EU AI Act · Gobernanza IA · Consejo de administración
EU AI Act: por qué la gobernanza de IA es responsabilidad del consejo, no del departamento técnico
17 de julio de 2026 · David M Calduch
El EU AI Act (Reglamento UE 2024/1689) obliga a los consejos de administración a supervisar directamente los sistemas de IA que su organización despliega. No es una cuestión técnica delegable al departamento de IT: la norma establece responsabilidad personal de los directivos, multas de hasta 35 millones de euros y plazos que ya están corriendo. La ventana para actuar es hoy, no cuando llegue la primera sanción.
¿Qué es el EU AI Act y a quién obliga en la práctica?
El Reglamento (UE) 2024/1689 - conocido como EU AI Act - entró en vigor el 1 de agosto de 2024 (Parlamento Europeo y del Consejo, 2024). Es la primera regulación integral sobre inteligencia artificial en el mundo, y su alcance supera lo que la mayoría de los consejos anticipa.
La norma distingue dos figuras clave: el proveedor (quien desarrolla o comercializa el sistema de IA) y el deployer o responsable del despliegue (quien utiliza el sistema en su actividad). Si tu empresa usa herramientas de IA para analizar crédito, gestionar la contratación, tomar decisiones sobre clientes o automatizar procesos operativos, es deployer. Y eso conlleva obligaciones directas bajo el Art. 26, con independencia de que el sistema lo haya desarrollado un tercero.
El error más habitual en los consejos es asumir que el cumplimiento recae en el proveedor tecnológico. El AI Act no funciona así: la responsabilidad de supervisión es del deployer, y cuando el deployer es una persona jurídica, sus órganos de gobierno responden.
¿Cuáles son los plazos concretos del EU AI Act que el consejo debe conocer?
Los plazos son escalonados, y varios ya están activos:
- 02/02/2025: prohibiciones del Art. 5 en vigor. Ningún sistema de riesgo inaceptable puede operar: manipulación subliminal, puntuación social de ciudadanos, reconocimiento de emociones en entornos laborales sin base legal expresa. - 02/08/2025: obligaciones para modelos de IA de propósito general (GPAI), incluidos los grandes modelos de lenguaje utilizados en herramientas empresariales. - 02/02/2025: prohibiciones (Art. 5) y formación obligatoria en IA para toda la organización (Art. 4), ambas ya vigentes y sancionables. El incumplimiento de la formación tiene sanciones de hasta 15 millones de euros o el 3% de la facturación global, el importe que sea mayor. - 02/08/2026: transparencia con usuarios (Art. 50) y régimen completo de obligaciones para deployers de sistemas de alto riesgo (Art. 26). - 02/12/2027: obligaciones completas para sistemas de alto riesgo del Anexo III, plazo ampliado desde agosto de 2026 por el acuerdo el aplazamiento del Anexo III del 7 de mayo de 2026. - 02/08/2028: sistemas cubiertos por legislación sectorial de seguridad de producto (Anexo I).
La formación en IA no es una iniciativa de desarrollo profesional. Es una obligación legal con fecha y sanción asignadas, que el consejo debe garantizar y acreditar.
¿Qué obliga exactamente el Art. 26 a un deployer de alto riesgo?
El Anexo III del AI Act identifica 8 categorías de sistemas de alto riesgo. Entre ellas: sistemas que toman decisiones sobre crédito y seguros, sistemas de selección o evaluación de personal, herramientas de gestión de infraestructuras críticas, y sistemas que afectan a derechos fundamentales de personas físicas. Si la empresa despliega cualquiera de estos sistemas, el Art. 26 exige (Parlamento Europeo y del Consejo, 2024):
- Supervisión humana cualificada conforme al Art. 14. No basta con que alguien revise el output: la persona debe comprender las limitaciones y el margen de error del sistema, y tener autoridad real para detenerlo. 2. Registros de logs durante un mínimo de 6 meses, disponibles para la autoridad supervisora. 3. Informar a los trabajadores afectados antes del despliegue del sistema. 4. Evaluación de Impacto en Derechos Fundamentales (FRIA, Art. 27) previa al despliegue. Es un análisis que requiere perspectiva jurídica, de riesgos y de negocio, no un formulario técnico. 5. Notificar incidentes graves a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).
Ninguno de estos requerimientos es gestionable desde IT en solitario. La FRIA requiere criterio jurídico y visión del negocio. La supervisión humana cualificada requiere formación real y designación formal con autoridad. Todo ello requiere una decisión de consejo.
¿Cuáles son las multas reales y cómo se acumulan con el RGPD?
El Art. 99 del AI Act establece tres tramos de sanción:
- Hasta 35 millones de euros o el 7% de la facturación global anual para prácticas prohibidas del Art. 5. - Hasta 15 millones de euros o el 3% para incumplimientos de obligaciones de proveedor o deployer, incluida la formación obligatoria del Art. 4. - Hasta 7,5 millones de euros o el 1% para información incorrecta o engañosa entregada a la autoridad supervisora.
El dato que muchos CFOs desconocen: estas multas son acumulativas con el RGPD. Un incidente de IA que implique datos personales puede generar sanciones bajo ambas normas en procedimientos paralelos.
En España, la AEPD registró expedientes con componente de IA. La AESIA tiene investigaciones preliminares abiertas. La primera sanción formal en España se estima para el cuarto trimestre de 2026 o el primer trimestre de 2027. Cuando llegue ese precedente, el regulador habrá establecido el estándar de diligencia exigible. Las organizaciones que no lo hayan alcanzado quedarán expuestas.
¿Por qué la gobernanza de IA no puede delegarse al departamento técnico?
Solo el 8% de los directivos cuenta con experiencia sólida en IA, y apenas el 29% de las organizaciones tiene planes de gobernanza integrales. La norma no reconoce la falta de conocimiento técnico como eximente: establece responsabilidad personal de los directivos por supervisión deficiente de los sistemas de IA desplegados bajo su gobierno.
El argumento “nuestro equipo técnico lo gestiona” no funciona ante un regulador. El Art. 26 asigna obligaciones al deployer como persona jurídica, y la FRIA, la supervisión cualificada y la notificación de incidentes son decisiones que requieren autoridad organizativa real. Sin la firma del consejo, sin el presupuesto asignado y sin el responsable designado formalmente, no existe cumplimiento.
El Director de Riesgos lidera este proceso porque la clasificación de sistemas, la FRIA y la gestión de incidentes son gestión de riesgo regulatorio. El CFO lo lidera porque el coste del incumplimiento - multas, restricciones de producto, daño reputacional - es un riesgo financiero que debe cuantificarse y, en su caso, provisionar como contingencia.
¿Cómo se construye un sistema de gobernanza de IA que cumpla con el EU AI Act?
No hay que construirlo desde cero. La ISO/IEC 42001:2023 cubre entre el 55% y el 65% de las obligaciones del AI Act para sistemas de alto riesgo, con cobertura alta en gobernanza, gestión de riesgos y documentación (ISO/IEC, 2023). Las primeras empresas certificadas en España - Izertis, Moeve, GMV, Lefebvre - documentan un coste de 12.000 a 40.000 euros en tres años para una empresa mediana. Es un coste de compliance; la multa por incumplimiento parte de los 7,5 millones.
Un marco de 7 pasos que el consejo puede aprobar en su próxima sesión:
1. Inventariar todos los sistemas de IA en uso o en desarrollo, incluidos los de proveedores externos. Sin inventario no hay clasificación; sin clasificación no hay compliance posible.
2. Clasificar el riesgo de cada sistema según los cuatro niveles del AI Act (inaceptable, alto, limitado, mínimo) y los criterios del Anexo III.
3. Asignar un responsable con autoridad real que responda ante el consejo del cumplimiento. No es un cargo honorífico: debe tener presupuesto y capacidad de veto sobre el despliegue de nuevos sistemas.
4. Implementar supervisión humana cualificada en sistemas de alto riesgo, con el principio de cuatro ojos del Art. 14: dos personas formadas con capacidad real de cuestionar y detener el sistema.
5. Revisar contratos con proveedores de IA e incluir cláusulas que asignen las obligaciones del AI Act según el rol de cada parte.
6. Acreditar la formación organizativa (Art. 4), obligatoria desde febrero de 2025. La norma exige alfabetización adaptada al rol de cada persona en relación con los sistemas que utiliza.
7. Establecer un dashboard trimestral al consejo con inventario actualizado, clasificación de riesgos, estado de logs, incidentes activos y comunicaciones con la AESIA.
El paso 7 es el que convierte los seis anteriores en un sistema vivo. Sin reporte periódico al consejo, los demás pasos se degradan en semanas.
¿Cuánto tiempo tiene el consejo para actuar?
La formación obligatoria del Art. 4 está vigente desde febrero de 2025. El inventario y la clasificación de riesgos son la base de todo lo que viene después. En la práctica, una empresa mediana que comience hoy tiene entre 6 y 18 meses de trabajo antes de poder sostener que opera con un nivel razonable de cumplimiento.
Quienes esperen a la primera sanción formal en España llegarán fuera del ciclo de auditoría de 2027. Y el riesgo no es solo la multa: la restricción de uso de sistemas de IA en procesos críticos durante el tiempo que dure un procedimiento sancionador puede generar un impacto operativo muy superior a la sanción económica.
La pregunta que el consejo debe responder en su próxima sesión no es “¿qué hace nuestro equipo técnico con la IA?”. Es: ¿sabemos qué sistemas de IA usamos, cuál es su nivel de riesgo bajo el AI Act, y quién responde ante el regulador?
Preguntas frecuentes sobre el EU AI Act y el consejo de administración
¿El EU AI Act se aplica solo a empresas que desarrollan inteligencia artificial?
No. Se aplica también a los deployers: cualquier empresa que utilice sistemas de IA en su actividad, aunque los haya adquirido a un tercero. Las obligaciones del Art. 26 son directas para el deployer, con independencia de quién haya desarrollado el sistema. Si lo usas en tu operativa, eres responsable ante el regulador.
¿Qué pasa si el proveedor clasifica el sistema como “riesgo mínimo”?
La clasificación del proveedor no exime al deployer. Si el contexto de uso en la organización cambia la naturaleza del sistema - por ejemplo, usar un chatbot de “bajo riesgo” para tomar decisiones de crédito o selección de personal - el deployer asume la responsabilidad de reclasificarlo y aplicar las obligaciones correspondientes.
¿Las multas del EU AI Act se acumulan con las del RGPD?
Sí. El Art. 99 del AI Act es explícito: las sanciones son compatibles con las del Reglamento General de Protección de Datos. Un incidente de IA que afecte a datos personales puede abrir procedimientos paralelos ante la AESIA y la AEPD, con sanciones independientes bajo cada norma.
¿Qué es la FRIA y quién la realiza en la organización?
La Evaluación de Impacto en Derechos Fundamentales (Art. 27) es un análisis previo al despliegue de sistemas de alto riesgo. Evalúa el impacto potencial sobre los derechos de las personas afectadas. La realiza el deployer, con participación de las funciones jurídica, de riesgos y de negocio. No es una tarea técnica que IT pueda completar por sí solo.
¿Qué cubre la ISO/IEC 42001 respecto al EU AI Act?
La ISO/IEC 42001:2023 cubre entre el 55% y el 65% de las obligaciones del AI Act para sistemas de alto riesgo, con cobertura alta en gobernanza y gestión de riesgos. Quedan fuera los requisitos de conformidad de producto, el registro en la base de datos europea y los plazos de notificación de incidentes del Art. 73, que requieren trabajo adicional específico.
Si quieres saber exactamente en qué posición está tu organización respecto al EU AI Act (qué sistemas tienes, cuál es su nivel de riesgo y qué pasos son prioritarios), el primer trabajo es siempre el inventario y la clasificación. Es el punto de partida de cualquier sistema de gobernanza de IA real. Podemos hacer ese análisis juntos en una sesión de trabajo sin compromiso.
Solicita tu sesión de diagnóstico de gobernanza IA
Por David M. Calduch
META: - Title SEO (56 car.): EU AI Act para consejos: gobernanza IA y responsabilidad directiva - Meta description (151 car.): El EU AI Act obliga a los consejos a supervisar la IA desplegada. Plazos, multas hasta 35M EUR y obligaciones del deployer. Guia para CFO y Director de Riesgos. - Slug: eu-ai-act-gobernanza-ia-responsabilidad-consejo-administracion - Keywords: EU AI Act gobernanza IA, responsabilidad consejo administracion AI Act, deployer EU AI Act obligaciones Art 26, multas EU AI Act España AESIA, ISO 42001 cumplimiento AI Act
Fuentes:
Parlamento Europeo y del Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689 European Artificial Intelligence Act. (2024). Article 99: Penalties. https://artificialintelligenceact.eu/article/99/ European Artificial Intelligence Act. (2024). Article 26: Obligations of deployers of high-risk AI systems. https://artificialintelligenceact.eu/article/26/ Diligent. (2026). AI governance: A guide for boards, risk and audit leaders. https://www.diligent.com/resources/blog/ai-governance GUBERNA. (2026). What should directors know about AI Act? https://www.guberna.be/en/know/what-should-directors-know-about-ai-act VantEdge Search. (2026). EU AI Act deadlines you can’t miss: A board compliance playbook. https://www.vantedgesearch.com/resources/blog/board-playbook-eu-ai-act-deadlines-you-cant-miss/