Casi ninguna empresa arranca preguntándose por el gobierno de datos. La pregunta aparece después, y casi siempre por el mismo camino: dos áreas llevan al comité cifras distintas para el mismo indicador, nadie logra explicar de dónde salió cada número, y la reunión que iba a ser de decisiones se convierte en una auditoría improvisada.
Esta guía explica, en lenguaje de negocio, qué es el gobierno de datos, cuándo le toca a una organización, qué componentes tiene, cómo se conecta con la normativa peruana y cómo se implementa sobre AWS.
¿Qué es el gobierno de datos?
El gobierno de datos es el conjunto de reglas, responsables y controles que definen quién puede usar cada dato, para qué, con qué nivel de calidad y por cuánto tiempo se conserva.
No es un producto que se instala. Es un acuerdo de la organización sobre cómo trata su información, sostenido por tecnología que lo hace cumplible. Por eso los programas que arrancan comprando una herramienta y terminan sin definir responsables suelen quedarse en un inventario elegante que nadie consulta.
La señal de que funciona es concreta: cuando dos áreas miran el mismo indicador, ven el mismo número y saben quién responde por él.
Por qué aparece cuando ya tienes datos, y no antes
El gobierno de datos es una respuesta a un problema real, no un requisito previo. Montarlo antes de tener datos que gobernar produce documentos que nadie aplica.
El momento llega cuando aparecen tres síntomas juntos:
- Cifras que no cuadran. Comercial y finanzas reportan ventas distintas para el mismo mes, y cada uno puede defender su número.
- Trazabilidad perdida. Nadie sabe de qué sistema salió un indicador, ni qué transformaciones sufrió en el camino. Si quieres entender esa parte, ayuda leer qué es ETL.
- Accesos por confianza. Dar acceso a una base se resuelve preguntándole a quien la administra, no aplicando una regla escrita.
Ese tercer síntoma es el que suele acelerar la decisión, porque es el que se vuelve un hallazgo cuando llega una auditoría.
Los cinco componentes
Un programa de gobierno de datos completo cubre cinco frentes. Los que solo cubren el primero terminan siendo un catálogo bonito sin efecto en las decisiones.
| Componente | Qué responde | Señal de que falta |
|---|---|---|
| Catálogo y linaje | Qué datos existen y de dónde vienen | Nadie sabe qué significa un campo |
| Calidad | Qué tan confiables son y quién lo mide | Los reportes se corrigen a mano |
| Propiedad | Qué área responde por cada dominio | Todos usan el dato, nadie lo mantiene |
| Clasificación y acceso | Qué es sensible y quién puede verlo | El acceso se concede por confianza |
| Ciclo de vida | Cuánto se conserva y cuándo se elimina | Se guarda todo por si acaso |
Catálogo y linaje. El inventario de qué datos existen, qué significa cada campo y por qué manos pasó antes de llegar al tablero. Es la base de todo lo demás: no se puede gobernar lo que no está registrado.
Calidad. Reglas explícitas de qué es un dato aceptable —completitud, formato, rangos válidos, frescura— y una medición periódica que alguien mira. Sin esto, la confianza en los reportes depende del ánimo del día.
Propiedad. Cada dominio de datos —clientes, productos, transacciones— tiene un área que responde por él. Es el componente más organizacional y el que más se posterga, porque exige una conversación sobre responsabilidades que la tecnología no puede resolver.
Clasificación y control de acceso. Distinguir qué información es pública, interna, confidencial o sensible, y que esa clasificación gobierne los permisos de verdad. Acá es donde el gobierno de datos se encuentra con la seguridad en la nube.
Ciclo de vida y retención. Cuánto tiempo se conserva cada tipo de dato y cuándo corresponde eliminarlo. Guardar todo indefinidamente parece prudente, pero aumenta la superficie expuesta y el costo de almacenamiento.
Gobierno de datos y la normativa peruana
Para una empresa que opera en el Perú, el gobierno de datos dejó de ser una buena práctica y pasó a tener respaldo normativo concreto.
La Ley N.° 29733, Ley de Protección de Datos Personales, tiene desde noviembre de 2024 un reglamento nuevo, aprobado por el Decreto Supremo N.° 016-2024-JUS, que entró en vigor el 30 de marzo de 2025 y reemplazó por completo al reglamento de 2013. El texto moderniza el marco para la economía digital: aborda perfilamiento automatizado, cookies, datos de ubicación y trata los datos biométricos dentro de la categoría de datos sensibles.
Un cambio importa especialmente para la conversación de gobierno. Ante un incidente de seguridad de cierta gravedad —cuando expone grandes volúmenes de datos, afecta a muchas personas, involucra datos sensibles o causa un perjuicio evidente a otros derechos del titular— corresponde notificar a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas de conocido el hecho, y sustentar el motivo si se excede ese plazo. Cuando el incidente ocurre en el entorno digital, la notificación alcanza también al Centro Nacional de Seguridad Digital. No notificar dentro del plazo está tipificado como infracción grave.
Ese plazo es la mejor prueba de por qué el gobierno de datos es un tema de dirección y no de área técnica: 48 horas no alcanzan para averiguar qué datos personales tenía la organización y dónde vivían. Eso se sabe de antemano o no se sabe.
Para las empresas del sistema financiero se suma la Resolución SBS N.° 504-2021, el Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, vigente desde julio de 2021, que alcanza a bancos, aseguradoras y administradoras de fondos de pensiones supervisadas, y que incorpora estándares internacionales al marco local.
Cómo se implementa sobre AWS
La tecnología no reemplaza las decisiones organizacionales, pero hace la diferencia entre una política escrita y una política que se cumple sola. Sobre AWS, cada componente tiene su correlato:
| Componente | Servicio AWS | Qué aporta |
|---|---|---|
| Catálogo | Catálogo de Datos de AWS Glue | Registro central de tablas, esquemas y particiones |
| Control de acceso | AWS Lake Formation | Permisos a nivel de tabla, columna y fila |
| Clasificación | Amazon Macie | Descubrimiento de datos sensibles en almacenamiento de objetos |
| Contexto de negocio | Catálogo de Amazon SageMaker | Glosario, metadatos de negocio y reglas de publicación |
El Catálogo de Datos de AWS Glue es el registro central: qué tablas existen, con qué estructura y dónde están los archivos que las respaldan.
AWS Lake Formation administra los permisos sobre ese catálogo con granularidad fina —tabla, columna y fila— y permite gobernar por etiquetas: en lugar de conceder permiso por permiso, se etiquetan los recursos (por ejemplo, área igual a finanzas) y se otorgan permisos sobre la etiqueta. Cuando llega una tabla nueva con esa etiqueta, hereda la política existente. Es la diferencia entre administrar decenas de permisos y administrar miles.
Amazon Macie descubre datos sensibles en el almacenamiento de objetos aplicando aprendizaje automático y reconocimiento de patrones, lo que permite que la clasificación no dependa de que alguien recuerde marcarla a mano.
El catálogo de Amazon SageMaker suma la capa de negocio sobre lo anterior: glosarios, metadatos con nombres y descripciones entendibles para el área usuaria, y reglas que exigen ciertos metadatos antes de publicar un activo de datos.
Vale una precisión de nomenclatura: las capacidades de gobierno que AWS ofrecía bajo el nombre de Amazon DataZone hoy están integradas en el entorno unificado de Amazon SageMaker, y los dominios existentes se pueden migrar a ese entorno. El concepto es el mismo; el lugar donde se administra cambió.
Por dónde empezar
Los programas que avanzan empiezan chicos y con un dolor concreto:
- Elige un dominio, no toda la empresa. Clientes o ventas suelen ser buenos primeros candidatos porque el dolor ya es visible.
- Nombra al responsable antes de comprar nada. Si no hay un área que responda por ese dominio, la herramienta no tiene a quién servir.
- Cataloga y clasifica ese dominio. Qué datos hay, cuáles son sensibles y quién debería verlos.
- Recién ahí automatiza los permisos con las etiquetas y reglas que correspondan, y mide la calidad con dos o tres indicadores simples.
Si el punto de partida es todavía más atrás —los datos siguen dispersos en sistemas que no conversan—, conviene primero ordenar la base: vale la pena leer qué es un data warehouse y qué es un data lake, y entender cómo se conectan con la analítica de datos.
Lo que el gobierno de datos no es
- No es un proyecto con fecha de fin. Es una práctica que se sostiene; el dato nuevo llega todas las semanas.
- No es exclusivo de empresas grandes. Una organización mediana con datos personales de clientes tiene las mismas obligaciones normativas.
- No es frenar el acceso a los datos. Bien hecho, hace lo contrario: cuando las reglas son claras, conceder acceso deja de ser una negociación y pasa a ser un trámite.
Preguntas frecuentes
¿Qué es el gobierno de datos? Las reglas, responsables y controles que definen quién usa cada dato, para qué, con qué calidad y por cuánto tiempo se conserva.
¿Cuándo empieza a hacer falta? Cuando ya se decide con datos y aparecen cifras que no cuadran, trazabilidad perdida y accesos concedidos por confianza.
¿Por dónde se arranca? Por un dominio con dolor visible, con un responsable nombrado, catalogado y clasificado antes de automatizar nada.
¿Tus datos ya deciden, pero no siempre coinciden?
Conversemos sobre tu caso y revisamos en qué estado está tu ecosistema de datos, qué dominio conviene gobernar primero y qué controles tienen sentido para tu industria.
