Checklist de gobernanza de la IA para el consejo

Respuesta breve: una buena gobernanza de la IA en una empresa mediana española exige un alto directivo responsable con nombre y apellidos, una política breve de uso de la IA, un registro de dónde se utiliza, una revisión de riesgos antes de poner en marcha cualquier uso nuevo y un informe periódico al consejo. El Reglamento Europeo de IA, el RGPD y el deber de diligencia de los administradores marcan el perímetro. La checklist que sigue lo convierte en preguntas para el consejo.

La mayoría de los consejos con los que hablo saben que deberían gobernar la IA. Menos saben qué significa eso en la práctica, y a algunos les preocupa que suponga construir el tipo de marco que tiene un gran banco. No es así. Lo que sigue es proporcionado, se basa en la normativa vigente a 21 de octubre de 2026 y está pensado para que pueda llevarlo a su próxima reunión del consejo.

Es información general, no asesoramiento jurídico. Confirme sus obligaciones concretas con sus propios asesores.

Qué exige hoy la normativa en España

El marco ha cambiado deprisa, así que conviene tener claro qué está vigente.

El Reglamento Europeo de IA ya se aplica, por fases. El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y se aplica directamente en España, sin necesidad de una ley nacional. Distingue entre quien desarrolla un sistema de IA (el «proveedor») y quien lo utiliza bajo su autoridad (el «responsable del despliegue»). La mayoría de las empresas medianas son responsables del despliegue: usan herramientas de terceros. En julio de 2026, el Ómnibus digital sobre IA, Reglamento (UE) 2026/1744, aplazó las obligaciones de los sistemas de alto riesgo y añadió nuevas prohibiciones. El calendario que afecta a una empresa usuaria queda así:

Desde	Qué se aplica a quien usa IA
2 de febrero de 2025	Prácticas prohibidas (artículo 5), entre ellas inferir las emociones de las personas en el lugar de trabajo, la puntuación social y las técnicas manipuladoras. Alfabetización en IA (artículo 4).
2 de agosto de 2026	Aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50 y el régimen sancionador.
2 de diciembre de 2026	Nueva prohibición: sistemas que generan imágenes, vídeos o audios íntimos o sexualmente explícitos realistas de una persona identificable sin su consentimiento.
2 de diciembre de 2027	Obligaciones de los sistemas de alto riesgo del anexo III, como los de selección de personal, evaluación del rendimiento, solvencia crediticia y precios de seguros de vida y salud.
2 de agosto de 2028	Sistemas de alto riesgo integrados en productos regulados (anexo I), como maquinaria o productos sanitarios.

Fuentes: los artículos 5, 50 y 113 del Reglamento, en la redacción del Reglamento (UE) 2026/1744, y el resumen de la Comisión Europea.

Tres puntos merecen la atención del consejo. Primero, la alfabetización en IA: tras el Ómnibus, el artículo 4 obliga a adoptar medidas para apoyar la alfabetización en IA del personal que utiliza estos sistemas, teniendo en cuenta su formación y el contexto de uso, aunque no exige garantizar un nivel concreto. Segundo, los sistemas de alto riesgo: si la empresa usa IA para filtrar candidatos, evaluar a empleados o decidir el crédito de un cliente, el artículo 26 le exige usarla según las instrucciones del proveedor, asignar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, vigilar su funcionamiento, conservar los registros al menos seis meses, informar a los trabajadores y a sus representantes antes de usarla en el lugar de trabajo e informar a las personas sobre las que se toman decisiones. Las entidades que evalúan la solvencia o fijan precios de seguros de vida y salud deben hacer además una evaluación de impacto en los derechos fundamentales (artículo 27). Tercero, las sanciones: hasta 35 millones de euros o el 7% de la facturación mundial por usar prácticas prohibidas, y hasta 15 millones o el 3% por incumplir las obligaciones del responsable del despliegue o de transparencia (artículo 99). Y una advertencia: si la empresa pone su marca a un sistema de alto riesgo, lo modifica sustancialmente o le da una finalidad que lo convierte en alto riesgo, pasa a tener las obligaciones de un proveedor (artículo 25).

La ley española todavía no existe. El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que debía designar las autoridades españolas, regular los espacios controlados de pruebas y fijar el régimen sancionador. El proyecto entró en el Congreso, pero figura como caducado desde el 6 de octubre de 2026, cuando el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones para el 29 de noviembre. Tendrá que volver a presentarse en la próxima legislatura. Nada de esto retrasa el Reglamento europeo, que ya se aplica.

La AESIA ya funciona. La Agencia Española de Supervisión de Inteligencia Artificial, con sede en A Coruña, se creó con el Real Decreto 729/2023 para supervisar los sistemas de IA, asesorar y formar. Ha publicado 16 guías prácticas elaboradas en el entorno español de pruebas regulatorias, sobre gestión de riesgos, supervisión humana, transparencia y gestión de incidentes, entre otros temas. No son vinculantes y la propia Agencia indica que las actualizará tras el Ómnibus, pero son una buena referencia en español.

El RGPD sigue siendo el marco principal. Casi todos los usos de la IA en una empresa tocan datos personales, y ahí manda el RGPD, junto con la Ley Orgánica 3/2018 (LOPDGDD). Cuatro artículos importan especialmente: el 22, que da derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a la persona, y a obtener intervención humana cuando se permiten; el 13, que obliga a informar de la existencia de esas decisiones y de la lógica aplicada; el 35, que exige una evaluación de impacto antes de tratamientos de alto riesgo, en particular con nuevas tecnologías; y el 33, que obliga a notificar las brechas de seguridad a la AEPD en 72 horas cuando haya riesgo. La AEPD publicó en enero de 2026 un decálogo sobre el uso de herramientas de IA que recomienda no compartir datos personales con la IA y, en el trabajo, respetar las políticas de la organización, y en febrero unas orientaciones sobre la IA agéntica para empresas que usan sistemas que actúan de forma autónoma.

La plantilla tiene derecho a saber. El Estatuto de los Trabajadores, en su artículo 64.4.d), reconoce al comité de empresa el derecho a ser informado de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre las condiciones de trabajo y el acceso y mantenimiento del empleo, incluida la elaboración de perfiles. Es una obligación española que ya está en vigor y que a menudo se olvida.

Los consejeros responden con su deber de diligencia. La Ley de Sociedades de Capital no menciona la IA, pero no hace falta. El artículo 225 exige a los administradores la diligencia de un ordenado empresario, adoptar las medidas precisas para la buena dirección y el control de la sociedad, y recabar la información adecuada y necesaria para cumplir sus obligaciones. El artículo 226 protege sus decisiones estratégicas si actúan de buena fe, sin interés personal, con información suficiente y con un procedimiento de decisión adecuado. El artículo 249 bis reserva al consejo la supervisión de los directivos y la determinación de las políticas generales, y en las sociedades cotizadas el artículo 529 ter le reserva la política de control y gestión de riesgos. Dicho de otro modo: un consejo que aprueba inversiones en IA sin información suficiente, o que no sabe dónde se usa la IA en la empresa, tiene difícil acogerse a esa protección.

Que sea proporcionado

No hace falta hacerlo todo a la vez. Empiece con un nivel básico en todas las preguntas y añada profundidad a medida que crezca el uso de la IA.

En una empresa mediana, eso suele significar una política de una o dos páginas, un registro de usos en una hoja de cálculo, una revisión breve para cada uso nuevo y un informe periódico al consejo. El esfuerzo debe seguir al riesgo. Una herramienta de IA que redacta textos de marketing necesita un control más ligero que una que preselecciona candidatos o decide a quién se le aplica un descuento, y esta última puede ser, además, un sistema de alto riesgo.

La checklist de gobernanza de la IA

Doce preguntas, divididas entre lo que debe preguntar el consejo y lo que la dirección debe poder demostrar. «Cómo es una buena respuesta» es lo que usted espera oír.

Para el consejo

Pregunta	Cómo es una buena respuesta
1. ¿Quién es el responsable de la IA?	Un alto directivo con nombre y apellidos es responsable de la gobernanza de la IA, con la autoridad, el tiempo y el presupuesto necesarios. El consejo sabe quién es, y cada sistema de IA en uso tiene también un responsable.
2. ¿Cuál es nuestro apetito de riesgo en IA?	El consejo y la dirección han acordado qué usos están permitidos, cuáles necesitan aprobación y cuáles están vetados, empezando por las prácticas prohibidas del Reglamento, y ese criterio está recogido en la política de control y gestión de riesgos.
3. ¿Sabemos dónde se usa la IA?	Hay un registro actualizado de los usos de la IA, incluidas las funciones de IA integradas en el software que ya se paga y las herramientas que la plantilla usa por iniciativa propia, con los posibles sistemas de alto riesgo señalados. El consejo lo revisa al menos una vez al año.
4. ¿Tenemos los conocimientos para supervisarlo?	Los consejeros han recibido una sesión práctica sobre IA en el último año y han usado las herramientas personalmente. La dirección tiene un plan de alfabetización en IA para la plantilla, empezando por quienes son responsables de un sistema o lo supervisan.
5. ¿Qué información recibe el consejo, y con qué frecuencia?	Un informe periódico recoge los cambios en el registro, los usos de mayor riesgo, los incidentes, el estado del cumplimiento del Reglamento y del RGPD, y si cada iniciativa de IA está dando el retorno previsto en su business case.

Para la dirección

Pregunta	Cómo es una buena respuesta
6. ¿Conoce la plantilla las reglas?	Una política breve de uso de la IA fija las herramientas aprobadas, los datos que nunca deben introducirse en ellas y cuándo una persona debe revisar el resultado. La plantilla la ha leído, ha recibido formación y sabe a quién preguntar.
7. ¿Cómo protegemos los datos personales?	No se introducen datos personales ni categorías especiales de datos en herramientas de IA públicas. Cada uso nuevo con datos personales tiene base jurídica, figura en el registro de actividades de tratamiento y, si es de alto riesgo, cuenta con una evaluación de impacto. Las cláusulas informativas explican las decisiones automatizadas.
8. ¿Cómo revisamos el riesgo antes de poner algo en marcha?	Cada uso nuevo pasa por una revisión rápida que comprueba si es una práctica prohibida o un sistema de alto riesgo. Los usos de mayor riesgo, sobre todo las decisiones sobre personas, reciben una evaluación más completa, una persona que revisa el resultado y un punto claro en el que alguien puede pausarlo o corregirlo.
9. ¿Qué hacen nuestros proveedores con nuestros datos?	Los contratos regulan cómo se usan y dónde se almacenan sus datos, si se usan para entrenar los modelos del proveedor, las transferencias fuera del Espacio Económico Europeo y cómo se le avisará de los cambios, con un contrato de encargo del tratamiento cuando proceda. Se ha pedido al proveedor evidencia de que el producto se ha probado para su uso y la documentación que exige el Reglamento. El AI Vendor Due Diligence Scorecard recoge las preguntas que conviene hacer.
10. ¿Cómo sabemos que sigue funcionando?	Cada sistema se prueba con casos reales antes de lanzarlo, y su responsable comprueba después la precisión y el comportamiento, porque los sistemas de IA pueden cambiar con el tiempo. Los controles de datos y ciberseguridad existentes cubren también la IA, y los registros de los sistemas de alto riesgo se conservan.
11. ¿Saben los clientes y la plantilla cuándo interviene la IA?	Los chatbots se identifican claramente como IA, los contenidos sintéticos se etiquetan cuando el Reglamento lo exige, el comité de empresa está informado de los algoritmos que afectan a las condiciones de trabajo y cualquier persona afectada por una decisión asistida por IA puede cuestionarla y hablar con una persona.
12. ¿Qué pasa cuando algo sale mal?	Hay un proceso de incidentes sencillo: registrarlo, pausar o revertir el sistema, comprobar si hay que notificar una brecha a la AEPD en 72 horas o un incidente grave al proveedor y a la autoridad, corregir la causa e informar al consejo. Los procesos críticos pueden seguir funcionando sin la IA.

Si la dirección puede responder a las doce con evidencias, su empresa está en buena forma para su tamaño. Si varias respuestas son «todavía no», es lo normal. Empiece por las preguntas 1, 3, 6 y 8: un responsable, un registro, una política y una revisión de riesgos. Esas cuatro cubren la mayor parte de la exposición, y son también la base para demostrar las medidas de alfabetización que exige el artículo 4.

La gobernanza debe ayudarle a ir más rápido

Una buena gobernanza no está para frenar la IA. Es lo que permite al consejo aprobar iniciativas de IA con confianza, en lugar de preocuparse por lo que ocurre fuera de su vista.

El control más eficaz que he utilizado no fue una comisión ni un documento de política. Fue un paso dentro del flujo de trabajo: en el programa de traducción con IA que dirigí, una persona revisaba y aprobaba cada borrador de la IA antes de publicarlo. Es gobernanza integrada en el trabajo, no añadida después. La misma lógica está detrás de las cuatro preguntas que propongo hacer a cualquier iniciativa de IA en La IA en el mid-market, incluida «¿qué pasa cuando se equivoca, y quién lo detecta?».

La carencia más habitual que veo es la de la pregunta 1. La gobernanza de la IA necesita un responsable con tiempo para ejercerla, y en muchas empresas medianas nadie de la alta dirección lo tiene. Si es su caso, he escrito sobre si su empresa necesita un Chief AI Officer y sobre cuánto cuesta un Chief AI Officer en España.

Por dónde empezar

Para la pregunta 6, puede partir de mi plantilla de política de uso de IA, gratuita y adaptada al Reglamento Europeo de IA y al RGPD. Para ver dónde está su empresa, haga mi AI Readiness Scorecard gratuito: se tarda unos cinco minutos y la gobernanza es una de las cinco áreas que analiza. Si quiere ayuda para poner en práctica esta checklist, trabajo con equipos directivos del mid-market como Fractional Chief AI Officer, un directivo a tiempo parcial en la línea del interim management, siempre en inglés. También puede ponerse en contacto conmigo para hablar de su situación.