son fiables y se usan de forma adecuada.

Descubra la diferencia entre gobernanza de datos y gobernanza técnica →

Clasificación de datos

La clasificación de datos asigna etiquetas a los datos según su confidencialidad, dominio, normativa, incluida la soberanía de datos, o uso permitido. Por ejemplo, una columna puede etiquetarse como PII, información sanitaria protegida (PHI), datos de tarjetas de pago, datos financieros confidenciales o datos de entrenamiento aprobados. Esas etiquetas determinan después las revisiones de acceso, las políticas de enmascaramiento, las reglas de retención, las aprobaciones de uso compartido y las restricciones de uso de la IA.

La clasificación es especialmente importante porque los datos confidenciales rara vez están aislados en un único lugar. Las direcciones de correo electrónico, los ID de cliente, los códigos de diagnóstico, los campos de geolocalización y los detalles de transacciones suelen moverse a través de pipelines, paneles y tablas de aplicaciones. Un programa de gobernanza necesita identificar esos campos para poder protegerlos de forma coherente.

Catálogo de datos

Un catálogo de datos es el inventario consultable que hace que la gobernanza sea utilizable. Ofrece a analistas, ingenieros, administradores de datos y usuarios empresariales un lugar donde encontrar activos de datos, leer definiciones, revisar el linaje, comprobar quiénes son los propietarios, inspeccionar las señales de calidad y solicitar acceso.

Los catálogos modernos muestran productos de datos certificados, añaden contexto sobre las políticas, indican si una tabla está lo bastante actualizada para usarla y ayudan a los equipos a evitar la duplicación de conjuntos de datos similares. Un buen catálogo responde a preguntas prácticas antes de que alguien escriba una consulta: ¿qué significa esta tabla? ¿quién es su propietario? ¿está aprobada? ¿qué activos posteriores dependen de ella? ¿contiene datos confidenciales?

Linaje de los datos

El linaje de los datos rastrea los datos desde el origen hasta el consumo. Muestra cómo un campo, una tabla o una métrica se mueven a través de los flujos de trabajo de ingesta, transformación, modelado, reporting, uso compartido e IA. El linaje puede operar a nivel de tabla, mostrando cómo unas tablas dependen de otras tablas o fuentes; a nivel de columna, mostrando cómo se transforman o reutilizan campos concretos; o entre sistemas, mostrando cómo se mueven los datos entre herramientas, nubes o plataformas.

Si una columna regulada alimenta un informe, un modelo o un producto de datos externo, el linaje ayuda a mostrar de dónde procede, cómo ha cambiado y qué podría verse afectado si cambia la fuente.

Gestión de políticas

La gestión de políticas es donde las reglas de gobernanza se convierten en controles aplicables. Incluye políticas de acceso, políticas de enmascaramiento, restricciones a nivel de fila, reglas de retención, reglas de data sharing, políticas de uso permitido y flujos de trabajo de excepciones.

Una política debe definir quién puede acceder a qué datos, bajo qué condiciones, con qué propósito y con qué proceso de revisión. Una gestión sólida de políticas también contempla las excepciones: algunos usuarios pueden necesitar acceso temporal para una auditoría, una migración o la respuesta a un incidente. La gobernanza debe registrar quién aprobó la excepción, por qué se concedió y cuándo caduca.

Calidad de los datos

La calidad de los datos mide si estos son lo bastante precisos, completos, coherentes, actuales, únicos y válidos para el uso previsto. Una tabla de productos utilizada para experimentación interna puede tener un umbral de calidad distinto al de una tabla de ingresos utilizada para informes financieros o una tabla de reclamaciones empleada en analíticas sanitarias.

Una tabla puede tener un propietario, una definición de glosario y una política de acceso, pero, si sus registros están obsoletos o incompletos, los usuarios no podrán confiar en ella. Los programas modernos adelantan la calidad a etapas más tempranas en el ciclo de vida mediante contratos de datos, pruebas de pipeline y supervisión continua.

Privacidad y seguridad de los datos

La privacidad de los datos regula cómo se recopilan, usan, conservan, comparten y eliminan los datos personales y confidenciales. La seguridad de los datos regula cómo se protegen los datos frente al acceso no autorizado, el uso indebido o la exposición. Ambas dependen de la clasificación, la propiedad, las políticas y la auditabilidad, y por eso suelen gestionarse dentro del mismo marco de gobernanza.

Los controles de privacidad pueden incluir la gestión del consentimiento, los flujos de trabajo para solicitudes de los interesados, las reglas de retención, la tokenización y el enmascaramiento. Los controles de seguridad pueden incluir el control de acceso basado en roles, las políticas de acceso a filas, el cifrado, la supervisión y los procedimientos de respuesta a incidentes. La gobernanza conecta esos controles con los activos de datos, mostrando qué tablas contienen datos confidenciales, quién puede acceder a ellas, qué políticas se aplican y si el uso puede revisarse posteriormente.

Data sharing y colaboración

Los datos gobernados deben favorecer una reutilización segura entre dominios, partners y ecosistemas externos, no solo controlar el acceso dentro de un único entorno.

• El data mesh asigna la propiedad por dominio al tiempo que preserva los estándares de gobernanza federada.
• Los productos de datos empaquetan los datos con un propietario, una definición, un objetivo de calidad y un ciclo de vida.
• Los contratos de datos definen las expectativas entre productores y consumidores, incluidos el esquema, la actualidad y la calidad.
• Las clean rooms permiten a las partes colaborar con datos gobernados sin exponer los registros sin procesar.

Todo activo de datos compartido lleva implícitas una serie de suposiciones: quién es su propietario, qué significa, si está actualizado, qué políticas se aplican y si el destinatario puede usarlo para el propósito previsto. La gobernanza ayuda a que esas suposiciones sean explícitas y aplicables.

La gobernanza de datos depende de personas concretas con derechos de decisión claros. La administración de datos es la capa operativa que mantiene las decisiones de gobernanza conectadas al trabajo diario con los datos. En un programa maduro, los administradores colaboran con los propietarios de datos, los custodios, los responsables de privacidad, los equipos de seguridad y un comité de gobernanza para mantener las definiciones, supervisar la calidad, revisar los patrones de acceso y escalar los conflictos entre dominios.

El conjunto exacto de roles varía según la organización, pero lo que se mantiene constante es que la gobernanza necesita tanto autoridad empresarial como custodia técnica. Las grandes empresas suelen formalizarlo mediante un comité de gobernanza, vías de escalado documentadas y administración a nivel de dominio.

Los detalles prácticos importan. Si dos equipos no se ponen de acuerdo sobre la definición de una métrica, el programa debe determinar quién decide. Si un campo regulado necesita una nueva política de enmascaramiento, el administrador debe saber a qué partner de seguridad o privacidad recurrir. Si un problema de calidad de datos afecta a un informe posterior, el linaje debe mostrar el impacto y la administración debe determinar quién se encarga de solucionarlo.

Una implementación práctica de una estrategia de gobernanza de datos suele seguir esta secuencia:

1. Elige un dominio prioritario: Comienza por la visión 360 del cliente, la generación de informes financieros, los datos regulados, las analíticas de la cadena de suministro o los datos de entrenamiento de IA, allí donde el riesgo empresarial o la presión del cumplimiento sean mayores.
2. Haz inventario de los activos de datos críticos: Identifica las tablas, vistas, archivos, métricas e informes más importantes de ese dominio.
3. Clasifica los datos confidenciales y regulados: Etiqueta los PII, la PHI, los datos de pago, los registros confidenciales y otros tipos de datos controlados.
4. Asigna propietarios y administradores: Indica quién es responsable de las definiciones, las decisiones de acceso, las expectativas de calidad y la resolución de incidencias.
5. Define las políticas: Establece reglas de acceso, enmascaramiento, retención, uso compartido, uso de IA y excepciones.
6. Captura el linaje y las señales de calidad: Rastrea los flujos de datos críticos y supervise la actualidad, la integridad y la validez.
7. Revisa el acceso y el uso: Utiliza los registros de auditoría para validar quién accedió a los datos confidenciales y si las políticas funcionaron según lo previsto.
8. Amplía dominio a dominio: Reutiliza estándares, plantillas y lecciones aprendidas a medida que el programa crece.

Entre las métricas de éxito útiles se incluyen la adopción del catálogo, el porcentaje de activos de datos críticos con propietarios asignados, la cobertura de la clasificación, la cobertura de las políticas, el tiempo de resolución de incidencias de calidad, la finalización de las revisiones de acceso y la reducción de hallazgos de auditoría.

Más información sobre las prácticas recomendadas de gobernanza de datos →

Los organismos reguladores pueden preguntar si una organización es capaz de demostrar qué datos regulados conserva, quién accedió a ellos, cómo se protegieron, durante cuánto tiempo se conservaron y si se aplicaron los controles requeridos. La gobernanza respalda las prácticas de gobernanza, riesgo y cumplimiento (GRC) al conectar los activos de datos con políticas, propietarios, controles y registros de auditoría.

Estos son algunos ejemplos:

La Ley de la IA de la UE es un buen ejemplo de por qué son importantes los plazos de la gobernanza. El reglamento se aplica de forma progresiva: las disposiciones generales y las prohibiciones entran en vigor el 2 de febrero de 2025, las normas relativas a la IA de uso general el 2 de agosto de 2025 y la implantación más amplia continúa hasta el 2 de agosto de 2027. Para las organizaciones que utilizan datos empresariales gobernados en sistemas de IA, esto crea la necesidad práctica de comprender la procedencia de los datos de entrenamiento, la clasificación de los datos confidenciales, los permisos de acceso y la auditabilidad.

Mira este vídeo para descubrir cómo las funciones de Snowflake —como la supervisión de datos sensibles— facilitan la detección y ofrecen una visión completa de tus datos confidenciales con solo unos clics.

La gobernanza de datos es más fácil de mantener cuando las políticas, los metadatos, el linaje, la supervisión de la calidad y los controles de acceso se sitúan cerca de donde se almacenan, procesan, comparten y utilizan los datos. Las funciones de gobernanza de Snowflake están integradas en el mismo entorno donde las organizaciones gestionan datos, aplicaciones y workloads de IA, en lugar de aplicarse a través de una herramienta independiente que debe mantenerse sincronizada.

Catálogo unificado con linaje integrado: Snowflake Horizon Catalog ofrece catálogo, linaje a nivel de columna, metadatos activos y aplicación de políticas en una única interfaz. Snowflake Horizon Catalog puede reducir la necesidad de una herramienta de catálogo independiente, porque el contexto de gobernanza reside cerca de los datos.

Diseñada para el cumplimiento normativo: El Compliance Center de Snowflake ofrece la supervisión de la posición de seguridad junto con certificaciones que respaldan estándares como HIPAA, PCI DSS, SOC 2 Type II, ISO 27001, FedRAMP Moderate e IRAP. Según la implementación, pueden requerirse determinadas funciones y configuraciones del cliente.

Política como código para datos confidenciales: Enmascaramiento de datos dinámico, políticas de acceso a filas, enmascaramiento basado en etiquetas y External Tokenization aplican controles de protección en la capa de datos. Con la configuración adecuada, la clasificación puede ayudar a que las políticas se apliquen de forma coherente en consultas, aplicaciones, uso compartido y flujos de trabajo de IA.

Uso auditable: El historial de acceso y el historial de consultas pueden ayudar a capturar registros detallados de acceso y transformación que respaldan la auditoría y la revisión normativa. Con la configuración adecuada, las organizaciones pueden identificar más fácilmente quién accedió a una columna confidencial y cuándo.

Diseñada con controles de gobernanza para flujos de trabajo de IA: Cortex Guard aplica controles de políticas a las entradas y salidas de los large language models (LLM) para ayudar a reducir el riesgo de que datos confidenciales accedan a contextos de modelo inapropiados. Las funciones de métricas de datos permiten supervisar la calidad de los datos de entrenamiento a lo largo del tiempo, de modo que los datos que alimentan los sistemas de IA cumplan los mismos estándares que los datos que alimentan los informes.

Uso compartido gobernado sin copias: Secure Data Sharing, los productos de datos y las Data Clean Rooms permiten a las organizaciones compartir información con partners y colaboradores externos sin mover datos sin procesar más allá de los límites de seguridad. Los controles de gobernanza son más fáciles de aplicar de forma coherente porque los datos no salen de la plataforma.

En conjunto, estas funciones ofrecen una única superficie de gobernanza para almacenes de datos, data lakes, formatos de tabla abiertos como Iceberg, aplicaciones e IA, de modo que no es necesario reconstruir los controles cada vez que los datos pasan a un nuevo entorno.

La madurez de la gobernanza no es un estado binario. La mayoría de los programas tienen cobertura en algunos dominios y carencias en otros. Esas carencias suelen hacerse visibles en el peor momento posible. Un hallazgo de cumplimiento puede sacar a la luz una columna que nunca se clasificó. O quizás se cuestione un resultado de la IA, pero nadie puede rastrear qué datos contribuyeron a él.

Las organizaciones que evitan esas situaciones no son las que completaron una implementación de gobernanza. Son las que integraron la propiedad, el linaje, la clasificación y los controles de auditoría en su forma de operar, de modo que, cuando surge la pregunta, la respuesta ya existe.

Descubre casos de uso de la gobernanza de datos →