¿Por dónde se empieza a implementar la gobernanza de IA?

Por el inventario de sistemas de IA, incluidos los que vienen dentro de software de terceros, y por la designación de un responsable con autoridad real. Sin saber qué IA se usa ni quién decide sobre ella, cualquier política queda sobre el papel.

¿Qué es un modelo de madurez de gobernanza de IA?

Es una escala que describe niveles sucesivos de desarrollo de la gobernanza, desde el uso sin control hasta el cumplimiento demostrable, para que una organización sepa dónde está y qué le falta. No existe un modelo oficial en la normativa europea; el de este artículo es una herramienta de trabajo de Deflank.

¿Hace falta un comité de IA?

No lo exige ninguna norma con ese nombre, pero sí que alguien con autoridad apruebe los usos de IA y responda de ellos. El AI Act pide al proveedor de alto riesgo un marco de rendición de cuentas de la dirección (artículo 17.1.m) y DORA y NIS2 hacen responsable al órgano de dirección. En organizaciones medianas y grandes, un comité multidisciplinar suele ser la forma práctica de hacerlo.

¿Qué normas sirven de guía para implantarla?

El propio EU AI Act, que marca qué hay que cumplir; la ISO/IEC 42001, que da la estructura de un sistema de gestión certificable; y el NIST AI RMF, que organiza la gestión de riesgos en cuatro funciones: gobernar, mapear, medir y gestionar.

¿Cuándo está terminada la implantación?

Nunca del todo: la gobernanza es un proceso continuo, porque los sistemas, los datos y las normas cambian. Pero hay un hito claro: cuando cada requisito aplicable a cada sistema tiene evidencia que se puede entregar a un supervisor sin preparación especial.

Cómo implementar la gobernanza de IA: fases y modelo de madurez

Actualizado el 11 de octubre de 2026

Casi todas las organizaciones que deciden «poner orden» en su uso de la IA empiezan igual: redactando una política de uso de la IA. Es un paso razonable, pero suele ser también donde se quedan. La política se aprueba, se comunica y… la IA se sigue usando como antes, porque nada en la operación diaria ha cambiado.

Implementar la gobernanza de IA es convertir esa política en procesos que funcionan y que dejan rastro. Este artículo propone un recorrido en cinco fases, con los entregables de cada una, y un modelo de madurez para que puedas situar a tu organización y saber qué le falta. Para el marco general —qué es la gobernanza de IA y qué exige la normativa— consulta nuestra guía de gobernanza de IA.

Antes de empezar: tres decisiones

Quién lo lidera. Necesitas una persona con autoridad para parar un sistema, no solo para opinar sobre él. Puede estar en cumplimiento, en riesgos, en tecnología o en la dirección general; lo importante es que el órgano de dirección la respalde, porque tanto el AI Act como DORA y NIS2 sitúan la responsabilidad última ahí.
Cuál es el alcance. Toda la organización o una unidad piloto; solo los sistemas propios o también los de terceros. Recomendamos incluir los de terceros desde el principio: son la mayoría.
Qué marco seguirás. El AI Act dice qué cumplir. Para el cómo, la ISO/IEC 42001 da una estructura de sistema de gestión certificable y el NIST AI RMF una forma de organizar los riesgos. No hace falta elegir uno solo; sí hace falta ser coherente. Lo explicamos en ISO 42001 y el AI Act.

Fase 1 · Descubrir: el inventario

Objetivo: saber qué IA se usa, dónde y para qué.

Identifica los sistemas propios, los contratados y las funciones de IA embebidas en aplicaciones que ya usas (CRM, RR. HH., atención al cliente, ofimática).
Incluye el uso informal de asistentes de IA generativa por parte de empleados.
Para cada sistema, registra: finalidad, responsable de negocio, proveedor, datos que trata, decisiones que apoya y personas afectadas.

Entregable: un inventario vivo —no una hoja que se hace una vez—, con un procedimiento para dar de alta cualquier sistema nuevo antes de usarlo.

Fase 2 · Clasificar: riesgo y papel

Objetivo: saber qué obligaciones tiene cada sistema.

Determina el papel de la organización respecto a cada sistema: proveedor o responsable del despliegue (o ambos).
Clasifica cada uno según el Reglamento (UE) 2024/1689: prohibido (artículo 5), alto riesgo (artículo 6 y anexos I y III), con obligaciones de transparencia (artículo 50) o de riesgo mínimo.
Si concluyes que un sistema del anexo III no es de alto riesgo, documenta la evaluación: el artículo 6 lo exige.
Cruza con otras normas: ¿trata datos personales (RGPD)? ¿es un servicio TIC crítico (DORA)? ¿forma parte de la cadena de suministro (NIS2)?

Entregable: una matriz de obligaciones por sistema, con fechas. Recuerda que, tras el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I); las prohibiciones y la alfabetización, desde febrero de 2025; la transparencia, desde agosto de 2026.

Fase 3 · Gobernar: políticas, funciones y circuitos

Objetivo: que las decisiones sobre IA tengan dueño y procedimiento.

Política de uso de la IA: usos permitidos, prohibidos y sujetos a aprobación; qué datos no pueden introducirse en herramientas externas; cuándo es obligatoria la revisión humana.
Funciones: responsable de cada sistema, quién lo supervisa (con la competencia y la autoridad que exige el artículo 14 del AI Act) y quién aprueba los sistemas nuevos.
Circuito de aprobación: ningún sistema entra en producción sin pasar por clasificación, evaluación de riesgos y, cuando proceda, evaluación de impacto.
Gestión de proveedores: cláusulas contractuales, información que el proveedor debe entregar y evaluación periódica.
Formación adaptada a cada perfil, como exige el artículo 4.

Entregables: política aprobada por la dirección, mapa de responsabilidades, procedimiento de aprobación y cláusulas tipo para contratos de IA.

Fase 4 · Operar: riesgos, registros e incidentes

Objetivo: que la gobernanza funcione en el día a día y genere evidencia.

Gestión de riesgos continua por sistema (artículo 9 para los de alto riesgo): identificar, estimar, mitigar y revisar cuando algo cambie.
Evaluación de impacto en derechos fundamentales cuando la exija el artículo 27 (organismos públicos, entidades que prestan servicios públicos, scoring crediticio y seguros de vida y salud).
Registros: conservar los que generan los sistemas de alto riesgo, al menos seis meses si eres responsable del despliegue (artículo 26.6).
Gestión de incidentes: qué es un incidente de IA, quién lo detecta, a quién se notifica y en qué plazo (artículos 26 y 73).

Entregables: expediente por sistema con su evaluación de riesgos, sus registros y su historial de incidentes.

Fase 5 · Demostrar y mejorar

Objetivo: poder acreditar que todo lo anterior funciona.

Indicadores por sistema: rendimiento, deriva, sesgo, intervenciones humanas, incidentes.
Auditoría interna periódica y revisión por la dirección, como en cualquier sistema de gestión.
Evidencia lista para un supervisor: documentación técnica, registros y resultados de pruebas que se puedan entregar sin una «operación especial» cada vez que alguien los pide.

Entregable: un expediente de cumplimiento por sistema y un informe periódico a la dirección.

El modelo de madurez: dónde está tu organización

No existe un modelo de madurez oficial en la normativa europea. Este es el que usamos en Deflank como herramienta de trabajo; no es un estándar. Para situarte, responde a las preguntas de cada nivel: estás en el último nivel cuyas preguntas puedes contestar todas con un «sí».

Nivel	Se reconoce porque…	Preguntas para comprobarlo
1 · Uso sin control	Se usa IA, pero nadie sabe exactamente cuál ni para qué	—
2 · Políticas sobre el papel	Hay una política aprobada, pero no procesos que la apliquen	¿Existe una política de uso de IA aprobada por la dirección? ¿Hay un responsable designado?
3 · Procesos implantados	Inventario vivo, clasificación, responsables, proveedores evaluados, formación en marcha	¿Puedes listar hoy todos tus sistemas de IA con su clasificación? ¿Ningún sistema nuevo entra sin aprobación? ¿Se ha formado al personal?
4 · Cumplimiento demostrable	Cada requisito aplicable tiene evidencia reproducible y auditable	¿Podrías entregar mañana a un supervisor la evidencia de que cada sistema de alto riesgo cumple sus requisitos? ¿Esa evidencia se genera de forma continua?

Las fases 1 y 2 llevan al nivel 3 de forma bastante directa; son trabajo, pero no tienen misterio. El salto del nivel 3 al 4 es el difícil, porque exige pasar de tener procesos a poder demostrar que los sistemas se comportan como dicen esos procesos.

Errores frecuentes

Empezar por la política y no por el inventario. Una política sin inventario no se puede aplicar.
Olvidar la IA de terceros. La mayor parte del riesgo suele estar en sistemas que la organización no ha desarrollado.
Crear un silo. La gobernanza de IA debe apoyarse en los procesos de riesgos, protección de datos, seguridad y compras que ya existen, no duplicarlos.
Confundir certificación con cumplimiento. Un certificado de sistema de gestión no demuestra que un sistema concreto cumpla el AI Act.
Tratarlo como un proyecto con fecha de fin. Los sistemas cambian con los datos; la gobernanza tiene que acompañarlos.

Qué implica según el tamaño de tu empresa

Pyme: las fases 1 a 3 en versión ligera bastan en la mayoría de los casos: inventario, clasificación, una política breve y formación. Las obligaciones concretas están en AI Act para pymes.
Mediana empresa: el valor está en la fase 3: circuito de aprobación y gestión de proveedores. Es lo que evita que el inventario quede desfasado en seis meses.
Gran empresa: la fase 5 es la crítica. Con decenas o cientos de sistemas, la evidencia no puede producirse a mano.

El reto de fondo: demostrar, no estimar

La diferencia entre el nivel 3 y el 4 es la diferencia entre afirmar que un sistema cumple y probarlo. Las técnicas habituales —revisiones documentales, pruebas por muestreo— dan una estimación; un supervisor pide prueba.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables a cada sistema en una prueba demostrable, reproducible y auditable, generada de forma continua. La prueba, no la estimación.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, artículos 4, 5, 6, 9, 14, 17, 26, 27, 50, 73 y 113, y anexos I y III; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»); ISO/IEC 42001:2023; NIST AI RMF 1.0. Verificado el 11 de octubre de 2026.