¿Qué es la gobernanza de la IA?

Cómo funciona

La gobernanza de la IA funciona convirtiendo las buenas intenciones en un pequeño número de hábitos repetibles: saber qué se tiene, decidir quién es responsable, escribir las reglas, clasificar los usos por riesgo, establecer controles proporcionados y revisarlo todo con una cadencia razonable. Los principales marcos externos existen para ayudar a hacer esto de forma coherente y para demostrar que se ha hecho. Esta sección recorre qué abarca la gobernanza, los componentes que la hacen funcionar, quién es responsable, cómo encajan los principales marcos, el ciclo de vida que la mantiene actualizada y cómo todo ello se adapta según el tamaño de la organización.

Qué abarca la gobernanza de la IA

El alcance de la gobernanza de la IA es más amplio de lo que la mayoría asume en un primer momento. Abarca la IA que se construye, la que se compra y la que llega dentro de software que ya se usa, como una nueva función de asistente añadida a una herramienta que el equipo lleva años utilizando. Cubre toda la vida de un sistema, desde la primera idea y los datos que lo alimentan, pasando por las pruebas y el lanzamiento, hasta el uso cotidiano, la monitorización y la eventual retirada. Y abarca a las personas y los procesos en torno a la tecnología, no solo la tecnología en sí, porque la mayoría de los problemas de IA son en realidad problemas de responsabilidad poco clara, datos deficientes o controles ausentes, no de código defectuoso.

De forma crucial, la gobernanza abarca el uso interno tanto como los productos orientados al cliente. El chatbot que el equipo de marketing usa para redactar textos, el modelo que el equipo de operaciones usa para prever la demanda y la herramienta de cribado que usan los responsables de selección entran todos dentro del alcance. Un error habitual y costoso es gobernar solo la IA que ven los clientes, dejando el uso interno, donde reside gran parte del riesgo de datos, completamente sin gestionar.

Los componentes principales

Un sistema de gobernanza operativo tiene un conjunto reconocible de partes, y son las mismas tanto si la organización es pequeña como grande. El detalle cambia con la escala; las partes, no.

El primero es un inventario de IA, a veces denominado registro de IA. Es simplemente una lista viva de los sistemas y herramientas de IA en uso en toda la organización, para qué se usa cada uno, qué datos maneja y quién es responsable de él. Todo lo demás depende de esto. No es posible establecer reglas, evaluar riesgos ni responder a incidentes para sistemas que no se han catalogado, razón por la cual construir y mantener el inventario es sistemáticamente la parte más difícil y más valiosa del trabajo.

El segundo es la política. Una política de IA es un documento breve y legible que establece qué pueden y no pueden hacer las personas con la IA: qué herramientas están aprobadas, qué datos no deben introducirse nunca, cuándo se requiere revisión humana y adónde acudir con preguntas. Traduce los principios en reglas cotidianas. Una política que nadie lee ni entiende es peor que inútil, por lo que el lenguaje claro importa más que la extensión.

El tercero es la evaluación y clasificación de riesgos. Es la disciplina de ordenar los usos de IA según su importancia, de modo que un uso de bajo riesgo, como resumir documentos públicos, se aprueba sin más, mientras que un uso de alto riesgo, como influir en decisiones sobre personas, recibe el escrutinio adecuado. La clasificación de riesgos es lo que hace que la proporcionalidad sea real y no meramente retórica.

El cuarto son los controles y salvaguardas. Son las medidas de protección prácticas que se establecen en torno a un uso: exigir que una persona revise los resultados importantes antes de actuar sobre ellos, restringir qué datos pueden usarse, registrar lo que hace el sistema para poder investigarlo después, e informar a las personas cuando están interactuando con IA. Mantener a una persona significativa en el proceso de decisiones importantes es uno de los controles más relevantes, porque preserva la capacidad de detectar y corregir una respuesta incorrecta.

El quinto es la garantía, que consiste en generar confianza en que un sistema cumple realmente los estándares establecidos, midiendo, evaluando y comunicando los resultados. La garantía incluye actividades como evaluaciones de impacto, pruebas de sesgo, comprobaciones de rendimiento y, para algunas organizaciones, auditorías independientes. La relación entre garantía y auditoría es aún un área en evolución: la auditoría tiende a implicar una verificación formal, a menudo independiente, frente a un estándar definido, mientras que la garantía es la familia más amplia de técnicas para generar confianza justificada, de la que la auditoría es una parte. Es justo decir que la profesión aún está madurando y el vocabulario no está del todo consolidado.

El sexto es la monitorización y la respuesta a incidentes. Los sistemas de IA cambian a medida que cambia el mundo que los rodea, por lo que la gobernanza incluye vigilar los sistemas en funcionamiento para detectar desviaciones y fallos, ofrecer a las personas una vía clara para notificar problemas y contar con un plan para actuar cuando algo sale mal.

Roles y responsabilidad

La gobernanza falla con más frecuencia no porque las reglas sean incorrectas, sino porque nadie las asume. La solución es designar a una única persona responsable de la gobernanza de la IA, alguien con suficiente autoridad para tomar decisiones y dotar de recursos el trabajo. En una organización grande, puede ser un director de riesgos, de datos o de tecnología, o un comité dedicado. En una pequeña, puede ser un director o propietario que simplemente lo añade a sus responsabilidades. El título importa mucho menos que la claridad.

En torno a ese responsable se articulan algunas responsabilidades claras. Alguien aprueba los nuevos usos de alto riesgo. Alguien mantiene el inventario. Las personas que usan IA en el día a día tienen la responsabilidad de seguir la política y señalar las preocupaciones. Y cuando la IA maneja datos personales, las personas responsables de la protección de datos están involucradas, porque ambas áreas se solapan considerablemente. La responsabilidad también debe extenderse a los proveedores. Cuando se compra IA a un proveedor, la organización sigue siendo responsable ante sus propios clientes y reguladores de cómo se comporta, por lo que los contratos y la diligencia debida deben dejar claro quién es responsable de qué.

Los principales marcos y cómo encajan

Existen varios marcos internacionales para ayudar a las organizaciones a gobernar la IA. No son tanto competidores como herramientas diferentes para trabajos distintos, y una organización sensata toma elementos de varios en lugar de tratar uno solo como referencia absoluta. Entender para qué sirve cada uno evita mucha confusión.

Los Principios de IA de la OECD son la capa fundacional. Adoptados en 2019 y actualizados en mayo de 2024, son el primer estándar intergubernamental sobre IA y cuentan ahora con 47 adherentes. Establecen cinco principios basados en valores, que abarcan el crecimiento inclusivo y el desarrollo sostenible, los valores centrados en las personas y la equidad, la transparencia y la explicabilidad, la solidez, la seguridad y la protección, y la rendición de cuentas. Son de alto nivel y no vinculantes, pero importan porque son el vocabulario compartido sobre el que se construyen la mayoría de las normas nacionales y otros marcos. La actualización de 2024 añadió énfasis en la IA generativa, la seguridad, la integridad de la información y la gestión de la desinformación amplificada por la IA.

El NIST AI Risk Management Framework es el manual práctico para gestionar riesgos. Publicado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos en enero de 2023, es voluntario, no específico de ningún sector y está diseñado para funcionar en organizaciones de cualquier tamaño. Su núcleo son cuatro funciones: Govern (Gobernar), que abarca todo y establece la cultura, la responsabilidad y la política; Map (Mapear), que determina el contexto y qué podría salir mal; Measure (Medir), que prueba y rastrea los riesgos; y Manage (Gestionar), que actúa sobre ellos y mantiene la vigilancia tras el lanzamiento. Deliberadamente no ofrece una lista de verificación única ni un sistema de puntuación, y su Playbook complementario afirma claramente que no es una lista de verificación ni una lista ordenada de pasos, lo que lo hace flexible pero exige adaptarlo a cada situación. Un perfil para IA generativa añade más detalle práctico.

ISO/IEC 42001 es el estándar de sistema de gestión certificable. Publicado en diciembre de 2023, es el primer estándar internacional del mundo para un sistema de gestión de inteligencia artificial, y es el que un tercero puede certificar formalmente. Se basa en el conocido ciclo de mejora Planificar-Hacer-Verificar-Actuar y en la misma estructura de alto nivel que otros estándares de gestión, como el conocido estándar de seguridad de la información, lo que facilita su integración en sistemas ya existentes. Sus requisitos se encuentran en las cláusulas 4 a 10, que abarcan el contexto, el liderazgo, la planificación, el apoyo, la operación, la evaluación del desempeño y la mejora, y ofrece un conjunto de referencia de 38 controles en el Anexo A distribuidos en nueve áreas, desde la política de IA hasta los datos, desde el ciclo de vida del sistema hasta las relaciones con los proveedores. Se seleccionan los controles aplicables mediante una evaluación de riesgos y se registra el razonamiento en un documento denominado Declaración de Aplicabilidad. Al ser certificable, es el marco que más directamente produce las evidencias que clientes y equipos de contratación solicitan cada vez más.

El EU AI Act es la ley vinculante. Es el primer estatuto integral de IA del mundo, entró en vigor el 1 de agosto de 2024 y clasifica la IA en cuatro niveles de riesgo. Un pequeño número de prácticas están prohibidas de forma absoluta por ser inaceptables. Un conjunto definido de usos de alto riesgo, como la IA en selección de personal, puntuación crediticia y determinados servicios esenciales, está sujeto a obligaciones estrictas que incluyen gestión de riesgos, gobernanza de datos, documentación, supervisión humana y evaluación de la conformidad. Los usos de riesgo limitado, como los chatbots, conllevan obligaciones de transparencia para que las personas sepan que están interactuando con IA. Todo lo demás es de riesgo mínimo y en gran medida no está regulado, lo que la Comisión Europea estima que abarca la gran mayoría de los sistemas de IA en el mercado. Las sanciones son severas, alcanzando hasta 35 millones de euros o el 7 por ciento de la facturación anual global por incumplir las prohibiciones, con niveles inferiores de hasta 15 millones de euros o el 3 por ciento para la mayoría de las demás infracciones. El calendario es la parte que hay que seguir con atención, porque está en proceso de cambio. Según la ley original, las principales obligaciones de alto riesgo debían aplicarse a partir del 2 de agosto de 2026. Un paquete de enmiendas conocido como el Ómnibus Digital alcanzó un acuerdo político provisional el 7 de mayo de 2026 que revisa varias de estas fechas: las obligaciones de alto riesgo basadas en el uso del Anexo III se trasladan al 2 de diciembre de 2027, las obligaciones para la IA de alto riesgo integrada en productos regulados del Anexo I se trasladan al 2 de agosto de 2028, y las obligaciones de transparencia y etiquetado de contenidos se trasladan al 2 de diciembre de 2026. Estas fechas revisadas son provisionales y dependen de la adopción formal por parte del Parlamento Europeo y el Consejo y su publicación en el Diario Oficial. Hasta que eso ocurra, la fecha original del 2 de agosto de 2026 sigue siendo técnicamente vigente, por lo que cualquier plan debe tratar las nuevas fechas como la dirección probable, no como derecho consolidado.

El enfoque del Reino Unido es la alternativa más ligera, basada en principios. El Reino Unido ha optado deliberadamente por no aprobar una ley única de IA. En cambio, su libro blanco pro-innovación de 2023 estableció cinco principios transversales, a saber, seguridad y solidez, transparencia y explicabilidad apropiadas, equidad, responsabilidad y gobernanza, y posibilidad de impugnación y reparación, y pidió a los reguladores existentes que los aplicaran dentro de sus propios ámbitos. Estos principios no son estatutarios. El regulador de protección de datos ha sido el más activo, con orientaciones detalladas sobre IA y protección de datos y una estrategia centrada en prevenir daños mientras se promueve la confianza, y la reforma de la legislación de datos del Reino Unido a través de la Data (Use and Access) Act 2025 ha modificado las normas sobre toma de decisiones automatizada. El gobierno ha continuado por la vía sectorial en lugar de legislar de forma amplia, abriendo una convocatoria de evidencias en octubre de 2025 sobre un AI Growth Lab que permitiría a los reguladores relajar normas específicas bajo licencia para ensayos supervisados. Se esperaba desde hace tiempo un proyecto de ley dedicado a la IA pero, a mediados de 2026, no se ha presentado ninguno. Cabe destacar que el gobierno también se retiró de una herramienta de autoevaluación sobre la que había consultado, AI Management Essentials, decidiendo a principios de 2026 no publicarla ni incorporarla a la contratación pública, y en su lugar desarrollar orientaciones más sencillas dirigidas a empresas más pequeñas.

La pregunta práctica es cómo encajan todos estos marcos. Conviene pensar en los principios de la OECD como los valores compartidos, en el marco NIST como el método para gestionar riesgos, en ISO/IEC 42001 como el sistema de gestión contra el que se puede obtener certificación, en el EU AI Act como la ley que hay que cumplir si se opera en el mercado de la UE, y en los principios del Reino Unido como el telón de fondo regulatorio para las operaciones en ese país. Son ampliamente coherentes porque todos surgieron de las mismas ideas, y la decisión sensata es adoptar uno como columna vertebral, habitualmente NIST para el método o ISO para la certificación, y usarlo para cumplir las obligaciones legales aplicables. No es necesario usar los cinco. Se necesita una columna vertebral coherente que satisfaga las obligaciones y las expectativas de los clientes.

El ciclo de vida de la gobernanza y las cadencias de revisión

La gobernanza de la IA es un ciclo, no un proyecto con fecha de finalización, porque la tecnología, los usos que se hacen de ella y las normas que la rodean siguen cambiando. Un ritmo práctico tiene algunos puntos fijos. Los nuevos usos se evalúan y aprueban antes de entrar en funcionamiento, con una profundidad de verificación proporcional al riesgo. Los sistemas en funcionamiento se monitorizan de forma continua para los usos de mayor riesgo y se revisan periódicamente para el resto. El inventario se mantiene actualizado a medida que se añaden y eliminan herramientas, idealmente como parte de la contratación y la incorporación habituales, no como una tarea separada. La política en sí se revisa con regularidad, quizás anualmente, y siempre que algo significativo cambia, como la entrada en vigor de una nueva regulación importante o la incorporación de una nueva clase de herramienta al negocio. Y los incidentes, los casi-fallos y las reclamaciones retroalimentan las reglas para que la gobernanza aprenda de la experiencia en lugar de repetir errores.

Proporcionalidad según el tamaño de la organización

Los mismos componentes se aplican en todos los tamaños, pero su peso difiere enormemente, y pretender lo contrario es lo que da mala fama a la gobernanza. Para una organización pequeña, una gobernanza proporcionada puede ser genuinamente ligera: una política de una página, una hoja de cálculo compartida como inventario, un único responsable designado, una regla sencilla de que cualquier cosa que afecte a decisiones sobre clientes o personal recibe una segunda revisión humana, y una breve conversación trimestral para revisarlo. Eso es gobernanza real, y es suficiente para la mayoría de los usos de bajo riesgo. La evidencia sugiere que las empresas más pequeñas van muy por detrás en este aspecto. Una política de IA está implantada en aproximadamente el 55 por ciento de las pequeñas empresas, frente a alrededor del 80 por ciento de las más grandes; solo alrededor del 36 por ciento de las pequeñas empresas tienen un responsable claro de gobernanza, frente al 62 al 64 por ciento de las más grandes; y apenas el 14 por ciento declara conocer los principales marcos. Es una brecha que vale la pena cerrar precisamente porque es barato hacerlo.

Para una organización mediana, las mismas partes se vuelven algo más formales: una política adecuada, un registro mantenido, un pequeño grupo interfuncional que se reúne con regularidad, aprobaciones definidas para los usos de mayor riesgo y algunas pruebas estructuradas. Para una organización grande o muy regulada, o cuya IA afecte directamente a los derechos o la seguridad de las personas, la gobernanza se convierte en un sistema de gestión completo, muy posiblemente certificado según ISO/IEC 42001, con roles dedicados, garantía formal y auditoría. La trampa que hay que evitar en ambas direcciones es el desajuste: un proceso pesado en torno a usos triviales desperdicia esfuerzo y genera resentimiento, mientras que un enfoque ligero en un uso de alto riesgo es donde ocurre el daño real. La proporcionalidad significa ajustar el esfuerzo a las consecuencias, de forma deliberada.