La gobernanza de la IA se consolida: qué implica para su transformación

En pocos años, la inteligencia artificial ha pasado de ser una innovación con escaso marco normativo a convertirse en un ámbito regulado. El símbolo de ese cambio es el AI Act europeo, el primer marco horizontal del mundo en la materia: clasifica los sistemas por nivel de riesgo, prohíbe ciertos usos e impone obligaciones graduales, desde la transparencia para los modelos de uso general hasta las exigencias más estrictas para los sistemas de alto riesgo, con un calendario de aplicación que se extiende a lo largo de varios años.

Para cualquier organización que despliegue IA, incluso como simple usuaria de herramientas del mercado, la consecuencia es concreta: la gobernanza de la IA se convierte en un dispositivo propio, con sus roles, sus controles, su documentación y sus evidencias. Un dispositivo que, como todos los demás, puede estar maduro o ser todavía embrionario.

Reducir la cuestión a Bruselas sería un error de enfoque. Los reguladores sectoriales despliegan sus propias exigencias: los supervisores financieros sobre los modelos de decisión, las autoridades sanitarias sobre los dispositivos médicos, las autoridades de protección de datos sobre los tratamientos algorítmicos. Otras jurisdicciones avanzan con sus propios marcos, lo que complica la vida a cualquier empresa exportadora.

Y la presión más rápida ni siquiera es normativa, sino comercial: los grandes clientes incorporan cláusulas sobre IA en sus contratos, las aseguradoras empiezan a hacer preguntas y las licitaciones públicas exigen garantías. El cuestionario de proveedores que ayer pedía la política de seguridad, hoy pide la gobernanza de la IA.

En la práctica, un dispositivo que merezca ese nombre cubre unos cuantos elementos invariables: un inventario de los sistemas y usos de IA, incluidos los que entran por la puerta pequeña de las herramientas SaaS; una calificación de los riesgos por cada uso; roles y responsabilidades asignados con nombre; controles proporcionados, desde la revisión humana hasta la vigilancia de desviaciones; y una documentación que permita demostrar todo esto ante un auditor, un cliente o un regulador.

Nada de esto resulta exótico: son los gestos clásicos del cumplimiento normativo, aplicados a un objeto nuevo y cambiante. La dificultad no es conceptual, sino de ejecución: saber en qué punto se está, entidad por entidad, y mantener la trayectoria en el tiempo.

Todas las iniciativas serias empiezan en el mismo punto: el inventario de sistemas y usos. Y casi siempre resulta un sobresalto: entre los módulos de IA integrados en las herramientas SaaS, los usos oficiosos de asistentes generativos por parte de los equipos y los proyectos piloto olvidados, el alcance real supera con creces el que conoce la dirección.

Gobernar un perímetro ficticio no protege de nada. El inventario honesto, en cambio, permite clasificar: qué usos son inocuos, cuáles afectan a decisiones sobre personas y cuáles caerán en la categoría de alto riesgo. Esa clasificación es la que determina el esfuerzo necesario, y cambia por completo el presupuesto.

La experiencia de regulaciones anteriores, desde la protección de datos hasta la ciberseguridad, enseña algo claro: las organizaciones que salen bien paradas son las que convierten pronto la exigencia en un dispositivo medido, en lugar de esperar al plazo límite para improvisar. Quienes vivieron la entrada en vigor del RGPD saben exactamente de qué se habla.

El enfoque se resume en cuatro pasos: cartografiar los usos de IA, evaluar la madurez de la gobernanza sobre un marco de referencia estructurado, identificar las brechas frente a las obligaciones que realmente le afectan y desplegar un plan de acción con fechas, revisado en cada ciclo. Nuestro catálogo cuenta con 19 marcos de referencia de datos e IA para respaldar este proceso, desde el marco de gobernanza genérico hasta las exigencias normativas específicas.