La mayoría de las empresas ya usan inteligencia artificial, aunque no todas lo saben con precisión. Entre las herramientas contratadas formalmente por el departamento de tecnología y las que cada persona empleada incorpora por su cuenta a su trabajo diario, se abre un espacio de riesgo que solo puede cerrarse con una política interna de gobernanza de la IA. No se trata de limitar la innovación, sino de ordenarla para que no se convierta en un problema legal y de seguridad.
Qué es la gobernanza de la IA y por qué ya no es opcional
Gobernar la IA en una empresa significa definir quién decide qué sistemas se adoptan, bajo qué criterios se evalúan, qué datos pueden tratarse con ellos y quién responde si algo falla. El RGPD ya exige responsabilidad proactiva (art. 24) y protección de datos desde el diseño (art. 25) para cualquier tratamiento, y el Reglamento (UE) 2024/1689 (Reglamento de IA) añade obligaciones específicas para quienes despliegan sistemas de IA en su organización, no solo para quienes los desarrollan. A ello se suma, para determinadas entidades, la Directiva NIS2, que exige a los propios órganos de dirección aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad, incluyendo los riesgos asociados al uso de IA.
Beneficios de una política de gobernanza de IA bien diseñada
- Permite aprovechar los beneficios de productividad de la IA sin perder el control sobre qué datos salen de la organización.
- Reduce el riesgo de shadow AI, es decir, el uso de herramientas de IA no autorizadas con datos corporativos.
- Facilita responder con rapidez ante un incidente, al tener claro qué sistemas están en uso y quién es responsable de cada uno.
- Acredita ante la AEPD y, en su caso, ante las autoridades de vigilancia del mercado del Reglamento de IA, que la organización actúa con diligencia.
Riesgos de no contar con una política de gobernanza
- Proliferación de herramientas de IA no auditadas, cada una con su propio tratamiento de datos personales fuera de control.
- Ausencia de un responsable claro cuando un sistema de IA produce un resultado erróneo, discriminatorio o dañino.
- Incumplimiento de las obligaciones del Reglamento de IA para quienes despliegan sistemas de alto riesgo, como la supervisión humana o el registro de incidentes.
- Dificultad para responder a una inspección o a una reclamación, al no existir un inventario ni una documentación centralizada de los sistemas de IA en uso.
- Pérdida de confianza de clientes y empleados si se descubre un uso opaco o descontrolado de la IA.
Marco normativo aplicable
- RGPD: responsabilidad proactiva (art. 24), protección de datos desde el diseño y por defecto (art. 25) y evaluación de impacto (art. 35).
- LOPDGDD: deber de confidencialidad del personal (art. 5), aplicable a cualquier dato tratado a través de sistemas de IA.
- Reglamento (UE) 2024/1689 (Reglamento de IA): obligaciones de alfabetización en IA (art. 4), obligaciones específicas para responsables del despliegue de sistemas de alto riesgo (art. 26) y obligaciones de transparencia frente a las personas usuarias (art. 50).
- Directiva NIS2: obligación de los órganos de dirección de aprobar, supervisar y formarse en las medidas de gestión de riesgos de ciberseguridad, aplicable a las entidades esenciales e importantes dentro de su ámbito de aplicación.
- Esquema Nacional de Seguridad, para organismos públicos y entidades vinculadas que incorporen sistemas de IA a su actividad.
Base de legitimación en el marco de una política de gobernanza
La política de gobernanza no constituye en sí misma una base de legitimación para tratar datos personales: es el marco organizativo que permite identificar, para cada sistema de IA concreto, cuál es esa base (contrato, interés legítimo, consentimiento u obligación legal) y verificar que se aplica correctamente. Una gobernanza bien diseñada obliga a documentar esta base para cada sistema en el momento de su aprobación, evitando que se incorporen herramientas de IA sin haber resuelto antes esta cuestión.
¿Es obligatoria una evaluación de impacto (EIPD) en el marco de la gobernanza?
La política de gobernanza no sustituye a la EIPD de cada tratamiento concreto, pero debe integrarla como paso obligatorio del proceso de aprobación de cualquier sistema de IA que trate datos personales. Dado que la mayoría de los sistemas de IA encajan en el criterio de uso de tecnología novedosa recogido en el listado de tratamientos de riesgo de la AEPD, la política interna debería establecer como regla general que ningún sistema de IA se despliegue en producción sin haber pasado antes por un triaje de riesgo y, cuando corresponda, por una EIPD completa conforme al art. 35 RGPD, coordinada con la evaluación de impacto en los derechos fundamentales cuando el sistema sea de alto riesgo.
Elementos que debería incluir una política interna de gobernanza de IA
- Un inventario centralizado de todos los sistemas de IA en uso, incluidos los contratados por cada departamento, no solo por tecnología.
- Un procedimiento de aprobación previo para cualquier nuevo sistema de IA, con criterios claros de evaluación de riesgo.
- Roles y responsabilidades definidos: quién aprueba, quién supervisa el uso diario y quién responde ante un incidente.
- Reglas claras sobre qué datos pueden introducirse en herramientas de IA generativa y cuáles están prohibidos.
- Un plan de formación y alfabetización en IA para la plantilla, adaptado al rol de cada persona, conforme al art. 4 del Reglamento de IA.
- Un procedimiento de supervisión humana para los sistemas que produzcan decisiones con efectos sobre las personas.
- Un canal de notificación interna de incidentes o resultados anómalos generados por sistemas de IA.
- Una revisión periódica de la política, alineada con los cambios normativos del Reglamento de IA y con la evolución de las herramientas disponibles en el mercado.
Conclusión
La gobernanza de la IA no consiste en decir que sí o que no a la tecnología, sino en decidir cómo se adopta: qué se aprueba, quién lo supervisa, qué datos pueden usarse y qué ocurre si algo falla. Las organizaciones que construyen esta estructura antes de que la IA se extienda de forma descontrolada por sus equipos llegan mejor preparadas tanto al cumplimiento normativo como a la propia adopción tecnológica.
Este contenido tiene carácter informativo y divulgativo. El diseño concreto de una política de gobernanza de IA debe adaptarse al tamaño, sector y nivel de riesgo de cada organización, y puede requerir asesoramiento legal y técnico específico.
#GobernanzaIA #InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #NIS2 #sipylopd #SIPY
