Jefe de estudios del área de Derecho Facultad Business & Tech El pasado 28 de agosto publiqué en esta misma tribuna un artículo titulado «Gobernanza integrada de la IA en las organizaciones: diez claves para un modelo coordinado de riesgo, cumplimiento y control», en el que hacía referencia a una cuestión que merece un análisis propio: ¿quién debe ser el responsable de la IA dentro de una organización?
María Luisa García Torres Dra. en Derecho Procesal
La pregunta resulta especialmente relevante porque las empresas están incorporando sistemas de IA a un número creciente de procesos, mientras sus estructuras internas de responsabilidad no siempre evolucionan a la misma velocidad.
El Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de Inteligencia Artificial -en adelante, RIA- tampoco ofrece una respuesta directa. A diferencia de lo que sucede con el Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de datos personales y a su libre circulación -en adelante, RGPD- y la figura del Delegado de Protección de Datos -en adelante, DPO-, el RIA no establece una obligación general de designar un delegado o responsable específico de Inteligencia Artificial -en adelante, IA-. Y, sin embargo, impone obligaciones de hondo calado.
El RIA atribuye obligaciones, pero no crea un responsable de IA
El RIA establece un amplio conjunto de obligaciones vinculadas al desarrollo, comercialización y utilización de sistemas de IA. Sin embargo, no delimita qué persona, función o unidad dentro de una organización debe asumir específicamente la coordinación interna de su cumplimiento.
Esta ausencia resulta especialmente significativa en relación con los sistemas de alto riesgo. El art. 26 RIA exige la adopción de medidas técnicas y organizativas adecuadas, la vigilancia de su funcionamiento y una supervisión humana encomendada a personas que dispongan de la competencia, formación y autoridad necesarias. Al mismo tiempo, deja margen a las organizaciones para estructurar internamente sus recursos y distribuir las funciones necesarias para cumplir estas obligaciones.
El Reglamento establece, por tanto, un marco exigente de control y supervisión, pero no crea una figura interna específica encargada de coordinar la gobernanza de la IA.
Y es precisamente ahí donde aparece el problema. Cuantas más obligaciones recaen sobre la organización y más áreas intervienen en su cumplimiento, mayor es la necesidad de determinar con claridad quién debe coordinar su aplicación y evitar que la gobernanza de la IA quede dispersa entre distintos departamentos.
Cuando todos tienen alguna competencia, pero nadie coordina
La gobernanza de la IA no encaja cómodamente dentro de un único departamento.
No es exclusivamente una cuestión tecnológica, aunque dependa de sistemas informáticos. Tampoco es únicamente una cuestión de protección de datos, aunque muchos sistemas utilicen datos personales. Ni puede reducirse al cumplimiento normativo. Tampoco es una cuestión que afecte únicamente a la ciberseguridad.
De ahí que aparezcan inmediatamente tres figuras: DPO, CISO -Chief Information Security Officer o Director de Seguridad de la Información- y compliance officer. Las tres deben intervenir, pero ninguna parece abarcar por sí sola la totalidad del problema.
El DPO resulta imprescindible cuando la utilización de IA afecta a datos personales y a los derechos de los interesados. Sin embargo, los riesgos algorítmicos no se agotan en el RGPD. Puede existir sesgo, deriva del modelo, falta de trazabilidad o funcionamiento incorrecto sin que necesariamente se haya producido una infracción en materia de protección de datos.
El CISO, por su parte, debe intervenir en todo aquello relacionado con la seguridad de la información: vulnerabilidades, ataques, integridad, disponibilidad o resiliencia. Pero un sistema puede ser seguro desde el punto de vista de la ciberseguridad y, al mismo tiempo, generar resultados discriminatorios o presentar problemas de transparencia o trazabilidad.
Por su parte, el compliance officer tiene una función esencial para integrar obligaciones regulatorias, evaluar riesgos de incumplimiento y establecer controles. Pero tampoco puede identificarse automáticamente la gobernanza de IA con el cumplimiento normativo general.
Los riesgos son, por tanto, diferentes, aunque estén interrelacionados. Un fallo en un modelo de IA no implica necesariamente una brecha de seguridad; una brecha de seguridad no supone siempre una vulneración de datos personales y; una infracción de protección de datos puede existir sin que se haya producido un incidente técnico.
Precisamente por ello, las responsabilidades deben permanecer diferenciadas.
Coordinar no significa sustituir
¿Significa esto que las empresas necesitan incorporar una cuarta figura?
En organizaciones con una utilización significativa de IA, considero que debe existir al menos una función claramente identificada encargada de coordinar su gobernanza. Podemos denominarla responsable de IA, responsable de gobernanza de IA o AI Officer. El nombre es, por ahora, secundario.
No debería sustituir al DPO, al CISO o al compliance officer, porque cada uno conserva sus propias competencias. Tampoco debería convertirse en la persona a la que trasladar toda la responsabilidad jurídica derivada de la utilización de IA por la empresa.
Su razón de ser sería otra: evitar que la gobernanza de IA quede fragmentada entre distintos departamentos sin que exista un punto de coordinación.
La cuestión adquiere especial importancia cuando se produce un problema. Ante un incidente relacionado con IA puede ser necesaria simultáneamente la actuación del CISO por sus implicaciones técnicas; del DPO por la eventual afectación de datos personales; de compliance por sus consecuencias regulatorias; de los responsables del área que utiliza el sistema y, en determinados casos, de la propia alta dirección.
La respuesta no puede depender de descubrir en ese momento quién debía intervenir. La organización necesita haber establecido previamente quién hace qué, cómo se comparte la información y quién coordina la actuación cuando confluyen distintas responsabilidades.
No se trata de crear un nuevo silo, sino exactamente de lo contrario: impedir que la IA termine convertida en un territorio de nadie situado entre tecnología, protección de datos, cumplimiento y negocio.
España empieza a dar un paso que el RIA no ha dado
Esta reflexión adquiere especial interés a la vista de la evolución normativa española.
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, presentado el 28 de mayo de 2026, contempla expresamente la existencia de un delegado de IA en las entidades del sector público estatal.
El Proyecto atribuye a esta figura una función vinculada al desarrollo de las políticas internas y al cumplimiento de los estándares aplicables a los sistemas de IA. Entre sus competencias incluye, cuando proceda, el asesoramiento en las evaluaciones de impacto destinadas a determinar posibles sesgos discriminatorios y en las evaluaciones de impacto sobre derechos fundamentales previstas en el art. 27 RIA.
Además, exige que disponga de conocimientos técnicos en materia de IA y de la regulación aplicable. La configuración definitiva de sus funciones queda abierta, pues el propio Proyecto remite a un posterior desarrollo reglamentario.
El Proyecto de Ley Orgánica continúa actualmente en tramitación parlamentaria, por lo que esta previsión todavía no constituye Derecho vigente.
Pero la opción legislativa resulta significativa. Mientras el RIA establece obligaciones sin imponer una figura interna general, el proyecto español comienza a identificar, al menos para el sector público estatal, una persona específicamente vinculada al desarrollo de las políticas internas y al cumplimiento de los estándares aplicables a los sistemas de IA.
No existe una obligación general equivalente para las empresas privadas. Y probablemente tampoco tendría sentido imponer idéntica estructura a todas ellas.
Una pequeña empresa que utiliza ocasionalmente herramientas de IA presenta necesidades muy diferentes de las de una entidad financiera, una aseguradora, una empresa tecnológica o una organización que incorpora sistemas algorítmicos a procesos con impacto significativo sobre las personas.
La estructura debe ser proporcional. Pero proporcionalidad no significa ausencia de responsabilidad organizativa.
La pregunta ya no es únicamente qué exige el RIA
Cuanto más importante sea la utilización de IA dentro de una organización, más difícil resultará mantener un modelo en el que nadie tenga atribuida claramente su coordinación.
Cuando se produce una incidencia, la organización debe poder identificar con precisión el sistema afectado, la decisión que permitió su utilización, los riesgos previamente conocidos, la función encargada de su supervisión y el reparto de competencias entre CISO, DPO, compliance y, en su caso, el responsable de IA. También debe estar previamente determinado quién debe intervenir y con qué alcance cuando se detecta el problema.
Esta delimitación resulta igualmente relevante desde la perspectiva de una eventual responsabilidad posterior. La organización debe poder reconstruir quién adoptó cada decisión, qué funciones tenía atribuidas y qué controles debía ejercer, de manera que exista una trazabilidad suficiente para determinar, en su caso, las responsabilidades que puedan derivarse del funcionamiento o utilización del sistema.
El RIA no obliga con carácter general a designar un responsable de IA. Pero las obligaciones que impone y la propia complejidad de los sistemas hacen necesario que las empresas sepan quién está asumiendo realmente esa función.
Identificar esa necesidad es, sin embargo, solo el primer problema.
Queda otro igualmente importante: quién puede asumir esa función y bajo qué condiciones dentro de la organización. Porque crear una figura específica de gobernanza de IA no consiste simplemente en atribuir un nuevo nombre a alguno de los profesionales que ya existen. Esa cuestión merece un análisis propio.