La gobernanza se ha convertido en uno de los conceptos más utilizados cuando hablamos de organizaciones, tecnología y cumplimiento normativo. Pero no es una moda ni una nueva etiqueta que añadir a los organigramas. Es una necesidad. Lo es porque las organizaciones son cada vez más complejas, dependen en mayor medida de la tecnología, gestionan volúmenes crecientes de datos y están sometidas a marcos regulatorios que se superponen y que, por ende, incrementan las exigencias de diligencia, control y responsabilidad.
 |
||
| Maria Luisa Garcia, experta en derecho tic y proteccion de datos (Imagen cedida por la autora) | ||
Gobernar supone ordenar esa complejidad, delimitar quién decide y quién responde, identificar los riesgos y establecer mecanismos para prevenirlos, controlarlos y actuar cuando algo falla.
Esta necesidad resulta todavía más evidente cuando hablamos de Inteligencia Artificial -en adelante, IA-. No podemos desconocerlo: la IA es ya una realidad dentro de las organizaciones. Se utiliza para seleccionar candidatos, analizar datos, redactar documentos, atender clientes, generar contenidos o apoyar procesos de toma de decisiones. En ocasiones, incluso, su incorporación se ha producido antes de que existieran reglas internas claras sobre sus usos, los datos que pueden introducirse en los sistemas o las responsabilidades de quienes los utilizan.
Por ello, ya no basta con preguntarse si una organización utiliza IA. Debe conocerse qué sistemas utiliza, para qué, con qué datos, quién ha autorizado su uso, quién supervisa sus resultados y qué ocurre cuando algo falla. Ahí comienza la gobernanza de la IA.
Estamos ante una tecnología transversal y un sistema sociotécnico, en el que interactúan datos, infraestructuras, algoritmos, personas, proveedores y decisiones. Un mismo sistema puede desplegar efectos en protección de datos, ciberseguridad, propiedad intelectual, relaciones laborales, derechos fundamentales o responsabilidad jurídica.
La gobernanza de la IA, entendemos, debe integrarse en el modelo general de gobierno, riesgo y cumplimiento -GRC- de la organización. El Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de Inteligencia Artificial -RIA-, y las modificaciones introducidas por el Reglamento (UE) 2026/1744, Digital Omnibus on AI, refuerzan esta necesidad.
Partiendo de esta premisa, pueden señalarse diez claves para implantar una gobernanza de la IA eficaz en empresas y organizaciones, integrada con la gestión de riesgos, el cumplimiento normativo y las responsabilidades internas.
1. Integrar la IA en la gobernanza general
La primera decisión equivocada sería convertir la IA en un nuevo silo organizativo. Lo adecuado es integrarla en los órganos, políticas y procedimientos ya existentes.
La alta dirección debe conocer sus principales usos y riesgos y garantizar una coordinación efectiva entre las áreas de tecnología, legal, compliance, protección de datos, ciberseguridad y negocio.
2. Delimitar responsabilidades
¿Quién gobierna la IA? Su gobernanza no puede concebirse como responsabilidad exclusiva de las áreas tecnológicas.
Entendemos necesario coordinar, al menos, las funciones del compliance officer, del Delegado de Protección de Datos -DPO-, del responsable de seguridad de la información -CISO- y del responsable de IA.
El RIA no exige con carácter general esta última figura. Sin embargo, una gobernanza efectiva requiere atribuir expresamente la función de conocer y coordinar los sistemas, sus finalidades, clasificación y condiciones de uso. No tienen que existir necesariamente cuatro puestos diferenciados, pero sí funciones claramente delimitadas.
3. Inventariar los sistemas y clasificar sus usos
No puede gobernarse aquello que se desconoce. Debe existir un inventario de los sistemas utilizados, su finalidad, proveedor, usuarios, datos empleados y personas potencialmente afectadas.
Debe incluir también el denominado shadow AI: herramientas utilizadas por empleados o departamentos al margen de los canales, autorizaciones y controles establecidos, lo que puede dejar determinados usos fuera de los mecanismos ordinarios de seguridad, protección de datos y cumplimiento.
Además, cada caso de uso debe clasificarse conforme al RIA, valorando si constituye una práctica prohibida, un sistema de alto riesgo, un supuesto sujeto a obligaciones específicas de transparencia o un uso no incluido en dichas categorías.
4. Evaluar de forma integrada riesgos y derechos
Los riesgos derivados del uso de IA no son homogéneos ni pueden analizarse aisladamente. Pueden afectar simultáneamente a protección de datos, ciberseguridad, confidencialidad, propiedad intelectual, reputación, continuidad operativa o derechos fundamentales.
Cuando exista tratamiento de datos personales, este análisis deberá coordinarse con las evaluaciones exigidas por el Reglamento (UE) 2016/679 -RGPD- y, cuando concurran los presupuestos del art. 27 RIA, con la correspondiente evaluación de impacto en derechos fundamentales.
5. Establecer procedimientos para incorporar nuevos sistemas
La gobernanza debe proyectarse desde el diseño y por defecto -by design y by default- y mantenerse durante todo el ciclo de vida del sistema.
Antes de incorporar una nueva herramienta o modificar sustancialmente un caso de uso deben analizarse su finalidad, proveedor, datos, personas potencialmente afectadas, clasificación, riesgos y controles necesarios.
Las configuraciones predeterminadas deben responder, además, a criterios adecuados de seguridad, privacidad y control, y debe quedar determinado quién tiene capacidad para autorizar ese uso dentro de la organización.
6. Garantizar transparencia, supervisión humana y trazabilidad
La organización debe conocer cómo interviene la IA en sus procesos y decisiones y, cuando proceda, informar adecuadamente a las personas afectadas.
La supervisión humana debe ser efectiva. Quien supervise debe disponer de competencia, información y autoridad suficientes para detectar errores, cuestionar resultados y, en su caso, apartarse de ellos.
Asimismo, debe existir documentación que permita reconstruir las decisiones adoptadas, los riesgos evaluados, los controles implementados y la intervención humana realizada. La trazabilidad constituye una manifestación de la accountability y una garantía para la protección efectiva de los derechos.
7. Gobernar datos, propiedad intelectual, secretos empresariales y proveedores
Los datos son esenciales en los sistemas de IA y, al mismo tiempo, una importante fuente de riesgo. Deben analizarse su procedencia, naturaleza, posible carácter personal o confidencial y la eventual afectación de derechos de propiedad intelectual o secretos empresariales.
Asimismo, externalizar una solución tecnológica no supone externalizar sus riesgos. La selección de proveedores debe integrarse en la propia gobernanza e incorporar garantías sobre tratamiento de datos, seguridad, subcontratación, gestión de incidentes y posibilidades de control o auditoría.
8. Monitorizar y auditar durante todo el ciclo de vida
La gobernanza no termina con la implantación del sistema. Resulta necesario revisar periódicamente su funcionamiento, rendimiento, posibles errores o sesgos, cambios en los datos, modificaciones introducidas por el proveedor y aparición de nuevos riesgos.
La evaluación debe configurarse como un proceso continuo y revisable, capaz de adaptarse a la evolución del sistema y de su contexto de utilización.
9. Prepararse para los incidentes
Los incidentes ponen a prueba algo más que la seguridad técnica del sistema: permiten comprobar la propia solidez del modelo de gobernanza.
Deben existir protocolos capaces de coordinar al CISO, DPO, compliance officer, responsable de IA y demás áreas afectadas, identificar las obligaciones aplicables, preservar las evidencias y adoptar las medidas necesarias.
El incidente se convierte así en una verdadera prueba de estrés del modelo GRC, pues permite comprobar la eficacia de los mecanismos de coordinación e identificar, en su caso, posibles deficiencias que deban corregirse.
10. Formar y adaptar continuamente la gobernanza
La eficacia del modelo depende, en buena medida, de que quienes utilizan sistemas de IA conozcan sus características, riesgos y reglas de utilización.
La formación y alfabetización deben adaptarse a las funciones y responsabilidades de cada integrante de la organización e integrarse en la cultura general de cumplimiento y gestión de riesgos.
Además, la gobernanza debe revisarse de forma continua. La tecnología cambia, los sistemas se actualizan y también evoluciona el marco regulatorio.
Gobernanza integrada, no sólo cumplimiento del RIA
El reto no consiste en crear un nuevo silo denominado «cumplimiento del RIA», sino en incorporar la IA al sistema general de gobernanza, riesgo y cumplimiento.
Ello exige coordinación real entre compliance officer, DPO, CISO, responsable de IA, responsables de negocio y alta dirección, con funciones delimitadas y mecanismos de supervisión durante todo el ciclo de vida.
Gobernar la IA no es únicamente cumplir una norma ni reducir la exposición a una sanción. Es saber qué tecnología se utiliza, con qué finalidad, qué riesgos genera, quién adopta las decisiones y cómo se protegen los derechos e intereses de las personas afectadas.
En definitiva, la cuestión no es sólo utilizar IA, sino mantener su control jurídico, organizativo y humano. Porque cuanto mayor sea su presencia en los procesos y en la toma de decisiones, mayor deberá ser también la capacidad de la organización para gobernarla.
|
||
| Maria Luisa Garcia, experta en derecho tic y proteccion de datos (Imagen cedida por la autora) | ||
E