Gobernanza de IA mínima viable para una empresa mediana: quién decide, quién certifica, quién responde

Una empresa mediana no necesita un departamento entero para gobernar su IA, pero sí necesita saber quién decide, quién certifica y quién responde ante un regulador. El modelo mínimo viable se sostiene sobre cuatro piezas: un órgano responsable, un inventario vivo de sistemas, criterios de clasificación y supervisión documentada. La ISO/IEC 42001 cubre entre el 55% y el 65% del camino por 12.000-40.000 euros en tres años.

Por qué una empresa mediana necesita gobernanza de IA ahora

La tentación de esperar es comprensible, pero el calendario ya no lo permite. Desde el 2 de agosto de 2026 están vigentes las obligaciones del EU AI Act para modelos de propósito general (GPAI) y las prohibiciones de prácticas de riesgo inaceptable. El Anexo III, que regula los sistemas de alto riesgo, se ha aplazado a diciembre de 2027 por el Digital Omnibus, lo que da margen, pero no una excusa para no empezar.

El problema es que la mayoría de las organizaciones llega tarde a esta cita. Solo el 29% de las empresas cuenta con un plan de gobernanza de IA integral, según Diligent, y apenas el 8% de los directivos tiene expertise sólida en la materia. Esa brecha entre lo que exige la norma y lo que sabe la dirección es precisamente el riesgo que un director de riesgos o un CFO deben cerrar. No moverse también es una decisión, y en este caso una decisión cara.

Qué significa gobernanza de IA mínima viable

Gobernanza de IA mínima viable es el conjunto más pequeño de estructuras y controles que permite a una empresa demostrar que sabe qué sistemas de IA usa, cómo los clasifica y quién responde por ellos. No es un comité de veinte personas ni un manual de trescientas páginas. Es un modelo proporcionado al tamaño de la organización, diseñado para aterrizar en decisiones de negocio y para resistir la mirada de un supervisor.

La idea clave es que la gobernanza no va de la herramienta, va de rediseñar cómo la organización toma decisiones sobre IA. Un modelo mínimo viable no busca la perfección documental, busca trazabilidad: que cualquier sistema tenga un responsable con nombre, una clasificación de riesgo justificada y un registro de supervisión. Con eso, una empresa mediana pasa de la improvisación al método sin sobredimensionar la estructura.

Quién decide, quién certifica y quién responde en el modelo de gobernanza

La primera pieza es el órgano responsable. En una empresa mediana no hace falta crear un comité nuevo desde cero: basta con asignar la gobernanza de IA a un comité existente, por ejemplo el de riesgos o el de dirección, con una agenda específica y una periodicidad fija. Ese órgano decide qué sistemas se aprueban, con qué condiciones y quién asume la responsabilidad operativa de cada uno.

La distinción entre decidir, certificar y responder es la que evita las zonas grises. Decide el órgano de gobierno, que aprueba el uso de un sistema y sus límites. Certifica una figura técnica o un tercero, que verifica que el sistema cumple los requisitos de clasificación, documentación y supervisión. Responde un propietario de negocio con nombre y apellidos, la persona que rinde cuentas si el sistema falla o si el regulador pregunta. Cuando estas tres funciones recaen en una sola persona sin distinción, la gobernanza se convierte en un sello vacío.

Cómo construir el inventario vivo de sistemas de IA

No se puede gobernar lo que no se conoce, y por eso el inventario es el corazón del modelo. Un inventario vivo de sistemas de IA es un registro actualizado de todas las aplicaciones que usan inteligencia artificial en la empresa, incluidas las que llegan integradas en software de terceros. Debe recoger para cada sistema su finalidad, el proveedor, los datos que trata, la clasificación de riesgo asignada y el responsable interno.

El adjetivo vivo no es decorativo: un inventario que se actualiza una vez al año no sirve, porque las empresas incorporan herramientas con IA a un ritmo que ningún informe anual captura. El inventario debe actualizarse cada vez que se contrata un nuevo sistema o cambia el uso de uno existente. Este registro es, además, la primera evidencia que pedirá un supervisor, y la que la propia dirección necesita para saber a qué está expuesta. Sin inventario, el resto del modelo se sostiene en el aire.

Qué criterios de clasificación de riesgo aplicar

La clasificación es lo que convierte una lista de sistemas en una herramienta de decisión. El EU AI Act organiza los sistemas por nivel de riesgo, desde el inaceptable (prohibido) hasta el mínimo, pasando por el alto riesgo del Anexo III, que incluye ámbitos como selección de personal, crédito o infraestructuras críticas. Cada sistema del inventario debe llevar una etiqueta de riesgo justificada por escrito.

El criterio práctico para una empresa mediana es sencillo: clasificar primero por impacto en las personas y en decisiones sensibles, y después por el marco legal. Un sistema que recomienda contenido interno no tiene el mismo perfil que uno que filtra candidatos a un puesto. La AESIA, autoridad española de supervisión de la IA, publica guías prácticas de cumplimiento que ayudan a aterrizar estos criterios en casos concretos, y conviene tenerlas como referencia. Documentar el porqué de cada clasificación es tan importante como la clasificación misma.

Cómo documentar la supervisión humana de forma defendible

La supervisión documentada es la cuarta pieza y la que muchas empresas descuidan. No basta con decir que una persona supervisa un sistema, hay que registrar cómo lo hace, con qué frecuencia y qué decisiones ha revisado o corregido. Esta trazabilidad es lo que convierte una afirmación en una evidencia ante un auditor o un regulador.

La supervisión humana efectiva significa que una persona con criterio puede entender la decisión del sistema, cuestionarla y anularla cuando proceda. Registrar esas intervenciones, aunque sean pocas, demuestra que la supervisión es real y no nominal. Aquí está el mensaje de fondo: la IA no sustituye al profesional que decide, lo sube de nivel dándole información y liberándole de la parte mecánica. Un sistema de gobernanza que no documenta la supervisión deja a la empresa sin la prueba más importante justo cuando más la necesita.

Cuánto cuesta y qué cubre la ISO/IEC 42001

Aquí es donde la conversación pasa de la teoría al presupuesto, y donde el CFO recupera el protagonismo. Implantar la norma ISO/IEC 42001, el estándar internacional de sistemas de gestión de IA, cubre entre el 55% y el 65% de las obligaciones de alto riesgo del EU AI Act. Para una empresa mediana española, el coste estimado se sitúa entre 12.000 y 40.000 euros a lo largo de tres años, según estimaciones del sector.

Ese porcentaje no llega al 100% de forma deliberada: la ISO/IEC 42001 aporta la estructura de gestión, los procesos y la trazabilidad, pero la clasificación legal concreta y ciertas obligaciones específicas del Reglamento requieren un trabajo adicional propio. Aun así, partir de un estándar reconocido evita reinventar la rueda y da a la dirección un marco defendible. Frente a este coste conviene poner la otra cara de la balanza: la multa máxima del EU AI Act alcanza los 35 millones de euros o el 7% de la facturación global, según el Reglamento UE 2024/1689. La aritmética del riesgo es transparente.

El coste de no actuar frente al coste de empezar

Comparar ambos costes es el ejercicio que todo comité de dirección debería hacer este trimestre. El coste de empezar es acotado, planificable y amortizable: entre 12.000 y 40.000 euros en tres años para el marco de gestión, más el tiempo de dedicación de un órgano interno que ya existe. Es una inversión que además ordena la casa y reduce la dependencia de decisiones improvisadas.

El coste de no actuar es de otra naturaleza. No es solo la exposición a multas de hasta 35 millones de euros, es la incapacidad de responder cuando un cliente, un inversor o un supervisor pregunta qué IA usas y cómo la controlas. En un contexto donde el 51% de los compradores B2B inicia su investigación de proveedores en asistentes de IA, según G2, no poder demostrar gobernanza empieza a ser también un problema comercial. La urgencia ya está aquí, y la diferencia entre experimentar con IA y ganar ventaja está en el método.

Preguntas frecuentes sobre gobernanza de IA mínima viable

¿Qué empresas medianas están obligadas a tener gobernanza de IA?

Cualquier empresa que desarrolle, comercialice o use sistemas de IA en la UE queda bajo el EU AI Act. Desde el 2 de agosto de 2026 aplican las obligaciones de modelos GPAI y las prohibiciones. Los sistemas de alto riesgo del Anexo III se regulan desde diciembre de 2027, tras el aplazamiento del Digital Omnibus.

¿Cuánto cuesta implantar la ISO/IEC 42001 en una empresa mediana?

Para una empresa mediana española, el coste estimado se sitúa entre 12.000 y 40.000 euros a lo largo de tres años, según estimaciones del sector. Esa inversión cubre entre el 55% y el 65% de las obligaciones de alto riesgo del EU AI Act, aportando la estructura de gestión y la trazabilidad exigidas.

¿Quién debe responder legalmente por un sistema de IA en la empresa?

Debe responder un propietario de negocio identificado con nombre y apellidos, distinto de quien certifica el cumplimiento técnico y del órgano que aprueba el uso. Separar decisión, certificación y responsabilidad evita las zonas grises y garantiza que exista siempre una persona que rinde cuentas ante la dirección y el regulador.

¿Qué pasa si no cumplimos el EU AI Act?

Las sanciones del EU AI Act alcanzan los 35 millones de euros o el 7% de la facturación global anual, la cifra que resulte mayor, según el Reglamento UE 2024/1689. Más allá de la multa, la falta de gobernanza limita la capacidad de responder a clientes e inversores que exigen trazabilidad sobre el uso de IA.

¿Es suficiente con la ISO/IEC 42001 para cumplir el Reglamento?

No por sí sola. La ISO/IEC 42001 cubre entre el 55% y el 65% de las obligaciones de alto riesgo aportando el marco de gestión, pero la clasificación legal concreta y ciertas obligaciones específicas del Reglamento requieren trabajo adicional. Conviene apoyarse en las guías prácticas de la AESIA para completar el resto del camino.

Da el primer paso hacia una gobernanza defendible

Estructurar quién decide, quién certifica y quién responde no es un proyecto de dos años, es una conversación de dirección que puede empezar este trimestre. Si quieres poner método a tu gobernanza de IA sin sobredimensionar la estructura, el mejor punto de partida es una conversación para revisar dónde estás y qué pieza te falta.Empezar por una conversación de dirección

David M Calduch