Gobernanza de IA: qué es, marcos y cómo implantarla en la empresa

Actualizado el 11 de octubre de 2026

Casi todas las empresas medianas y grandes usan ya inteligencia artificial: en un chatbot de atención al cliente, en un modelo de riesgo, en el filtro de currículos que trae su software de recursos humanos o en el asistente que sus empleados abren cada mañana. Muy pocas pueden responder con precisión a tres preguntas sencillas: qué sistemas de IA usan, para qué y quién responde de ellos.

Esa distancia entre el uso real y el control real es lo que la gobernanza de la IA viene a cerrar. Y desde 2025 ha dejado de ser una buena práctica opcional: el EU AI Act (Reglamento (UE) 2024/1689), DORA y NIS2 convierten buena parte de ella en obligación, con el órgano de dirección como responsable último.

Esta guía explica qué es la gobernanza de IA, qué exige la normativa europea, cómo encajan los marcos de referencia más usados —ISO/IEC 42001, NIST AI RMF, principios de la OCDE— y cuáles son los componentes de un programa que funcione de verdad.

Qué es la gobernanza de la IA

La gobernanza de la IA es el conjunto de políticas, funciones, procesos y controles con los que una organización decide qué sistemas de IA usa, para qué finalidad, con qué riesgos aceptables y quién responde de ellos, y comprueba que eso se cumple durante todo el ciclo de vida del sistema.

Conviene distinguirla de dos conceptos vecinos con los que se confunde a menudo:

	Gobernanza de datos	Gobernanza de TI	Gobernanza de IA
Objeto	Los datos	La infraestructura y los servicios tecnológicos	El comportamiento de los sistemas de IA
Pregunta central	¿Son fiables, legítimos y protegidos?	¿Funciona, está disponible, es seguro?	¿Para qué se usa, qué decide, cómo falla y quién responde?
Riesgo típico	Fuga, mala calidad, uso ilícito	Caída, intrusión	Decisión sesgada, opaca, no supervisada o manipulable

Las tres se solapan —un modelo se entrena con datos y corre sobre infraestructura—, pero la gobernanza de IA añade algo que las otras no cubren: un sistema que toma o apoya decisiones, a veces sobre personas, y cuyo comportamiento no está completamente determinado por quien lo programó.

Por qué ya no es opcional: lo que exige la normativa europea

Ninguna norma europea usa la expresión «programa de gobernanza de IA». Pero varias imponen sus piezas, y juntas dibujan uno completo.

El EU AI Act

El Reglamento de IA reparte obligaciones según el riesgo del sistema y el papel de la empresa: proveedor (quien desarrolla el sistema o lo comercializa con su nombre) o responsable del despliegue (quien lo usa bajo su autoridad en una actividad profesional). Lo que exige, por orden de aplicación:

• Prácticas prohibidas (artículo 5) y alfabetización en IA (artículo 4), desde el 2 de febrero de 2025. El Ómnibus digital reformuló el artículo 4: las empresas deben adoptar medidas para favorecer conocimientos suficientes en su personal, sin exigir un nivel concreto, pero la obligación sigue en vigor.
• Transparencia (artículo 50), desde el 2 de agosto de 2026: avisar a las personas de que interactúan con una IA y marcar el contenido sintético, entre otras.
• Sistemas de alto riesgo, desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I), según el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), que retrasó las fechas originales. Para el proveedor: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), registros (artículo 12), transparencia hacia el usuario (artículo 13), supervisión humana (artículo 14), precisión, solidez y ciberseguridad (artículo 15) y un sistema de gestión de la calidad (artículo 17). Para el responsable del despliegue: usar el sistema conforme a sus instrucciones, asignar la supervisión humana a personas competentes, vigilar su funcionamiento y conservar los registros (artículo 26), y en ciertos casos una evaluación de impacto en los derechos fundamentales (artículo 27).

El artículo 17 es, en la práctica, la definición legal de un programa de gobernanza para el proveedor: exige políticas, procedimientos e instrucciones documentados que incluyan estrategia de cumplimiento, gestión de datos, gestión de riesgos, vigilancia poscomercialización, notificación de incidentes y un marco de rendición de cuentas que defina las responsabilidades del personal directivo.

(Más detalle en nuestra guía de obligaciones del EU AI Act.)

DORA y NIS2: la responsabilidad del órgano de dirección

Para las entidades financieras, DORA (Reglamento (UE) 2022/2554) atribuye al órgano de dirección la definición, aprobación y supervisión del marco de gestión del riesgo TIC (artículo 5). Un modelo de IA es un servicio de TIC, aunque DORA no lo nombre, como explicamos en DORA e inteligencia artificial.

Para las entidades esenciales e importantes, NIS2 (Directiva (UE) 2022/2555) obliga a los órganos de dirección a aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad (artículo 20), que incluyen la seguridad de la cadena de suministro. Si un proveedor de IA forma parte de esa cadena, entra en el perímetro.

El RGPD, cuando hay datos personales

Cuando el sistema trata datos personales, el Reglamento General de Protección de Datos sigue plenamente aplicable: limita las decisiones exclusivamente automatizadas con efectos significativos sobre las personas (artículo 22) y exige una evaluación de impacto cuando el tratamiento entraña un alto riesgo (artículo 35). La gobernanza de IA debe coordinarse con la protección de datos, no duplicarla.

Los marcos de referencia: cuál sirve para qué

Además de la normativa, existen marcos voluntarios que ayudan a ordenar el programa. No sustituyen a la ley, pero dan estructura.

Marco	Qué es	Para qué sirve
EU AI Act	Reglamento europeo, obligatorio	Define qué hay que cumplir y demostrar, sistema a sistema
ISO/IEC 42001:2023	Norma internacional de sistema de gestión de la IA, publicada en diciembre de 2023; certificable	Organizar el programa con la lógica de las normas de gestión (políticas, objetivos, riesgos, auditoría interna, mejora continua)
NIST AI RMF 1.0	Marco voluntario de gestión de riesgos de IA del NIST estadounidense (enero de 2023)	Estructurar la gestión de riesgos en cuatro funciones: gobernar, mapear, medir y gestionar
Principios de la OCDE sobre IA	Recomendación internacional (2019, actualizada en 2024)	Fijar los principios de alto nivel: transparencia, solidez, rendición de cuentas

Una advertencia práctica: certificarse en ISO/IEC 42001 no equivale a cumplir el AI Act. La certificación acredita que la organización tiene un sistema de gestión; el Reglamento exige además requisitos técnicos concretos para cada sistema de alto riesgo. La presunción de conformidad del artículo 40 del AI Act solo la dan las normas armonizadas publicadas en el Diario Oficial de la UE. ISO 42001 es un buen andamio, no el edificio. Lo desarrollamos en ISO 42001: qué es y su relación con el AI Act.

Los componentes de un programa de gobernanza que funcione

Un programa de gobernanza de IA no es un documento de políticas: es un conjunto de procesos que producen evidencia. Estos son sus componentes, ordenados como suelen implantarse.

1. Inventario de sistemas de IA

Todo empieza aquí. Qué sistemas se usan, quién los desarrolló, qué datos tratan y qué decisiones apoyan. Incluye los que llegan embebidos en software de terceros, que son los que más se escapan. Sin inventario, el resto es papel.

2. Clasificación por riesgo y por papel

Cada sistema se clasifica según el AI Act —prohibido, alto riesgo (artículo 6 y anexos I y III), con obligaciones de transparencia o de riesgo mínimo— y según el papel de la empresa: proveedor o responsable del despliegue. Si se concluye que un sistema del anexo III no es de alto riesgo, el artículo 6 obliga a documentar esa evaluación.

3. Política de uso, funciones y responsables

Qué usos están permitidos, cuáles prohibidos y cuáles requieren aprobación. Quién aprueba un sistema nuevo, quién es su responsable, quién supervisa y a quién se escala. El AI Act pide un marco de rendición de cuentas (artículo 17, letra m); DORA y NIS2, la implicación del órgano de dirección.

4. Gestión de riesgos durante todo el ciclo de vida

El artículo 9 del AI Act describe un proceso iterativo y continuo, no una evaluación única: identificar riesgos previsibles, estimarlos, adoptar medidas y comprobar que el riesgo residual es aceptable. Y repetirlo cuando el sistema o su uso cambian.

5. Gestión de proveedores

La mayoría de los sistemas de IA de una empresa los presta un tercero. El programa debe cubrir la diligencia debida, las cláusulas contractuales, la información que el proveedor debe entregar (el artículo 13 obliga al proveedor de alto riesgo a dar instrucciones de uso) y, en el sector financiero, el régimen de proveedores TIC de DORA.

6. Supervisión humana efectiva

El artículo 14 exige que las personas encargadas de supervisar puedan entender el sistema, detectar anomalías, no confiar ciegamente en sus resultados y descartar, invalidar o revertir sus salidas o interrumpirlo. En sistemas que ejecutan acciones —los agentes— esto es un requisito de diseño; lo tratamos en gobernanza de agentes de IA.

7. Registros, documentación y trazabilidad

Lo que no está registrado no se puede demostrar. El AI Act exige registros automáticos (artículo 12) y su conservación por el responsable del despliegue durante al menos seis meses (artículo 26). La documentación técnica (artículo 11 y anexo IV) es lo primero que pedirá una autoridad.

8. Formación y alfabetización

Obligatoria desde febrero de 2025 (artículo 4). Debe ajustarse al perfil: no necesita lo mismo quien usa un asistente que quien supervisa un modelo de riesgo de crédito.

9. Gestión de incidentes

Qué es un incidente de IA, cómo se detecta, a quién se notifica y en qué plazo. El proveedor de alto riesgo debe notificar los incidentes graves a la autoridad (artículo 73); el responsable del despliegue, informar al proveedor y a la autoridad cuando los detecte (artículo 26). En entidades financieras, además, el régimen de incidentes de DORA.

10. Seguimiento, auditoría y mejora

Los sistemas de IA cambian con los datos y con el uso. El programa necesita indicadores, revisiones periódicas y auditoría interna; para el proveedor de alto riesgo, un sistema de vigilancia poscomercialización (artículo 72).

El caso más común: asistentes de IA generativa en manos de todos

Para muchas empresas, el primer problema de gobernanza no es un modelo de riesgo sofisticado, sino algo más cotidiano: empleados que usan asistentes de IA generativa —con licencia corporativa o con cuentas personales— para redactar, resumir, traducir o programar. Es lo que se conoce como IA en la sombra (shadow AI): uso real que no aparece en ningún inventario.

Prohibirlo rara vez funciona; ignorarlo es peor. Una política de uso razonable responde al menos a estas preguntas:

• Qué herramientas están autorizadas y con qué tipo de cuenta. Las condiciones de uso de un servicio de consumo y las de un contrato empresarial no son iguales en lo que se refiere al uso de sus datos.
• Qué información no puede introducirse: datos personales sin base jurídica (RGPD), información confidencial de clientes, secretos empresariales.
• Quién revisa el resultado antes de usarlo, y en qué casos la revisión humana es obligatoria (por ejemplo, cualquier texto que se publique o se envíe a un cliente).
• Cuándo hay que avisar de que un contenido es artificial: el artículo 50 del AI Act obliga desde agosto de 2026 a revelar las ultrasuplantaciones y ciertos textos generados por IA que se publican para informar al público.
• Qué formación recibe cada perfil, lo que conecta directamente con la obligación de alfabetización del artículo 4.

Conviene recordar también el reparto de responsabilidades en la cadena: los proveedores de modelos de IA de uso general tienen obligaciones propias desde agosto de 2025 —entre ellas, facilitar documentación a quienes integran sus modelos (artículo 53)—, pero eso no traslada a ellos las obligaciones de la empresa que los usa. Lo explicamos en modelos de IA de propósito general.

Cómo saber en qué punto estás: una escala de madurez

No existe un modelo de madurez oficial en la normativa. Para orientarse, en Deflank usamos esta escala sencilla de cuatro niveles —es una herramienta de trabajo nuestra, no un estándar—:

Nivel	Cómo se reconoce
1 · Uso sin control	Se usa IA, pero nadie sabe exactamente cuál ni para qué. No hay inventario
2 · Políticas sobre el papel	Hay una política de uso aprobada, pero no hay procesos que la apliquen ni evidencia de que se cumple
3 · Procesos implantados	Inventario vivo, clasificación por riesgo, responsables asignados, proveedores evaluados y formación en marcha
4 · Cumplimiento demostrable	Cada requisito aplicable tiene evidencia reproducible y auditable, generada de forma continua, que se puede entregar a un supervisor

El salto difícil es del 3 al 4: pasar de tener procesos a poder demostrar que funcionan. Cómo recorrer esos niveles, fase a fase, en cómo implementar la gobernanza de IA.

La gobernanza de IA según el sector

• Banca y seguros: los sistemas de evaluación de solvencia y de tarificación de seguros de vida y salud son de alto riesgo (anexo III, punto 5) y conviven con DORA y la normativa bancaria. Lo desarrollamos en gobernanza de IA en banca.
• Sector público: los organismos de Derecho público que desplieguen sistemas de alto riesgo deben realizar, en general, una evaluación de impacto en los derechos fundamentales antes de usarlos (artículo 27), y registrar su uso en la base de datos de la UE. Ver gobernanza de IA en el sector público.
• Empresas que adoptan agentes de IA: el reto pasa de controlar respuestas a controlar acciones. Ver nuestra guía de IA agéntica.

Qué implica según el tamaño de tu empresa

• Pyme: empieza por el inventario y por la formación del artículo 4, que ya es obligatoria. El AI Act prevé medidas de apoyo y proporcionalidad para las pymes; las explicamos en AI Act para pymes.
• Mediana empresa: el paso clave es convertir la política en procesos: un circuito de aprobación de sistemas nuevos, la evaluación de proveedores y un responsable por sistema.
• Gran empresa: el reto es integrar la gobernanza de IA en el GRC existente —riesgos, cumplimiento, protección de datos, ciberseguridad— sin crear un silo paralelo, y poder demostrar su eficacia ante varios supervisores a la vez.

El reto de fondo: demostrar, no estimar

Un programa de gobernanza se juzga por una sola pregunta: ¿puedes demostrar, ante un supervisor o un auditor, que tus sistemas de IA cumplen lo que dice tu política? Las técnicas habituales —revisiones documentales, pruebas por muestreo— producen una estimación de que el sistema se comporta como debe. Un supervisor pide prueba.

Deflank existe para cerrar esa brecha: mediante una metodología de verificación propia, convierte los requisitos aplicables —del AI Act, de DORA, de NIS2 o de tu propia política— en una prueba demostrable, reproducible y auditable, en lugar de una estimación probabilística. La prueba, no la estimación.

---

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, artículos 4, 5, 6, 9 a 17, 26, 27, 40, 50, 72, 73 y 113, y anexos I, III y IV; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), DOUE de 24 de julio de 2026; Reglamento (UE) 2022/2554 (DORA), artículo 5; Directiva (UE) 2022/2555 (NIS2), artículo 20; Reglamento (UE) 2016/679 (RGPD), artículos 22 y 35; ISO/IEC 42001:2023; NIST AI RMF 1.0; Principios de la OCDE sobre IA. Verificado el 11 de octubre de 2026.