Gobernar la IA significa poder explicar qué sistemas y usos existen, para qué se utilizan, quién responde de ellos, qué riesgos se han analizado, qué controles se aplican y qué evidencia permite reconstruir las decisiones. No exige convertir cada uso en un expediente complejo: exige que el nivel de control sea proporcional y que las decisiones relevantes no dependan de memoria, hojas dispersas o una única persona.
Ideas clave
- Empieza por el uso real, no por el nombre comercial de la herramienta.
- Separa inventario, clasificación, responsabilidades, evidencias y seguimiento.
- Un control solo es útil si identifica quién actúa, sobre qué versión y con qué criterio.
- La gobernanza no equivale a certificación automática ni elimina el análisis jurídico o técnico que corresponda.
Los seis componentes mínimos de una gobernanza operativa
Una estructura útil puede resumirse en seis capas conectadas. La primera identifica el activo y su finalidad. La segunda determina el rol de la organización y la clasificación aplicable. La tercera asigna responsables y autoridad. La cuarta reúne controles y evidencias. La quinta convierte carencias en tareas. La sexta conserva revisiones, versiones e incidentes.
| Componente | Pregunta que debe responder |
|---|---|
| Inventario | ¿Qué sistema, función o uso de IA existe y para qué se utiliza? |
| Clasificación | ¿Qué régimen, prohibición, transparencia o nivel de riesgo puede activarse? |
| Responsables | ¿Quién prepara, valida, aprueba, supervisa y puede detener el uso? |
| Evidencias | ¿Qué documentos, pruebas, registros y decisiones sostienen la conclusión? |
| Acciones | ¿Qué falta hacer, quién debe hacerlo y en qué plazo? |
| Revisión | ¿Qué cambio obliga a reabrir el análisis y qué versión quedó validada? |
Por qué el inventario es el punto de entrada
La organización no puede adaptar formación, política, revisión de proveedores o controles de datos si desconoce qué IA se utiliza realmente. El inventario debe registrar sistema, proveedor, finalidad, versión, personas afectadas, entradas y salidas, responsable interno y estado. Cuando una misma herramienta se usa con finalidades distintas, puede ser necesario separar los casos de uso.
Clasificar el uso antes de decidir qué controles necesita
La clasificación debe seguir una secuencia: ámbito, prácticas prohibidas, alto riesgo, transparencia y presencia de modelos de IA de uso general. Las categorías pueden acumularse. Un uso laboral, por ejemplo, puede requerir analizar alto riesgo y, además, obligaciones de información o protección de datos.
- No cierres el análisis al reconocer una sola categoría.
- Documenta brevemente por qué un supuesto aplica o no aplica.
- Reabre la clasificación cuando cambien finalidad, versión, datos, integración, autonomía o personas afectadas.
Responsabilidad significa capacidad real de actuar
Asignar un nombre no basta. La persona responsable necesita información, autoridad, tiempo, acceso y una vía de escalado. En organizaciones pequeñas varias funciones pueden acumularse, pero las decisiones sensibles necesitan un contraste proporcionado para evitar que quien impulsa un uso sea la única persona que descarte sus riesgos.
Dónde encaja un software de gobernanza de IA
Cuando el número de usos, clientes, documentos y revisiones crece, el problema deja de ser crear una plantilla y pasa a ser mantener un expediente vivo. Un software de gobernanza puede conectar inventario, responsables, evidencias, tareas, informes y versiones. El valor no está en sustituir el criterio profesional, sino en hacer que ese criterio quede aplicado sobre información localizable y trazable.
Fuentes y referencias
Se priorizan fuentes oficiales para el marco normativo. La aplicación a un caso concreto puede exigir revisar normativa sectorial, guías, jurisprudencia y documentación técnica adicional.