¿Qué es la Guía de Diligencia Debida de la OECD para una IA Responsable?
Regulación de la IA: conceptos, instituciones y normas
La Guía de Diligencia Debida de la OECD para una IA Responsable es la guía práctica de la OECD de 2026 sobre cómo las organizaciones deben identificar, evaluar, prevenir, mitigar, rastrear, divulgar y, cuando corresponda, contribuir a remediar los impactos negativos vinculados a la IA a lo largo de toda la cadena de valor. No es un tratado, un esquema de certificación ni una ley independiente. Es una guía de implementación basada en los Principios de IA de la OECD y el marco de conducta empresarial responsable de la OECD para las empresas que desarrollan, suministran, financian, venden o utilizan IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En términos sencillos, la guía indica a las empresas que traten la IA como una cuestión de conducta empresarial responsable, no solo como un asunto técnico o de producto. Pide a las organizaciones que analicen cómo la IA puede afectar a personas, trabajadores, comunidades, mercados y el medio ambiente, y que gestionen esos riesgos mediante un proceso continuo de diligencia debida.
Su alcance es amplio por diseño. Abarca a las empresas que suministran datos, capacidad de cómputo, hardware, código o financiación; a las que diseñan, despliegan y operan IA; y a las organizaciones ordinarias que adquieren o utilizan IA en funciones como selección de personal, atención al cliente, detección de fraude o gestión del lugar de trabajo.
Su valor práctico radica en que convierte los principios de alto nivel de la OECD en un método de trabajo. Indica a las organizaciones qué documentar, cuándo involucrar a las partes interesadas, cómo gestionar las relaciones con terceros y cuándo puede ser necesario detener una práctica, modificar un producto, mejorar los controles o cooperar en la reparación del daño.
Por qué es importante
El riesgo de la IA rara vez se concentra en un solo lugar. Los datos de entrenamiento, la infraestructura en la nube, el diseño del modelo, las decisiones de despliegue, los prompts de los usuarios, las prácticas de los revendedores y el uso posterior pueden generar o amplificar daños. Muchas organizaciones no son puramente desarrolladoras ni puramente usuarias, sino que desempeñan varios roles a la vez. La guía de la OECD ofrece a los consejos de administración, fundadores, compradores y responsables de gobernanza un marco común para gestionar esa complejidad.
También es importante porque el marco normativo global se vuelve cada vez más denso. Las leyes nacionales de IA, las normas de privacidad, los estándares laborales, la protección del consumidor, la supervisión sectorial y los controles de contratación pública esperan cada vez más evidencia de gestión de riesgos, transparencia, gestión de incidentes y disciplina con los proveedores. El enfoque de la OECD ayuda a generar esa evidencia, y añade dos aspectos que muchos marcos técnicos abordan de forma menos completa: la participación significativa de las partes interesadas y la reparación del daño.
Cómo funciona
Fundamentos en los estándares de la OECD
La guía de 2026 se basa en tres elementos anteriores de la arquitectura de la OECD. En primer lugar, las Directrices de la OECD para Empresas Multinacionales sobre Conducta Empresarial Responsable establecen la expectativa general de que las empresas deben abordar los impactos negativos vinculados a sus operaciones, productos, servicios y relaciones comerciales. En segundo lugar, la Guía de Diligencia Debida de la OECD para la Conducta Empresarial Responsable de 2018 convierte esa expectativa en un método de diligencia debida de seis pasos. En tercer lugar, la Recomendación de la OECD sobre Inteligencia Artificial, adoptada por primera vez en 2019 y revisada en 2024, proporciona la base de valores para una IA confiable y términos comunes como "sistema de IA" y "ciclo de vida del sistema de IA".
Institucionalmente, el proyecto fue supervisado conjuntamente por el Comité de Política Digital a través del Grupo de Trabajo sobre gobernanza de la IA y por el Comité de Inversiones a través del Grupo de Trabajo sobre Conducta Empresarial Responsable, con la participación del Grupo de Expertos de OECD.AI sobre Riesgo y Responsabilidad. A junio de 2026, los Principios de IA de la OECD cuentan con 47 adherentes, incluida la Unión Europea. Al igual que otras recomendaciones de la OECD, los instrumentos subyacentes sobre IA y conducta empresarial responsable no son estatutos. Son compromisos políticos que se espera que los gobiernos promuevan. El propio texto de 2026 funciona como guía práctica para las empresas, no como un régimen de licencias independiente.
Cobertura de toda la cadena de valor
La guía abarca expresamente toda la cadena de valor. Agrupa a las empresas en tres grandes roles: proveedores de insumos para la IA; empresas activas en el ciclo de vida del sistema de IA; y usuarios de sistemas de IA en cualquier sector. Los proveedores incluyen a los actores que suministran datos, anotación, código, métricas, capacidad de cómputo, nube, hardware, logística, servicios administrativos y financiación. Los actores del ciclo de vida incluyen a quienes planifican, diseñan, construyen o adaptan modelos, los prueban y validan, los despliegan, los operan y los monitorizan tras el despliegue. Los usuarios incluyen a empresas y otras organizaciones que dependen de la IA en productos, servicios u operaciones internas.
Estos grupos no son rígidos. Un proveedor de nube también puede entrenar modelos. Una empresa usuaria puede ajustar y redesplegar un modelo. Una plataforma puede ser a la vez distribuidora y operadora. El objetivo es evitar que las organizaciones asuman que la responsabilidad recae únicamente en el desarrollador del modelo. La guía también deja claro que las empresas ajenas al sector tecnológico deben examinar la IA como parte de su trabajo más amplio de conducta empresarial responsable.
El ciclo de diligencia debida
El mecanismo central es el conocido ciclo de seis pasos de la OECD, aplicado a la IA. Las organizaciones deben integrar la conducta empresarial responsable en sus políticas y sistemas de gestión; identificar y evaluar los impactos negativos reales y potenciales; cesar, prevenir y mitigar dichos impactos; hacer seguimiento de la implementación y los resultados; comunicar cómo se están abordando los impactos; y proporcionar o cooperar en la reparación del daño cuando corresponda.
La OECD concibe estos pasos como simultáneos e iterativos, no como una lista de verificación lineal. En la práctica, esto significa que un inventario de IA, el mapeo de roles y responsabilidades, la delimitación del alcance del riesgo, la priorización, las pruebas y la validación, los controles sobre proveedores, la escalada de incidentes, los informes al consejo de administración, la comunicación pública o con las partes interesadas y la gestión de reclamaciones deben retroalimentarse mutuamente a lo largo del tiempo. El proceso tiende a generar evidencia de gobernanza, como registros de sistemas, registros de pruebas, evaluación, verificación y validación, evaluaciones de impacto, notas de participación de las partes interesadas, cláusulas contractuales, registros de monitorización, informes de incidentes y planes de acción correctiva.
Cómo el riesgo, la vinculación y las partes interesadas modifican el análisis
La guía no exige a todas las empresas el mismo nivel de revisión para cada sistema. Utiliza un enfoque basado en riesgos. Las organizaciones deben primero delimitar dónde es más probable que surjan los daños más significativos y luego priorizar según la gravedad y la probabilidad. Cuando una empresa tiene muchas relaciones comerciales o muchos usos de IA, puede necesitar mecanismos de clasificación y escalada para que los usos de mayor riesgo reciban una revisión más profunda.
Otro concepto clave es la vinculación. La OECD distingue entre los impactos que una empresa causa, los que contribuye a generar y los que están directamente vinculados a ella a través de una relación comercial. Esa distinción es importante. Si una empresa causa un daño, se espera que lo detenga o prevenga y contribuya a su reparación. Si contribuye a él, debe cesar esa contribución, abordar el daño restante y, con frecuencia, ejercer influencia sobre otros. Si está directamente vinculada, la expectativa se centra en el ejercicio de influencia, la gestión contractual y la capacidad de incidir sobre la relación que genera el daño.
La participación de las partes interesadas atraviesa cada etapa. La guía otorga especial importancia a los trabajadores, sus representantes y los sindicatos, las comunidades afectadas, las personas cuyos datos se utilizan y las personas expuestas a usos de alto riesgo o en situación de vulnerabilidad. En el ámbito de la IA, esto es especialmente relevante porque los daños pueden surgir rápidamente, a gran escala y en lugares que los equipos técnicos no suelen supervisar. Se espera que las pymes también realicen diligencia debida, pero de forma proporcional a su tamaño, su grado de implicación y la gravedad del riesgo. La guía fomenta enfoques colaborativos cuando los recursos son limitados.
Interoperabilidad sin equivalencia
Una de las características más útiles de la guía es el mapa de ruta al inicio de cada paso, que muestra las disposiciones relacionadas en otros marcos. La OECD relaciona sus pasos de diligencia debida con instrumentos como el EU AI Act, la Ley de Servicios Digitales, la Directiva sobre Diligencia Debida en Materia de Sostenibilidad Empresarial, el Marco de Gestión de Riesgos de IA de NIST, la ISO 31000, ISO/IEC 23894, ISO/IEC 42001, AI Verify de Singapur y guías nacionales de varios países.
Sin embargo, la OECD es explícita en que este mapa de ruta no es un marco de equivalencia. Ayuda a las organizaciones a cruzar referencias entre distintos regímenes, pero no implica que un marco satisfaga automáticamente los requisitos de otro. Por eso la guía es útil para el diseño de la gobernanza, pero no es un atajo para el cumplimiento legal.
Aquí también es relevante la distinción con la certificación de sistemas de gestión. ISO/IEC 42001 es un estándar de sistema de gestión de IA, y la certificación frente a él es voluntaria y la gestionan organismos de certificación independientes, no la propia ISO. La guía de la OECD es diferente en su naturaleza. Pregunta si la empresa está identificando, previniendo, mitigando, rastreando, comunicando y, cuando es necesario, contribuyendo a remediar los impactos negativos en sus propias actividades y relaciones comerciales. Un sistema de gestión puede apoyar ese trabajo, pero no lo sustituye.
Evidencia, influencia y reparación
La guía espera que las organizaciones generen evidencia que pueda respaldar la gobernanza interna, la contratación, la garantía y la auditoría. Entre los ejemplos se incluyen registros de uso de IA, información proporcionada por proveedores y socios comerciales, registros de pruebas independientes, monitorización de incidentes, divulgaciones a los usuarios y rastros de decisiones internas que muestren por qué un riesgo fue aceptado, mitigado, pausado o escalado.
También otorga un peso inusual a la influencia sobre terceros. Se anima a las empresas a incorporar expectativas en los contratos, las condiciones con proveedores, los acuerdos con socios de ventas y los materiales de "uso aceptable", y a utilizar el intercambio de información, los incentivos y la escalada a niveles directivos cuando el control directo es limitado. La guía incluso destaca "puntos de control" en las cadenas de valor de la IA, como los fabricantes de semiconductores, los modelos fundacionales y las plataformas en línea de muy gran tamaño, donde una diligencia debida focalizada puede ser especialmente eficiente.
Por último, el marco no se detiene en la prevención. Cuando una empresa ha causado o contribuido a un daño real, la guía busca que se facilite el acceso a la reparación. Hace referencia a canales de reclamación a nivel empresarial, paneles independientes, tribunales y mecanismos no judiciales de base estatal, incluidos los Puntos de Contacto Nacionales de la OECD. En los 52 países adherentes, los PCN actúan como mecanismo de implementación de las Directrices para Empresas Multinacionales y pueden tramitar "casos específicos" que aleguen incumplimiento.
Ejemplos
La guía utiliza un escenario en el que un proveedor de IA generativa entrena un modelo con material obtenido mediante scraping público y datos privados de usuarios, no explica esa práctica con claridad y permite que datos personales se filtren a través de los resultados del modelo. La OECD considera que el proveedor está causando un daño a la privacidad. En el marco de la guía, se esperaría que la empresa detuviera o previniera la práctica dañina, corrigiera sus controles, se comunicara de forma adecuada y cooperara en la reparación del daño.
Otro escenario de la OECD se refiere a un proveedor que vende herramientas de vigilancia basadas en IA capaces de analizar el comportamiento y el estado de ánimo de los trabajadores. Cuando un cliente utiliza la herramienta para llevar a cabo una vigilancia antisindical ilegal y despidos, la guía considera que el proveedor contribuye al daño si el producto fue diseñado para un uso probablemente abusivo sin las salvaguardas suficientes. Esto genera la obligación de cesar la contribución, rediseñar las salvaguardas, ejercer influencia sobre el cliente y apoyar la reparación cuando proceda.
Para el uso empresarial ordinario, la guía propone un flujo de trabajo más cotidiano. Una empresa que utilice IA en selección de personal, marketing, atención al cliente o contratación debe mantener un inventario de usos de IA, identificar los casos de mayor riesgo, conocer las relaciones con el desarrollador y el despliegue que hay detrás de esas herramientas, recabar información sobre riesgos de los proveedores, involucrar a los trabajadores cuando la IA influye en las decisiones operativas, probar la calidad del sistema cuando sea viable y divulgar cuándo el contenido o las decisiones significativas son generados o informados por IA.
Malentendidos frecuentes
Solo se aplica a los desarrolladores de modelos de frontera. No es así. La guía también abarca a los proveedores de datos, capacidad de cómputo, nube, hardware y financiación, así como a los usuarios finales en todos los sectores.
Es lo mismo que la certificación ISO/IEC 42001. No lo es. Un sistema de gestión de IA puede respaldar la diligencia debida, y un certificado puede aportar confianza sobre ese sistema de gestión, pero la guía de la OECD es un método más amplio para gestionar los impactos negativos en las operaciones y las relaciones comerciales.
Si el proveedor de IA afirma que una herramienta es segura, el trabajo del comprador ha terminado. No. Los usuarios siguen necesitando comprender su propio caso de uso, recabar información sobre riesgos, involucrar a las partes interesadas afectadas cuando corresponda, realizar pruebas cuando sea viable y utilizar contratos e influencia con terceros.
Solo importa cuando una ley local la menciona expresamente. No. La guía es voluntaria, pero está diseñada para funcionar junto con un conjunto creciente de normas de IA, leyes de diligencia debida, controles de contratación pública, expectativas de los inversores y el sistema de reclamaciones de la OECD.
La reparación solo es relevante cuando un tribunal ha declarado una conducta ilegal. No bajo este marco. Cuando una empresa ha causado o contribuido a un daño real, debe facilitar o cooperar en la reparación, y cuando el daño está directamente vinculado a través de terceros, debe ejercer influencia para contribuir a asegurar dicha reparación.
Riesgos y límites
La guía no es una ley global de IA, un tratado, un puerto seguro ni una licencia para operar. No existe una fecha de entrada en vigor única ni un régimen de sanciones de la OECD vinculado a este texto de 2026. Las obligaciones legales siguen derivando del derecho nacional, los contratos, las normas sectoriales, las condiciones de contratación pública, la presión de los inversores y, en el sistema de la OECD, las Directrices para Empresas Multinacionales y el proceso de los Puntos de Contacto Nacionales.
Tampoco sustituye al análisis jurídico especializado cuando se trata de usos de alto riesgo. Una empresa puede seguir el método de la OECD y aun así tener que cumplir obligaciones separadas en materia de privacidad, empleo, consumo, no discriminación, seguridad de productos, normativa sectorial y normas nacionales de IA. La propia guía señala que sus referencias cruzadas no constituyen un marco de equivalencia. Además, se centra en los sistemas de IA, no en todos los problemas de hardware o materias primas de la economía digital, ya que esos temas se abordan a través de otros trabajos de diligencia debida de la OECD.
Un último límite es de carácter práctico más que jurídico. Los equipos a veces reducen la diligencia debida a papeleo o a un cuestionario para proveedores. Eso no capta la esencia del proceso. El modelo de la OECD trata sobre la gobernanza real de los impactos, especialmente cuando los daños se transmiten a través de terceros, modelos en rápida evolución, gestión de trabajadores, prácticas de datos o puntos de control de gran influencia. A 4 de junio de 2026, la guía ha sido publicada y está vigente, pero su efecto cotidiano depende aún de cómo los gobiernos, los compradores, los consejos de administración y las contrapartes decidan utilizarla.
Próximos pasos
Si dirige una organización que desarrolla, adquiere o gobierna IA, comience por identificar su rol o roles en la cadena de valor y designar un responsable ejecutivo para la diligencia debida en materia de IA. A continuación, elabore un registro actualizado de sistemas de IA, usos y terceros clave; identifique los riesgos más significativos; y determine dónde se requiere una revisión más profunda.
A partir de ahí, refuerce los aspectos básicos: actualice las políticas de IA y conducta empresarial responsable, revise los términos de contratación y ventas, defina qué información sobre riesgos deben proporcionar los proveedores, establezca un canal para que los trabajadores y usuarios puedan plantear sus preocupaciones, y asegúrese de que las pruebas, la monitorización y los informes de incidentes lleguen a la revisión del consejo de administración. Si ya cuenta con un sistema de gestión de IA o un programa de garantía, utilícelo como evidencia para la diligencia debida, pero no confunda la certificación, las auditorías o las pruebas de modelos con el proceso completo de la OECD.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es jurídicamente vinculante la Guía de Diligencia Debida de la OECD para una IA Responsable?
No. Es una guía práctica basada en los instrumentos de la OECD sobre conducta empresarial responsable e IA. Su peso práctico proviene de la adopción por parte de los gobiernos, los contratos, la contratación pública, las expectativas de los inversores, el derecho nacional y, en algunos casos, los procesos de reclamación de la OECD.
¿A quién se aplica?
Se aplica a toda la cadena de valor de la IA: proveedores de insumos como datos, capacidad de cómputo, nube, hardware y financiación; empresas que diseñan, desarrollan, despliegan u operan IA; y usuarios de IA en cualquier sector. Una misma organización puede desempeñar más de un rol.
¿Es solo para grandes multinacionales?
No. Está redactada para empresas multinacionales, pero el marco de la OECD espera que las pymes también realicen diligencia debida, de forma proporcional a su tamaño, su grado de implicación con el riesgo y la gravedad del posible daño.
¿En qué se diferencia de ISO/IEC 42001?
ISO/IEC 42001 define un sistema de gestión de IA. La certificación voluntaria puede confirmar que un sistema de gestión cumple ese estándar. La guía de la OECD es un método de diligencia debida para gestionar los impactos negativos en las actividades propias de una empresa y en sus relaciones comerciales.
¿Qué ocurre si adquirimos IA de terceros en lugar de desarrollarla?
Aun así hay trabajo por hacer. La guía espera que los compradores y los responsables del despliegue inventaríen los usos, recaben información sobre riesgos de los proveedores, analicen las aplicaciones de mayor riesgo, incorporen influencia a través de cláusulas contractuales y materiales de uso responsable, e involucren a las partes interesadas afectadas cuando corresponda.
¿Seguir la guía acredita el cumplimiento del EU AI Act u otras leyes?
No. La OECD señala que su mapa de ruta no es un marco de equivalencia. La guía puede ayudar a organizar la gobernanza y la evidencia entre distintos regímenes, pero las obligaciones legales deben verificarse frente a cada ley aplicable y norma sectorial.
¿Puede alguien presentar una reclamación ante la OECD por conductas relacionadas con la IA?
Potencialmente, sí. En los países adherentes, los Puntos de Contacto Nacionales pueden recibir "casos específicos" que aleguen incumplimiento de las Directrices para Empresas Multinacionales. Son mecanismos no judiciales y no sustituyen a los tribunales ni a los reguladores, pero pueden investigar, mediar y publicar declaraciones.