María Luisa García Torres. Dra. en Derecho Procesal A medida que las empresas incorporan sistemas de Inteligencia Artificial -en adelante, IA- surge una pregunta inevitable: ¿quién debe decidir cuando una cuestión afecta simultáneamente a negocio, tecnología, protección de datos, seguridad, cumplimiento normativo o derechos de las personas? No todas esas decisiones pueden quedar en manos de una única función, pero tampoco tiene sentido someter cada adquisición, modificación o incidencia a un órgano colegiado. Entre ambos extremos aparece el comité de IA. Su utilidad no consiste en gobernar toda la IA de la organización, sino en intervenir cuando el riesgo, el impacto o la transversalidad de una decisión exigen integrar varias perspectivas.
Jefe de estudios del área de Derecho. Facultad Business & Tech
Ni el RIA ni el Proyecto de Ley español exigen un comité de IA
El Reglamento (UE) 2024/1689 -en adelante, RIA- no impone a las empresas la creación de un comité de IA. Sí establece obligaciones organizativas y de control que exigen distribuir adecuadamente responsabilidades. Tampoco el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA exige, en su redacción actual, la creación de un comité interno en las empresas.
El comité sigue siendo, por tanto, una opción organizativa de gobernanza. Puede resultar útil para articular responsabilidades, escalados y evidencias de cumplimiento, siempre que sus competencias estén delimitadas. Un comité al que se remita cualquier cuestión relacionada con IA puede convertirse rápidamente en un cuello de botella.
El comité no debe decidir sobre todo
La gobernanza de IA debería funcionar justamente al revés. El propietario funcional del sistema debe continuar respondiendo por su finalidad y utilización. Tecnología debe conservar sus competencias técnicas. Los departamentos Jurídico y de Compliance, el delegado de protección de datos -DPO- y el responsable de seguridad de la información -CISO- deben intervenir dentro de sus respectivos ámbitos. Y el AI Officer debe coordinar el modelo y facilitar que esas funciones actúen de manera coherente.
El comité aparece cuando esa distribución ordinaria deja de ser suficiente. No sustituye a las funciones de la empresa; interviene cuando una decisión exige integrar varias de ellas o supera el nivel ordinario de decisión.
Por eso, la matriz de responsabilidades debe indicar quién interviene en cada fase del ciclo de vida y qué circunstancias obligan a escalar una cuestión.
¿Qué asuntos deberían llegar al comité?
No existe una relación universal. Dependerá de la actividad, del apetito de riesgo, de los sistemas utilizados y del modelo de gobernanza adoptado.
Una forma práctica de evitar que el comité se convierta en un cuello de botella es incorporar a la matriz de responsabilidades criterios objetivos de escalado. La decisión debería permanecer en el flujo ordinario de negocio, Tecnología y funciones de control mientras se mantenga dentro de los límites previamente aprobados. El asunto debería elevarse al comité cuando concurra, por ejemplo, alguno de estos factores: clasificación regulatoria de alto riesgo, impacto relevante sobre derechos o personas, discrepancia no resuelta entre negocio y funciones de control, excepción a una política interna, modificación sustancial del sistema o cambio de proveedor que altere significativamente el riesgo aceptado.
La matriz debe definir además quién propone, quién ejecuta, quién debe ser consultado y quién conserva la responsabilidad final en cada fase. Los criterios de escalado pueden concretarse mediante umbrales internos adaptados a cada organización, atendiendo al impacto económico, número y categorías de personas afectadas, sensibilidad de los datos, nivel de autonomía, criticidad del proceso o clasificación regulatoria.
El criterio no debería ser que una decisión “tenga que ver con IA”, sino que su riesgo, impacto, excepcionalidad o carácter transversal justifique una decisión colegiada.
¿Y qué no debería llegar al comité?
No deberían elevarse sistemáticamente los usos ordinarios ya autorizados, las decisiones comprendidas en políticas aprobadas, las revisiones técnicas rutinarias ni las actuaciones que puedan resolverse mediante los procedimientos normales.
Una cuestión de protección de datos no deja de corresponder al DPO porque se discuta en un comité. Una obligación jurídica no puede convertirse en opcional porque una mayoría vote en sentido contrario. Y una decisión que corresponde al propietario del proceso tampoco debería desplazarse al comité para diluir responsabilidades.
La colegialidad no puede convertirse en anonimato decisorio. La organización debe poder determinar quién propuso el uso, quién evaluó, quién formuló objeciones, quién adoptó la decisión y quién debe ejecutarla.
¿Quién debería formar parte del comité?
No existe una composición universal. Puede existir un núcleo permanente y una composición variable según el asunto.
El AI Officer puede actuar como coordinador o secretario: preparar los asuntos, comprobar que existen las evaluaciones necesarias, convocar a las funciones pertinentes y realizar el seguimiento. Pero coordinar no significa asumir la responsabilidad última por todos los riesgos ni disponer, por defecto, de un derecho de veto.
Según el caso, podrán participar Jurídico, Compliance, Tecnología, Seguridad de la Información, DPO, Gestión de Riesgos y el responsable del área de negocio propietaria del sistema. Recursos Humanos deberá intervenir cuando la IA afecte a procesos laborales y Compras cuando se analicen proveedores. Auditoría Interna debe preservar su independencia y evitar convertirse en responsable ordinaria de decisiones que después tendrá que auditar.
El comité tampoco sustituye a la alta dirección
La alta dirección debe fijar las directrices generales del modelo, determinar los niveles de riesgo que la organización está dispuesta a asumir y adoptar las decisiones estratégicas que no puedan quedar delegadas.
El comité puede decidir dentro de las competencias atribuidas. Cuando una cuestión supere los límites establecidos, afecte significativamente a la estrategia o requiera una aceptación extraordinaria del riesgo, deberá escalarse.
La gobernanza necesita, por tanto, dos movimientos: escalado hacia el comité cuando una cuestión supera a una función y hacia la alta dirección cuando supera al propio comité.
¿Qué ocurre si no hay consenso?
El procedimiento debe prever cómo resolver desacuerdos. Si la discrepancia afecta al cumplimiento de una obligación legal, la decisión colegiada no puede neutralizar la norma ni las competencias legalmente atribuidas a una función. Si se trata de apetito de riesgo empresarial, el comité podrá resolver dentro de los límites delegados; si los supera o persiste una discrepancia relevante, deberá escalarse a la alta dirección.
Ni el AI Officer ni el CISO deberían tener, por regla general, un veto automático salvo que la normativa aplicable, la política interna o la estructura de delegaciones se lo atribuyan expresamente. La regla de decisión debe estar definida antes de que aparezca el conflicto.
Cómo debe decidir el comité
No todos los asuntos deberían resolverse mediante votación. En muchas ocasiones la finalidad será alcanzar una decisión fundada integrando las evaluaciones realizadas por cada función.
El procedimiento interno debería definir quién puede elevar un asunto, qué documentación debe acompañarlo, quién participa, qué niveles de aprobación resultan necesarios, cuándo procede el escalado y quién ejecuta la decisión.
También debería fijar tiempos de respuesta, con niveles de servicio distintos según riesgo y urgencia y vías aceleradas para incidentes o decisiones críticas. El objetivo es evitar que el comité se convierta en un freno operativo, sin transformar el silencio en aprobación automática de decisiones relevantes.
El acta no es burocracia: es evidencia de gobernanza
Una decisión importante sobre IA debería poder reconstruirse posteriormente. No se trata de transcribir cada intervención, sino de dejar constancia del sistema analizado, las evaluaciones disponibles, los riesgos identificados, la decisión adoptada, sus condiciones, el responsable de ejecutarla y, cuando proceda, las posiciones discrepantes.
Esta trazabilidad demuestra que la decisión no fue improvisada, facilita revisiones posteriores y ayuda a determinar responsabilidades cuando el sistema evoluciona o aparece un incidente.
¿Cómo conecta con el RIA?
El comité no debe convertirse en un órgano paralelo al cumplimiento regulatorio. Su utilidad está en integrar las obligaciones del RIA dentro del sistema de gobierno existente.
Cuando la empresa actúe como responsable del despliegue, puede servir como punto de escalado para comprobar el cumplimiento de las obligaciones del art. 26 y, cuando resulte aplicable, que se haya realizado la evaluación de impacto sobre los derechos fundamentales del art. 27. Esta última obligación no se exige indiscriminadamente a cualquier empresa, sino a los responsables del despliegue y sistemas comprendidos en los supuestos que delimita el propio precepto.
Cuando la empresa actúe como proveedor, el modelo puede prever el escalado de cuestiones vinculadas a evaluación de conformidad, documentación, cambios sustanciales o incidentes.
El comité no sustituye a quien jurídicamente debe cumplir cada obligación. Su función es asegurar que las cuestiones transversales lleguen al nivel adecuado y quede evidencia de cómo fueron analizadas y resueltas.
Un buen comité es el que recibe las decisiones correctas
La madurez de un modelo de gobernanza de IA no se mide por el número de reuniones ni por la cantidad de asuntos que pasan por el comité.
El objetivo es que la mayoría de las decisiones puedan adoptarse dentro del marco ordinario porque existen políticas, responsables, controles y criterios claros, y que solo lleguen al comité las cuestiones que necesitan una visión transversal o una decisión de nivel superior.
La arquitectura queda entonces delimitada: la alta dirección fija el marco y adopta las decisiones que le correspondan; el AI Officer coordina; las funciones especializadas ejercen sus competencias; el negocio mantiene la responsabilidad sobre la finalidad y utilización de cada sistema; y el comité interviene cuando la matriz determina que una cuestión requiere una decisión colegiada o un escalado.
Por eso, la pregunta para valorar un comité de IA no debería ser cuántas decisiones adopta, sino otra: ¿están llegando al comité las decisiones que realmente necesitan llegar hasta él?
Ese es el punto en el que el comité deja de ser una capa adicional de burocracia y pasa a convertirse en una verdadera pieza de la gobernanza empresarial de la IA.