Una política corporativa no gobierna por sí sola los sistemas de IA. El problema aparece cuando no hay inventario, expediente, propietarios funcionales ni autoridad de suspensión.
Muchas organizaciones empiezan su gobernanza de inteligencia artificial escribiendo una política. Es comprensible: la política permite declarar principios, usos aceptables, prohibiciones, responsabilidades generales y pautas de seguridad. El problema aparece cuando esa capa documental se confunde con el sistema de gobierno.
La prueba es sencilla. Pregunte qué sistemas de IA están hoy operando, con qué finalidad, qué datos utilizan, quién responde funcionalmente de cada uno, qué modelo o proveedor interviene y quién puede suspenderlos. Si nadie puede contestar con precisión, la organización puede tener una política y seguir sin tener una arquitectura de gobernanza.
Gobernar empieza por identificar el objeto
El Reglamento (UE) 2024/1689 no trata todos los sistemas, posiciones y usos de la misma manera. La aplicación de obligaciones depende, entre otros factores, de la función del operador, de la configuración y de la clasificación jurídica relevante.
Por eso una política transversal no puede sustituir la identificación de cada sistema. La organización necesita saber qué existe antes de decidir qué régimen, controles y evidencias corresponden.
Una entrada mínima de inventario debería permitir distinguir:
- finalidad prevista y uso real;
- responsable interno;
- proveedor, modelo y versión;
- datos, memoria y fuentes principales;
- herramientas o sistemas conectados;
- personas o colectivos afectados;
- posición jurídica inicialmente asignada;
- estado: prueba, producción, suspendido o retirado;
- fecha y razón de la última revisión.
No se trata de inventariar cualquier función informática que utilice una técnica de IA. Se trata de poder identificar las configuraciones que producen efectos jurídicos u organizativos relevantes.
El expediente es más importante que la política aislada
Una política responde a «cómo queremos actuar». Un expediente de sistema debe responder a «qué está ocurriendo aquí, quién lo ha decidido y qué ha cambiado».
Por eso el expediente no es un formulario de alta que se archiva. Debe mantener, de forma proporcional:
- identidad y finalidad del sistema;
- posiciones y funciones de los operadores;
- datos, fuentes, memoria e integraciones;
- decisiones de clasificación y aceptación;
- controles, supervisión y permisos;
- incidentes y medidas correctivas;
- cambios de modelo, proveedor, finalidad o autonomía;
- decisión de suspensión, reactivación o retirada.
La estructura de expediente de gobernanza permite convertir esa lógica en una unidad mantenida.
El punto crítico: quién puede detener
Una organización puede tener comités, políticas, revisiones y matrices de riesgo y seguir sin haber resuelto una pregunta elemental: ¿quién tiene autoridad para detener el sistema cuando aparece una diferencia material?
La capacidad de suspensión no debe improvisarse durante un incidente. Tiene que estar asignada de antemano y ser materialmente ejecutable.
Eso implica distinguir al menos:
- quién detecta una desviación;
- quién evalúa su materialidad;
- quién puede limitar permisos o funciones;
- quién puede ordenar suspensión completa;
- quién conserva la evidencia antes de modificar;
- quién decide reanudar;
- qué condiciones deben cumplirse antes de volver a producción.
Una escalada que necesita varios días, autorizaciones no definidas o acceso exclusivo del proveedor puede no ser una capacidad real de parada para determinados efectos.
La gobernanza fracasa cuando la arquitectura cambia sin memoria
El segundo fallo habitual aparece después del alta inicial. El sistema entra con una finalidad, una versión y un proveedor determinados. Después se amplía el acceso, cambia el modelo, se añade memoria, se conectan nuevas herramientas o se introduce en un proceso más sensible.
Si esos cambios no vuelven al expediente, la organización termina gobernando una versión jurídica del sistema que ya no coincide con el sistema real.
La regla debe ser sencilla: un cambio se reabre cuando puede modificar obligación, posición, riesgo, arquitectura, fecha relevante, supervisión o evidencia.
No todo cambio exige el mismo nivel de revisión. Pero la organización debe saber por qué no lo exige.
Criterio H&C
La gobernanza de IA no debe medirse por el número de documentos aprobados. Debe medirse por la capacidad de la organización para mantener jurídicamente identificada una configuración que cambia.
Esa capacidad exige, como mínimo:
inventario → expediente → responsables → autoridad → controles → evidencia → cambio → suspensión/retirada.
Una política puede ordenar el lenguaje común. No puede sustituir esa secuencia.
Un test de realidad
La organización debería poder responder, para un sistema concreto y sin iniciar una investigación interna de varios días:
- qué hace;
- para qué se usa;
- quién lo gobierna;
- qué proveedor y versión intervienen;
- qué datos y herramientas utiliza;
- qué decisiones dependen de él;
- quién supervisa;
- quién puede detener;
- qué cambió desde la última revisión;
- dónde está la evidencia de esas decisiones.
Si la respuesta no existe, el problema no es necesariamente que falte otra política. Puede faltar la unidad de gobierno.
El Diagnóstico de madurez jurídica y operativa sirve para localizar esos vacíos sin convertirlos en una puntuación automática de cumplimiento. El objetivo no es obtener un semáforo: es decidir qué diferencia debe cerrarse primero.
Fuentes y referencias
Fuentes primarias
- Reglamento (UE) 2024/1689 de Inteligencia Artificial · texto consolidado · Derecho vigente