Política de gobernanza de datos: una guía práctica

Un activo de datos puede estar disponible y parecer perfectamente adecuado, pero seguir conllevando un riesgo significativo. Sin contexto, quedan sin respuesta preguntas críticas: si los datos contienen atributos regulados, si se pueden compartir entre regiones, si se han aprobado como entrada de un modelo y si las reglas de retención o los controles específicos de un dominio siguen vigentes.

El problema se agrava a medida que los datos circulan por más sistemas, llegan a más usuarios mediante el acceso de autoservicio y respaldan más tipos de trabajo, cada uno con requisitos de tratamiento diferentes. Una política de gobernanza establece reglas claras sobre el uso de los datos, la propiedad y la responsabilidad que orientan la forma en que estos se gestionan a medida que se desplazan por el entorno.

Una política de gobernanza de datos es el conjunto formal de reglas que define cómo una organización clasifica, accede, almacena, comparte y usa sus datos. Ofrece a los equipos un estándar documentado para manejar los datos entre unidades de negocio, sistemas, jurisdicciones y flujos de trabajo, a la vez que explica cómo se aplican esas reglas dentro de las plataformas donde los datos se crean, gobiernan y analizan.

Una política de gobernanza de datos no es lo mismo que un marco de gobernanza de datos, que define el modelo operativo, los roles y los procesos más amplios en torno a la gobernanza. Una política es uno de los conjuntos de reglas específicos dentro de un marco, centrado en las reglas en sí: qué se permite, qué se restringe, quién aprueba las excepciones y cómo se mantiene el cumplimiento a lo largo del tiempo.

En los entornos modernos, las políticas deben ser rastreables de forma integral (desde las decisiones sobre riesgos hasta los controles, la propiedad y la evidencia), sobre todo una vez que los datos gobernados se reutilizan en analíticas, aprendizaje automático, IA generativa y operaciones interfuncionales.

Para saber más sobre los principios fundamentales y las prácticas recomendadas que sustentan la gobernanza, consulta Qué es la gobernanza de datos.

La mayoría de las organizaciones ya tienen reglas sobre los datos. El problema es que esas reglas a menudo están distribuidas entre avisos de privacidad, controles de seguridad, calendarios de retención, flujos de trabajo de acceso, procesos de revisión legal y convenciones específicas de cada equipo. A medida que los datos se desplazan por plataformas, dominios de negocio y flujos de trabajo respaldados por IA, resulta más difícil determinar qué reglas se aplican, quién es responsable de la decisión y si se está aplicando el mismo estándar de forma coherente.

Una política de gobernanza de datos ayuda a las organizaciones a mantenerse ágiles, ya que permite a las personas encontrar, solicitar y usar datos bajo reglas claramente entendidas. Puede ayudar a mejorar la preparación para el cumplimiento al definir cómo maneja la organización la clasificación, la privacidad, la retención y la evidencia. Y dado que la política de gobernanza ayuda a definir las aprobaciones, restricciones y excepciones de un equipo, plataforma o caso de uso a otro, esta respalda el control de acceso y la auditabilidad.

Además, las regulaciones de privacidad, como el RGPD y la CCPA, exigen que las organizaciones definan cómo se recopilan, se conservan, se comparten los datos personales, y cómo se accede a ellos. La gobernanza de la IA introduce otra capa de requisitos normativos, porque los equipos ahora necesitan reglas explícitas sobre si los datos gobernados pueden usarse en el entrenamiento de modelos, la generación aumentada por recuperación (RAG), la ayuda automatizada en la toma de decisiones u otros flujos de trabajo basados en LLM.

Sin la estructura de una política formal, un equipo podría reutilizar datos regulados de una forma que el propietario original nunca aprobó. O distintas unidades de negocio podrían aplicar reglas diferentes a los mismos datos, lo que ralentiza las decisiones, aumenta el riesgo de cumplimiento y dificulta la aplicación de la gobernanza a escala. Con el tiempo, las organizaciones pueden enfrentarse a un mayor riesgo de exposición normativa, uso indebido de los datos, fallos en las auditorías y toma de decisiones aislada.

Una política de gobernanza de datos tiene que abarcar varias categorías de decisiones políticas, desde la propiedad y la clasificación hasta el acceso, la retención y la auditoría.

Entre los componentes principales suelen incluirse los siguientes:

• Alcance y aplicabilidad: Define qué datos, sistemas, unidades de negocio, jurisdicciones y casos de uso abarca la política.
• Roles y responsabilidades: Identifica quién es responsable de la política, quién aprueba las excepciones, quién aplica los controles y quién mantiene la política a medida que cambian las normativas, los sistemas y los usos empresariales. Suele incluir a los propietarios de los datos, los administradores de datos, los custodios, las partes interesadas legales y de cumplimiento, los equipos de seguridad y un comité de gobernanza.
• Estándares de clasificación de datos: Establece cómo distingue la organización entre datos públicos, internos, confidenciales, regulados y cualquier otro tipo de datos sensibles. Estas definiciones se convierten en la base del etiquetado, las reglas de tratamiento, las decisiones de acceso y los controles posteriores.
• Reglas de acceso y uso: Define quién puede usar los datos, con qué finalidad, en qué condiciones y con qué aprobaciones. Esto incluye el acceso rutinario a analíticas, el uso compartido interfuncional, el acceso de terceros y casos de uso de IA como la fundamentación de modelos, el enriquecimiento de prompts o la ayuda automatizada en la toma de decisiones.
• Cumplimiento y alineación normativa: Explica cómo se relaciona la política con obligaciones como el RGPD, la CCPA, la HIPAA, la SOX y los requisitos específicos del sector. Una política no necesita reformular normativas enteras, pero debe identificar qué obligaciones se aplican, qué controles las respaldan y quién es responsable de las pruebas.
• Reglas de retención y ciclo de vida de los datos: Define durante cuánto tiempo deben conservarse los datos, cuándo deben archivarse, cuándo deben eliminarse y cómo se gestionan los conflictos cuando los registros están sujetos a requisitos empresariales, legales o normativos que se solapan.
• Requisitos de aplicación y auditoría: Define cómo verifica la organización que se está cumpliendo la política, incluidos los controles técnicos, el registro, la gestión de excepciones, las certificaciones, los ciclos de revisión y la evidencia de auditoría.

La política de gobernanza es donde las obligaciones externas se convierten en reglas operativas. La política traduce las leyes, las normativas y los compromisos organizativos en decisiones claras sobre quién puede acceder a los datos, cómo pueden usarse, durante cuánto tiempo deben conservarse y cómo se demuestra el cumplimiento.

Varias categorías de requisitos determinan estas políticas, entre ellas las siguientes:

Privacidad y protección de datos

Normativas como el Reglamento General de Protección de Datos (RGPD) establecen requisitos estrictos sobre cómo se recopilan, usan y protegen los datos personales. Definen conceptos como la base legal para el tratamiento, los derechos del interesado (como el acceso, la eliminación y la corrección), la responsabilización y la privacidad por diseño.

Para saber más sobre cómo afecta el RGPD a la política de gobernanza, consulta Gobernanza de datos del RGPD.

La política de gobernanza ayuda a las organizaciones a alinear los procesos y las prácticas con estos requisitos legales, incluida la clasificación de datos, los controles de acceso, la minimización de datos y la auditabilidad.

Data sharing y reutilización de datos

La Ley Europea de Gobernanza de Datos de la UE (DGA) complementa el RGPD. Se centra en habilitar un data sharing fiable e introduce marcos para la reutilización de determinados datos protegidos del sector público. También contiene normativas para los intermediarios de datos y los servicios de data sharing dentro de la UE.

Estos requisitos determinan la política de gobernanza al exigir a las organizaciones que definan reglas claras sobre cuándo y cómo pueden compartirse los datos, en qué condiciones pueden reutilizarse y cómo se mantiene la confianza a través de las fronteras organizativas o regionales.

Soberanía y residencia de los datos

La soberanía de los datos significa que los datos están sujetos a las leyes de la jurisdicción en la que se recopilan, mientras que la residencia de los datos hace referencia al lugar donde se almacenan físicamente. Ambos conceptos afectan directamente a cómo diseñan las organizaciones sus entornos de datos.

La política de gobernanza debe tener en cuenta estas restricciones, especialmente en las analíticas entre regiones, las colaboraciones y los casos de uso de IA, con el fin de establecer hacia dónde pueden moverse los datos, quién puede acceder a ellos y qué leyes se aplican en cada etapa.

Ética de los datos y uso responsable de la IA

La ética de los datos define cómo deben usarse los datos cuando las directrices legales son incompletas o están en evolución. Esto incluye consideraciones como la equidad, la mitigación de sesgos, la transparencia y el uso responsable de la IA. Las políticas de gobernanza suelen formalizar estas expectativas, especialmente cuando los resultados basados en datos influyen en decisiones, clientes o acciones posteriores.

Para saber más sobre cómo respalda la política de gobernanza el cumplimiento, consulta Gobernanza de datos y cumplimiento.

No todas las decisiones de gobernanza vienen determinadas por la normativa. Muchas son operativas: definen cómo se accede a los datos, cómo se gestionan y cómo se mantienen a medida que se mueven por los flujos de trabajo diarios. Estas políticas están concebidas para fomentar la coherencia, la escalabilidad y el control entre equipos y sistemas.

Acceso a los datos y control de acceso

Las políticas de acceso definen quién puede acceder a qué datos, en qué condiciones y con qué finalidad. Esto incluye decisiones sobre el diseño de roles, los flujos de trabajo de aprobación y el uso adecuado.

El control de acceso es la aplicación técnica de estas políticas mediante mecanismos como el control de acceso basado en roles (RBAC), el control de acceso basado en atributos (ABAC) y los principios de privilegio mínimo. En conjunto, están diseñados para ayudar a garantizar que los datos solo estén disponibles para los usuarios adecuados en el momento oportuno.

Retención de datos

Las políticas de retención definen durante cuánto tiempo deben conservarse los datos, cuándo deben archivarse y cuándo deben eliminarse. Estas decisiones suelen implicar un compromiso entre el coste, el rendimiento, el cumplimiento normativo y el valor analítico. Dado que los mismos datos pueden servir para informes, operaciones, evidencias de auditoría y casos de uso de IA, las reglas de retención deben ser explícitas, aplicarse de forma coherente y revisarse periódicamente.

Estándares de gobernanza

Los estándares de gobernanza proporcionan la estructura que hace que las políticas de gobernanza sean repetibles y escalables. Definen las expectativas relativas a convenciones de nomenclatura, metadatos, clasificación de datos, roles de administración, umbrales de calidad y patrones de control.

Al estandarizar estos elementos, las organizaciones evitan reinventar los enfoques de gobernanza en cada dominio y garantizan una implementación coherente en todas las plataformas y equipos.

Consulta Gobernanza de datos en Snowflake para saber cómo Snowflake implementa los controles de gobernanza.

A medida que cambian el uso de los datos, los riesgos y los requisitos, las políticas de gobernanza de datos deben evolucionar con ellos. Un ciclo de vida de cuatro etapas —evaluar, redactar, implementar y auditar— ofrece una forma práctica de guiar este proceso continuo.

Evaluar

En la etapa de evaluación, los equipos identifican los dominios de datos aplicables, las obligaciones normativas, los patrones de riesgo y las carencias actuales en los controles. Esto incluye las aportaciones de los equipos jurídicos, de cumplimiento y de seguridad, así como de los propietarios y administradores de datos que entienden cómo se utilizan los datos en la práctica. El objetivo es definir el alcance y comprender dónde se necesita una política, dónde existen riesgos y qué requisitos deben abordarse.

Redactar

La etapa de redacción incluye la definición de reglas, roles y responsabilidades, expectativas de acceso, requisitos de retención, excepciones y procesos de revisión. Los comités de gobernanza u órganos similares suelen revisar y aprobar estas políticas, mientras que las plantillas ayudan a garantizar la coherencia en la forma de estructurar las políticas en los distintos dominios.

Muchos equipos consideran útiles las plantillas de gobernanza de datos para empezar y mantener la coherencia en el desarrollo de políticas en los distintos dominios. Proporcionan una estructura compartida que simplifica la revisión y ayuda a que las políticas se mantengan alineadas a medida que evolucionan.

Implementar

En la etapa de implementación, las políticas se aplican mediante flujos de trabajo y controles técnicos. Esto incluye configurar los controles de acceso, aplicar la clasificación de datos, definir políticas de enmascaramiento o a nivel de fila e integrar la gobernanza en los pipelines de datos y en los flujos de trabajo de los usuarios.

Las plataformas modernas hacen que las políticas se puedan aplicar. Por ejemplo, Snowflake habilita políticas de enmascaramiento, políticas de acceso a filas, etiquetas de objetos, clasificación de datos confidenciales e historial de acceso como mecanismos para proteger y auditar los datos gobernados. Horizon Catalog amplía estos controles a un patrimonio de datos más amplio mediante metadatos compartidos y comportamiento de políticas.

Auditar

En la etapa de auditoría, las organizaciones comprueban si las políticas se están cumpliendo y si los controles funcionan según lo previsto. Un programa de auditoría incluye la supervisión de los patrones de acceso, la revisión de las excepciones y la validación del cumplimiento de las reglas definidas. Los hallazgos de la auditoría impulsan la corrección y las actualizaciones, lo que crea un ciclo de mejora continua que mantiene la gobernanza alineada con los cambios en el uso de los datos, los riesgos y los requisitos normativos.

Volvamos al escenario del principio de esta guía: hay un activo de datos disponible, parece adecuado y alguien tiene que decidir si puede utilizarlo de forma segura.

Sin una política de gobernanza clara, la persona debe localizar a las partes interesadas adecuadas y reconstruir las decisiones clave: encontrar la clasificación original, confirmar si las reglas de retención han cambiado, determinar si se permite la transferencia entre regiones y evaluar si el uso previsto llegó a aprobarse. Las respuestas suelen ser lentas o incompletas, y las decisiones acaban tomándose sobre la base de suposiciones.

Con una política de gobernanza funcional, es más probable que este proceso sea mucho más sencillo. La clasificación está documentada, la propiedad está definida y los casos de uso aprobados son explícitos, de modo que dispone de la información que necesita o sabe exactamente dónde encontrarla.