Redactado por Daniel Fernández-Viagas Gallego, quien es (entre otras muchas cosas) Auditor Interno y Lead Auditor en norma ISO 27001:2022, ISO 9001,14001 y 20000. 20 años de experiencia integrando sistemas de gestión. DPD certificado según esquema de la AEPD desde 2019, CDPP por el ISMS Forum, técnico de ciberseguridad por INCIBE (España), premio 2024 de la Agencia Española de protección de datos a la difusión del derecho fundamental a la protección de datos en redes sociales. Docente de numerosos proyectos formativos en España relacionados con privacidad y protección de datos desde 2010, así como en proyectos internacionales con USACH en Chile, Ecuador o Perú (…)
-¿En su organización se está usando Inteligencia Artificial? Y en caso negativo, ¿podría asegurar que alguna persona trabajadora de su compañía no lo está haciendo, con datos o documentos internos?:
Lo más probable es que sea un hecho, desde un modelo LLM para búsqueda de pequeñas soluciones diarias hasta su inclusión en procesos corporativos. Pero la cuestión clave es ¿se está gobernando el uso a nivel empresarial? Esta debería ser la primera preocupación, puesto que su uso avanza tan rápido que si tardamos demasiado en hacerlo será inabarcable.
Puede que piense que no le afecta, o que su empresa no incumple, pero ¿la estarán usando sus trabajadores por falta de instrucciones o reglas internas? Recuerde, nuestra conducta debe ser proactiva y debemos anticiparnos al riesgo, si ni siquiera lo hemos calculado agárrese porque vienen curvas.
Estamos en agosto de 2025 y comienza a ser aplicable un segundo bloque de capítulos y preceptos del Reglamento europeo de Inteligencia Artificial. O empezamos a gobernar su empleo a nivel interno en la empresa o no podremos demostrar cumplimiento.
La gobernanza no debe verse como un mero cumplimiento formal o unos documentos redactados por si nos lo solicitan, no va de eso. La gobernanza es ser consciente del uso en la entidad, los riesgos, las salvaguardas implementadas y un plan de acción enfocado a la mejora continua.
Desde una pyme hasta una gran empresa, debemos plantearnos ¿la IA se está usando?, ¿quién la está usando?, ¿para qué? ¿Con qué proveedor? Y sobre todo ¿Cómo se está usando la inteligencia artificial en la organización? Estas deberían ser las preguntas mínimas que todo comité de dirección u órgano de gobierno tiene que poner encima de la mesa.
Si no se han contemplado procedimientos internos, instrucciones a las personas trabajadoras, alfabetización a diferentes niveles y, sobre todo, no se han analizado los riesgos, posiblemente tengamos un problema inminente. No hablamos solamente de riesgos legales o propiedad intelectual, también hablamos de seguridad de la información, como pérdida de trazabilidad, disponibilidad del dato o confidencialidad. Si al coctel añadimos datos personales, debe contar rápido con el Delegado de protección de datos y realizar una evaluación de impacto a la protección de datos personales.
Este conjunto de medidas forma parte de esa gobernanza y este concepto no es nuevo, muchas organizaciones disponen de sistemas para gestionar la calidad, medioambiente, compliance o seguridad de la información, pero ¿Qué hacemos con el uso de la IA?
Un repaso por el Reglamento de Inteligencia Artificial (RIA) nos hace entender que un sistema de gestión se hace imprescindible si se quiere gobernar de manera efectiva el uso de inteligencia artificial en la empresa. La gobernanza de la inteligencia artificial en el ámbito empresarial constituye un pilar fundamental para el despliegue ético, seguro y conforme a Derecho de los sistemas de IA, especialmente aquellos catalogados como de alto riesgo. Gobernanza algorítmica y transparencia, son dos conceptos que deberán estar presentes en todos los procesos.
La aplicación de esta regulación en la empresa implica articular una gobernanza proactiva basada en principios de cumplimiento, rendición de cuentas y cultura organizativa orientada a la gestión diligente de los riesgos éticos, legales y tecnológicos. Ello se traduce en la implantación de marcos contrastados de gestión, como los sistemas de gestión ISO (por ejemplo, ISO 42001:2023), evaluación continua del ciclo de vida del sistema, y adecuada integración de la política de IA en la gobernanza corporativa y en la gestión de riesgos empresariales.
Si dispone de cualquier otro marco de gobernanza corporativa, aproveche su sinergia y comience a incluir los procesos necesarios para gestionar el ciclo de vida del dato y el uso de inteligencia artificial en el proceso empresarial.
-Marcos normativos y principios de la gobernanza de la IA:
El marco normativo de inteligencia artificial se asienta sobre varios pilares, no se puede cumplir una disposición sin tener en cuenta el impacto con otras normas que son de aplicación. El cumplimiento en una organización son piezas de un puzle, todo debe encajar. ¿Qué debemos tener presente a la hora de diseñar un marco de gobernanza corporativo?
- El marco ético de la Comisión Europea.
- La labor de estandarización técnica, con el papel relevante de las normas ISO.
- Y el marco legal centrado en el RIA, teniendo siempre presente el RGPD, la Directiva NIS2, DORA, el Esquema Nacional de Seguridad en España y los reglamentos sobre gobernanza y circulación de datos digitales (Data Governance Act, Data Act, DSA, DMA).
Estos instrumentos convergen en promover la responsabilidad proactiva, la gestión del riesgo y la demostrabilidad de cumplimiento en todo el ciclo de vida del tratamiento de datos, usando un modelo de mejora continua.
La gobernanza de IA debe asegurar que las soluciones se diseñen, desarrollen y exploten conforme a:
- Legalidad y respeto a los derechos fundamentales, esta es la base del sistema.
- Transparencia, explicabilidad y auditabilidad del sistema.
- Responsabilidad proactiva en la gestión del riesgo, anticiparse al riesgo conlleva analizarlo en fase de diseño y durante la puesta en producción.
- Seguridad y resiliencia, no se puede construir un marco de gobernanza sin tener en cuenta los riesgos de seguridad de la información, debemos asegurar la integridad, confidencialidad y disponibilidad de los datos.
- Minimización y calidad de los datos, usar datos adecuados y pertinentes.
- Supervisión humana, uno de los pilares del sistema.
- Prevención frente a sesgos y discriminación algorítmica.
-Retos, nuevos perfiles y cultura organizativa:
La entrada en vigor del RIA implica una transformación del papel tradicional de figuras como el CISO, el responsable de Compliance o el DPD, que deben evolucionar y disponer de una visión estratégica, transversal y preventiva, clave para la gobernanza tecnológica y la gestión de riesgos ético-jurídicos de la IA.
Estos perfiles corporativos deberían formarse específicamente en ética de la IA, sesgos algorítmicos, ciberseguridad y cumplimiento tecnológico, participando activamente en la definición, implantación y revisión de políticas internas y procedimientos ligados al uso de inteligencia artificial.
Para garantizar la independencia y evitar conflictos estructurales de rol o de intereses, resulta recomendable que la función de “Oficial de IA” y DPD sean diferenciadas, si bien deben cooperar estrechamente bajo una cultura corporativa de responsabilidad y vigilancia activa.
-Conclusiones:
No podemos empezar la casa por el tejado, hay que poner cimientos, integrar a los perfiles clave de la organización y mapear el uso de IA y los riesgos asociados. Disponer de un manual de uso y difundirlo de manera clara a todos los niveles de la empresa, alfabetizar de verdad a todas las personas trabajadoras implicadas y analizar el riesgo de manera real, realizando las evaluaciones de impacto a la protección de datos y las evaluaciones de impacto a los derechos fundamentales que sean oportunas. No se olvide de su cadena de suministro, ¿tiene un proveedor de solución IA? ¿Lo ha evaluado?
Gobernanza, como hemos visto, es afrontar los posibles riesgos con una visión proactiva y de mejora continua, pero antes hay que mapear el uso de IA y analizar todos los casos internos, recuerde, no se puede gobernar lo que no se conoce.
Daniel Fernández-Viagas Gallego
Sevilla, a lunes 4 de agosto del 2025
Perfil de LinkedIn para contacto, disponible en:
https://www.linkedin.com/in/daniel-fern%C3%A1ndez-viagas-gallego-716446174/?originalSubdomain=es