La gobernanza falla cuando una obligación existe en una política pero nadie sabe quién debe ejecutarla. Una responsabilidad operativa identifica persona o función, cometido, autoridad, acceso, plazo, suplencia y evidencia. El Reglamento no impone un organigrama universal con puestos llamados «propietario del sistema» o «validador», pero sí distribuye obligaciones y exige capacidad efectiva en varios contextos.
Ideas clave
- Asigna funciones, no solo nombres.
- Separa preparación, validación y aprobación cuando el impacto lo justifique.
- La supervisión humana requiere autoridad real para apartarse de la salida o detener el proceso.
- En una pyme varias funciones pueden acumularse con controles compensatorios.
Siete funciones que conviene mapear
| Función | Cometido mínimo |
|---|---|
| Propietario | Mantener finalidad, alcance, estado y revisiones del uso. |
| Validador | Contrastar clasificación, pruebas y cambios antes de aprobar. |
| Aprobador | Asumir la decisión dentro de su nivel de autoridad. |
| Supervisor humano | Revisar salidas, intervenir y detener cuando proceda. |
| Seguridad / privacidad | Evaluar accesos, datos, integraciones, registros y obligaciones propias. |
| Legal / compliance | Interpretar obligaciones, excepciones, contratos y escalado. |
| Incidentes | Coordinar contención, preservación, decisión, comunicación y cierre. |
Cuándo separar propietario, validador y aprobador
En usos de baja incidencia puede ser proporcionado acumular funciones. Cuando el uso afecta a derechos, empleo, crédito, servicios esenciales, biometría, seguridad o sistemas de alto riesgo, conviene introducir una segunda revisión y evitar que el área que obtiene el beneficio sea la única que descarte el riesgo y apruebe la excepción.
Supervisión humana: una persona debe poder intervenir de verdad
Una aprobación formal al final del proceso no equivale a supervisión. La persona necesita comprender capacidades y límites, acceder a información relevante, disponer de tiempo y poder ignorar, revertir o detener una salida cuando proceda. En sistemas de alto riesgo, el artículo 26.2 exige competencia, formación, autoridad y apoyo para quienes realizan la supervisión por el responsable del despliegue.
Cómo adaptar el modelo a una pyme
No hace falta crear siete puestos. Una persona puede ser propietaria y coordinadora; un asesor externo puede validar una clasificación; dirección puede aprobar casos por encima de un umbral. Lo importante es documentar acumulaciones, conflictos, suplencias y una revisión adicional cuando el impacto aumente.
Fuentes y referencias
Se priorizan fuentes oficiales para el marco normativo. La aplicación a un caso concreto puede exigir revisar normativa sectorial, guías, jurisprudencia y documentación técnica adicional.