En mi artículo anterior defendí la conveniencia de que las organizaciones cuenten con un responsable de IA capaz de coordinar su modelo de gobernanza, aun cuando ni el Reglamento (UE) 2024/1689, de 13 de junio de 2024 -en adelante, RIA- ni el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA obliguen al sector privado a designar una figura específica
María Luisa García Torres. Dra. en Derecho Procesal Jefe de estudios del área de Derecho. Facultad Business & TechAhora bien, la cuestión no debe reducirse a crear un nuevo puesto. Antes de decidir quién asume esa responsabilidad, la organización debe definir su modelo de gobernanza de la IA: cómo se adoptan las decisiones sobre su uso, qué riesgos deben identificarse y gestionarse, qué controles han de implantarse, qué actuaciones deben documentarse, cómo actuar ante un incidente, cómo se reparten las responsabilidades y cuándo deben elevarse los riesgos a la alta dirección. Solo a partir de esa arquitectura cobra sentido determinar quién debe coordinar el sistema y cuáles serán sus funciones.
Sin ese marco previo, el nombramiento de un “responsable de IA” corre el riesgo de convertirse en una etiqueta más dentro del organigrama.
Una función de gobierno, no un cargo cosmético
La gobernanza de la IA, a nuestro juicio, requiere que exista una responsabilidad claramente identificada dentro de su modelo de gobierno. Esa es, precisamente, la función que debe asumir el AI Officer: actuar como punto de referencia del modelo de gobierno de la IA y garantizar que las distintas áreas implicadas actúen de forma coordinada.
Ahora bien, defender esta figura no significa imponer un mismo modelo organizativo a todas las entidades. Su configuración deberá adaptarse al tamaño, al grado de utilización de sistemas de IA, a los riesgos asociados y al impacto que estos puedan tener sobre las personas.
En organizaciones con un uso intensivo de IA o con sistemas incorporados a procesos especialmente sensibles, puede resultar necesario crear un puesto específico. En otras, la función podrá atribuirse a un profesional que ya desempeñe otras responsabilidades, siempre que el rol de AI Officer quede expresamente definido, disponga de atribuciones suficientes, cuente con el tiempo y los recursos necesarios para ejercer efectivamente sus funciones y no se diluya entre distintos departamentos.
Tampoco tiene por qué tratarse de una figura interna. El AI Officer podrá desempeñar sus funciones dentro de la propia organización o fuera, según las características y necesidades de la empresa en cuestión. Lo relevante es que, cualquiera que sea la fórmula elegida, disponga de acceso suficiente a la información, capacidad efectiva de coordinación con las áreas implicadas y canales adecuados para elevar los riesgos relevantes a la alta dirección.
Lo decisivo no es tanto la denominación formal del cargo ni el encaje que tenga dentro de la organización como la efectividad de la función. El AI Officer debe poder coordinar el inventario y la clasificación de los sistemas de IA, la gestión de riesgos, la documentación y los controles, articular la intervención de las distintas áreas y asegurar que las incidencias relevantes lleguen al nivel de decisión adecuado. No debe ser una figura meramente nominal, sino una verdadera función de gobernanza dentro de la organización.
Un perfil necesariamente transversal
El perfil idóneo del AI Officer no puede ser puramente jurídico, técnico ni exclusivamente de cumplimiento. La IA afecta a datos, infraestructuras, proveedores, usuarios, decisiones, derechos, negocio, seguridad, reputación y responsabilidad jurídica. Quien coordine su gobernanza necesita una visión suficientemente amplia para conectar todos esos planos.
No tiene que ser el mayor experto técnico en modelos de IA, ni basta con conocer el RIA desde una perspectiva normativa. Su valor reside en traducir riesgos técnicos en decisiones organizativas, jurídicas y operativas.
Debe conocer el marco regulatorio aplicable, la lógica básica de los sistemas de IA, la contratación de proveedores, herramientas y servicios tecnológicos vinculados a la IA, los mecanismos de supervisión humana y la gestión de los riesgos asociados a estos sistemas, junto con ámbitos estrechamente vinculados a su gobernanza, como son la protección de datos y la ciberseguridad. Pero, sobre todo, debe saber formular las preguntas correctas: qué sistema se utiliza, para qué finalidad, con qué datos, quién autorizó su uso, qué riesgos presenta, qué controles se han establecido y qué respuesta debe activarse si el sistema falla. En este sentido, su función no es sustituir a las demás áreas, sino coordinar su intervención en aquellas cuestiones relacionadas con la IA y asegurar que cada una asuma las responsabilidades que le correspondan dentro del modelo de gobernanza.
Funciones esenciales del AI Officer
El AI Officer no gobierna la IA en solitario. La gobernanza sigue siendo una responsabilidad organizativa en la que intervienen alta dirección, tecnología, negocio, área legal, protección de datos, ciberseguridad, compliance, riesgos y demás funciones afectadas.
Su papel consiste, por tanto, en articular esa intervención y evitar que la IA quede fragmentada entre departamentos que solo ven una parte del riesgo. Esa función debe proyectarse sobre todo el ciclo de vida del sistema, desde su identificación inicial hasta su retirada, pasando por evaluación, implantación, supervisión, modificación y respuesta ante incidentes.
Una primera tarea es impulsar el inventario de sistemas de IA. La organización debe saber qué herramientas utiliza, quién las emplea, con qué finalidad, con qué datos, con qué proveedor, en qué procesos se integran y qué nivel de riesgo presentan.
A partir de ahí, debe coordinar su clasificación conforme al RIA y a las políticas internas. No todos los usos presentan la misma relevancia ni requieren los mismos controles.
También debe asegurar que las decisiones principales queden documentadas: incorporación del sistema, finalidad, evaluación de riesgos, controles aplicados, supervisión humana, modificaciones relevantes, incidencias y eventual retirada. Sin documentación suficiente, la gobernanza resulta difícilmente verificable.
Otra función esencial es conectar las distintas áreas. Tecnología, Negocio, Protección de Datos, Ciberseguridad, Cumplimiento, Contratación, Legal, Riesgos y Alta Dirección pueden disponer de controles parciales; el reto es integrarlos en un verdadero modelo de gobierno de la IA.
El AI Officer debe intervenir asimismo en los protocolos de respuesta ante incidentes. Si un sistema falla, expone información, afecta a derechos o se utiliza de forma no autorizada, la organización debe saber quién actúa, qué evidencias se preservan y cuándo debe escalarse la situación.
Finalmente, debe promover formación interna y una cultura de uso responsable. La llamada IA “en la sombra” aparece cuando empleados o departamentos utilizan herramientas sin autorización, sin criterios comunes y sin conocer sus riesgos. Ningún modelo de gobernanza será eficaz si quienes utilizan la IA desconocen sus límites y las reglas internas aplicables.
Autoridad, independencia y conflictos de interés
Un responsable de IA sin autoridad suficiente corre el riesgo de convertirse en una figura meramente formal. El AI Officer debe tener acceso a la información relevante, capacidad para requerir documentación, interlocución efectiva con las áreas implicadas y un canal directo para elevar a la alta dirección los riesgos significativos.
Además, necesita una posición de suficiente independencia funcional que le permita valorar esos riesgos con objetividad y actuar sin quedar condicionado por las áreas interesadas en implantar o utilizar determinados sistemas. En este sentido, podría tomarse como referencia el estatuto del Delegado de Protección de Datos -en adelante, DPO-, adaptándolo a las particularidades de la gobernanza de la IA.
Esta independencia resulta especialmente importante para evitar conflictos de interés, cuando quien debe evaluar o controlar los riesgos participa también en la promoción, implantación o utilización del sistema. Del mismo modo, la atribución de la función al DPO, al Chief Information Security Officer -CISO- o al Compliance officer no debería hacerse de forma automática, sino tras comprobar que la acumulación de responsabilidades no compromete la objetividad del control ni desnaturaliza las funciones propias de cada figura.
El DPO resulta esencial cuando existe tratamiento de datos personales, pero la privacidad no agota la gobernanza de la IA. El CISO desempeña un papel clave en seguridad, resiliencia e incidentes técnicos, pero seguridad y gobernanza de la IA no son equivalentes. El Compliance Officer aporta metodología, controles y cultura de cumplimiento, pero la gobernanza de estos sistemas tampoco puede reducirse al cumplimiento normativo.
Todas estas funciones son necesarias, pero ninguna, por sí sola, abarca el conjunto de la gobernanza de la IA.
Un perfil transversal de gobernanza
Por ello, el AI Officer debe concebirse como un perfil transversal de gobernanza y no como una simple extensión del DPO, del CISO o de Compliance. Su valor reside en conectar las distintas áreas implicadas y asegurar que la gobernanza de la IA se articule de forma coherente dentro de la organización.
Debe coordinar sin absorber, liderar sin sustituir y ordenar sin crear un nuevo silo. No se trata de que concentre todas las competencias, sino de que garantice que cada área conozca qué debe hacer, cuándo debe intervenir, qué debe documentar y cómo debe coordinarse con las demás.
No existe, por ello, una única trayectoria profesional para acceder a este perfil. Puede proceder del ámbito jurídico, tecnológico, de riesgos, compliance, privacidad o ciberseguridad. Lo decisivo no es su punto de partida, sino su capacidad para comprender lenguajes distintos y conectar funciones.
No basta con nombrar: hay que dotar de medios
Designar formalmente a un responsable de IA sin recursos reales vacía de contenido la función. No basta con aprobar una política interna o crear un comité si el responsable carece de acceso al inventario de sistemas, a la documentación contractual, a las evaluaciones de riesgo, a los responsables de negocio, al área tecnológica o a la alta dirección.
La gobernanza de la IA requiere información, procedimientos, canales de comunicación, documentación, formación, recursos y capacidad de actuación. Sin esos medios, puede existir apariencia de control, pero no gobernanza real.
Conclusión
La pregunta sobre quién puede ser responsable de IA no admite una respuesta automática. No basta con trasladar la función al DPO, al CISO o a Compliance, ni con crear un nuevo cargo sin mandato, recursos o conexión con la alta dirección.
Primero, hay que definir el modelo. Después, definir las responsabilidades. Y solo entonces decidir quién debe asumir su coordinación.
El responsable de IA debe ser una pieza de coordinación, trazabilidad y gobierno dentro de una arquitectura más amplia. Su valor no reside en acumular competencias ajenas, sino en impedir que la IA se disperse entre departamentos sin una visión común ni una responsabilidad clara.
Porque la IA no necesita solo cumplimiento. Necesita gobierno. Y gobernar exige definir funciones, coordinar responsabilidades, documentar decisiones y saber quién responde cuando algo falla.