AI governance en la práctica: garantizar el cumplimiento de las normativas, gestionar los riesgos y reforzar la resiliencia

Cómo pueden implementar las organizaciones la AI governance de una manera estructurada y defendible, desde los requisitos normativos de la UE hasta los marcos legales prácticos, las herramientas y la capacitación de los empleados.

Contenido

1. Definición: ¿Qué es la AI governance?
2. Normativa sobre la IA
3. Verificador de cumplimiento de la Ley de IA de la UE
4. AI governance standards
5. AI governance frameworks
6. AI governance roadmap: implementación de la AI governance
7. Herramientas de AI governance

Resumen: AI governance

• La AI governance se está convirtiendo en un requisito normativo en virtud de la Ley de IA de la UE, con obligaciones que se están introduciendo por fases a partir de 2025 y que se ampliarán con el tiempo.
• Unas funciones, responsabilidades y políticas claras ayudan a las organizaciones a mantener el control y a garantizar la trazabilidad de las decisiones impulsadas por la IA.
• Marcos legales como la norma ISO/IEC 42001 y el Marco de Gestión de Riesgos de la IA del NIST proporcionan una guía estructurada para la implementación.
• La formación en concienciación basada en el comportamiento puede ayudar a los empleados a reconocer y responder a los riesgos relacionados con la IA en el trabajo diario.
• Las herramientas de AI governance combinadas permiten la supervisión continua, la preparación para auditorías y el seguimiento del cumplimiento de las normativas en todos los sistemas con IA.

Definición: ¿Qué es la AI governance?

La AI governance es el marco organizativo y técnico que las organizaciones utilizan para gestionar, controlar y asumir la responsabilidad sobre cómo se desarrolla, se despliega y se utiliza la inteligencia artificial. 

Establece responsabilidades claras, define cómo se gestionan los riesgos y describe las expectativas de transparencia, seguridad y uso ético. Esto proporciona a los equipos una estructura práctica para la supervisión, el cumplimiento de las normativas y las auditorías.

Normativa sobre la IA: establecer una seguridad jurídica a nivel mundial

La normativa sobre la IA está evolucionando rápidamente en todas las regiones. Los Gobiernos y los organismos de normalización están introduciendo normas y orientaciones sobre cómo deben utilizar y controlar la IA las organizaciones, con una mezcla de requisitos vinculantes y marcos legales voluntarios.

Para las organizaciones que operan a nivel internacional, esto puede ser difícil de seguir. Mantener una visión clara de los requisitos pertinentes ayuda a reducir el riesgo de incumplimiento de las normativas y favorece una governance más coherente en todos los equipos.

Normativa sobre la IA: aportar claridad en un panorama cambiante

La normativa de la IA está evolucionando rápidamente en todas las regiones. Los Gobiernos y los organismos de normalización están introduciendo normas y orientaciones sobre cómo deben utilizar y controlar la IA las organizaciones, con una mezcla de requisitos vinculantes y marcos legales voluntarios.

Para las organizaciones que operan a nivel internacional, esto puede ser difícil de seguir. Mantener una visión clara de los requisitos pertinentes ayuda a reducir el riesgo de incumplimiento de las normativas y favorece una governance más coherente en todos los equipos.

Panorama internacional: dónde ya es necesaria o está surgiendo la AI governance

La Ley de IA de la UE es uno de los primeros marcos legales exhaustivos para regular el uso de la inteligencia artificial. Ya está determinando cómo abordan las organizaciones la AI governance, tanto dentro como fuera de Europa.

Sigue un enfoque basado en el riesgo, en el que las obligaciones dependen de cómo se utilicen los sistemas de IA y del nivel de riesgo que supongan. Se espera que las organizaciones cumplan los requisitos de transparencia, documentación y gestión de riesgos, sobre todo en el caso de los sistemas de alto riesgo.

Estas obligaciones se introducen por fases, y los requisitos clave se aplicarán entre 2025 y 2027. Las organizaciones que empiezan a crear estructuras de governance con antelación están mejor posicionadas para adaptarse a medida que los requisitos entren en vigor.

Al mismo tiempo, normativas como la Directiva NIS2 aumentan las expectativas en materia de ciberseguridad y resiliencia organizativa. En la práctica, esto también centra más la atención en los factores humanos, como la forma en que los empleados reconocen los riesgos y responden en situaciones reales.

La AI governance ya no se limita a las mejores prácticas voluntarias. En algunas regiones ya es de obligado cumplimiento, mientras que en otras se configura a través de normas sectoriales o de nueva legislación.

Para las organizaciones que operan en varios mercados, el reto no es solo el cumplimiento de las normativas. Consiste en alinear los enfoques de governance en los diferentes sistemas jurídicos sin crear procesos paralelos ni gastos operativos adicionales.

Verificador de cumplimiento de la Ley de IA de la UE: ¿Me afecta?

La Ley de IA de la UE no solo afecta a los proveedores de tecnología. También puede afectar a las organizaciones que desarrollan, comercializan, importan, distribuyen o utilizan determinados sistemas de IA en la UE, según su función y cómo se utilice el sistema en virtud de la Ley de IA oficial de la UE.

Un verificador de cumplimiento puede ayudar a los equipos a realizar una evaluación inicial. Puede mostrar si un caso de uso de la IA puede pertenecer a una categoría pertinente y qué cuestiones necesitan una revisión legal o de cumplimiento de las normativas más detallada. Debe considerarse un punto de partida, no un sustituto de una evaluación completa. El calendario de la Ley de IA de la Comisión Europea deja claro que las obligaciones se aplican por fases: algunas normas se aplican desde el 2 de febrero de 2025, la Ley pasa a ser de aplicación general el 2 de agosto de 2026 y algunos requisitos para determinados sistemas de alto riesgo se amplían hasta el 2 de agosto de 2027.

Dentro de un programa de AI governance más amplio, este paso inicial de determinación del alcance es útil porque las organizaciones que saben dónde se utiliza la IA, qué riesgos conlleva y quién es el responsable de cada caso de uso están en mejores condiciones para establecer los controles adecuados antes de que el trabajo de cumplimiento de las normativas sea urgente. Eso hace que el uso de la IA sea más fácil de gestionar, de documentar y de gobernar con el tiempo.

AI governance standards: qué debe cubrir la AI governance

Independientemente del tamaño de la organización, una AI governance eficaz suele necesitar algunos elementos básicos:

• Evaluaciones de riesgos para los casos de uso de IA pertinentes.
• Documentación clara y supervisión continua.
• Procesos que favorezcan la calidad, la revisión y la trazabilidad.
• Responsabilidades definidas y controles para la toma de decisiones.
• Coordinación con los procesos de protección de datos y ciberseguridad.
• Formación que ayude a los empleados a comprender los riesgos y a utilizar la IA de forma más responsable.

Estos componentes básicos pueden estructurarse a través de AI governance standards reconocidas como la ISO/IEC 42001:2023, que constituye un marco para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la IA. Es una norma voluntaria, pero ofrece a las organizaciones una forma práctica de gestionar el riesgo relacionado con la IA, al tiempo que fomenta la rendición de cuentas y la mejora continua.

Convierte la AI governance en una práctica cotidiana

Reserva una demo

La AI governance funciona mejor cuando los empleados saben a qué atenerse en el trabajo diario. SoSafe lo facilita con una formación en ciberseguridad que ayuda a los equipos a reconocer los riesgos relacionados con la IA y a tomar decisiones más seguras sobre la marcha.

AI governance frameworks: guía para la AI governance

Una AI governance eficaz necesita algo más que el cumplimiento de las normativas. También depende de marcos legales prácticos que conviertan las expectativas jurídicas, éticas, técnicas y organizativas en procesos que los equipos puedan ejecutar realmente.

Varios organismos internacionales han publicado marcos legales y normas centrados en la IA que las organizaciones pueden utilizar como guía. Algunas son normas certificables, otros son marcos legales voluntarios y otros son principios destinados a respaldar las políticas y la toma de decisiones.

En la siguiente tabla se destacan algunos de los principales AI governance frameworks que se utilizan en la actualidad.

Consejo práctico: En la práctica, muchas organizaciones combinan estos enfoques. Por ejemplo, pueden utilizar la norma ISO/IEC 42001 como base del sistema de gestión y, a continuación, recurrir al Marco de Gestión de Riesgos de la IA del NIST para un trabajo de riesgo más detallado. Eso puede crear una estructura de governance más funcional, especialmente cuando las organizaciones necesitan equilibrar el cumplimiento de las normativas, la rendición de cuentas interna y el uso operativo diario.

AI governance roadmap: implementación de la AI governance

Esta AI governance roadmap ofrece a las organizaciones una forma práctica de crear una AI governance paso a paso, con una responsabilidad clara, controles funcionales y pruebas que respalden la supervisión y el cumplimiento de las normativas.

1. Identificar los casos de uso y los riesgos de la IA
Empieza por identificar dónde se utiliza o se planea utilizar la IA en toda la organización. Incluye herramientas, fuentes de datos, integraciones y sistemas de terceros. A continuación, evalúa dónde podrían afectar estos casos de uso a las personas, los procesos de negocio, la seguridad, la privacidad o las obligaciones normativas.

2. Definir la estructura de governance
Asigna una responsabilidad clara en los equipos de TI, seguridad, jurídico, protección de datos y negocio pertinentes. Define las funciones y los derechos de decisión de una forma que sea fácil de seguir. Para los casos de uso de mayor riesgo, establece un proceso de revisión que abarque las aprobaciones, las excepciones y las decisiones sobre riesgos documentadas. Cuando sea pertinente, esto debe conectarse con los procesos existentes de privacidad, auditoría y riesgo.

3. Establecer principios y normas internas
Establece principios claros sobre cómo debe utilizarse la IA en toda la organización. Estos suelen cubrir la transparencia, la rendición de cuentas, la supervisión humana, la documentación y el uso aceptable. El objetivo es que estos principios sean lo suficientemente prácticos como para guiar las adquisiciones, el desarrollo, la implantación y el uso diario.

4. Evaluar y clasificar los riesgos de la IA
Revisa cada caso de uso en función de su objetivo, impacto y contexto normativo. Según el ámbito y las normas de aplicación de la Ley de IA de la UE, las obligaciones dependen de la función de la organización y de la categoría de riesgo del sistema. En el caso de los sistemas de mayor riesgo, pueden incluirse requisitos relacionados con la gestión de riesgos, la documentación, el registro de actividades, la supervisión humana y la ciberseguridad. El calendario de la Ley de IA de la Comisión Europea también deja claro que estas obligaciones se aplican por fases entre 2025 y 2027.Si utilizas IA generativa, puede que también necesites comprobaciones adicionales. En algunos casos, existen obligaciones de transparencia, como marcar o etiquetar el contenido generado por IA. Las pruebas de seguridad también pueden ser adecuadas para casos de uso sensibles, pero no deben tratarse como un requisito legal general para cada implementación de IA. Las directrices de la Comisión sobre los modelos de IA de uso general son un punto de referencia útil en estos casos.

5. Implementar la gobernanza de datos
Establece normas sobre cómo se seleccionan, se accede a ellos, se documentan, se conservan y se eliminan los datos. Esto debe cubrir la calidad de los datos, la procedencia, los permisos y la trazabilidad. Para los sistemas de IA, eso también significa tener claro qué datos se utilizan para la formación, la mejora, la fundamentación o la inferencia, y qué controles se aplican en cada etapa.

6. Gestionar el ciclo de vida completo
La AI governance debe cubrir el ciclo de vida completo, no solo la implementación. Eso incluye el diseño, las pruebas, el lanzamiento, la supervisión, la gestión de cambios y la retirada. Un enfoque estructurado del ciclo de vida también es coherente con la ISO/IEC 42001:2023, que fija los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la IA.

Siempre que sea posible, conecta este trabajo a los sistemas operativos existentes en lugar de crear un proceso paralelo. Por ejemplo, las aprobaciones, los incidentes y las solicitudes de cambio pueden encajar de forma más natural en los flujos de trabajo de gestión de servicios de TI y de riesgos ya establecidos.

7. Incorporar seguridad y barreras de protección
Los sistemas de IA pueden introducir riesgos de seguridad como la inyección de instrucciones, los resultados no seguros, la fuga de datos o el uso indebido de las herramientas conectadas. Por eso, las organizaciones deben definir mecanismos de protección desde el principio, como la supervisión, los controles de acceso, las pruebas y los procesos de respuesta. Los controles exactos variarán según el caso de uso, pero la seguridad debe integrarse en la governance desde el principio, no añadirse después. Para los sistemas de IA de alto riesgo, el marco normativo de la Ley de IA de la UE también incluye obligaciones de ciberseguridad.

8. Revisar a los terceros y las cadenas de suministro
Los proveedores de IA de terceros deben evaluarse con el mismo cuidado que los sistemas internos. Revisa cómo utilizan los datos, dónde tiene lugar el procesamiento, qué dependencias del modelo existen y qué pruebas pueden aportar. También merece la pena comprobar los derechos de auditoría, la subcontratación y cómo se comunican los cambios en el servicio. Esto es importante porque la governance a menudo falla a nivel del proveedor, especialmente cuando los equipos dependen de herramientas que no adquirieron originalmente.

9. Fomentar la formación y la concienciación

Los empleados deben entender cómo cambia la IA el riesgo del día a día, no solo lo que dice la política. Esto supone saber cuándo cuestionar los resultados, cuándo escalar las preocupaciones y cómo utilizar las herramientas aprobadas de forma responsable. La formación y la concienciación ayudan a que la governance sea aplicable en la práctica, especialmente porque el artículo 4 de la Ley de IA sobre alfabetización en materia de IA exige que los proveedores y los implementadores tomen medidas, en la medida de lo posible, para garantizar un nivel suficiente de alfabetización en materia de IA entre sus empleados y otras personas que utilicen sistemas de IA en su nombre.

Facilita la detección de los riesgos de la IA

Reserva una demo

Con la formación en concienciación interactiva de SoSafe, los empleados aprenden a reconocer los riesgos relacionados con la IA en el trabajo diario y a responder con más confianza.

10. Medir, notificar y mejorar

Define métricas claras sobre el rendimiento de los sistemas de IA y la gestión de los riesgos a lo largo del tiempo. Estas pueden incluir indicadores como la deriva del modelo, los tiempos de respuesta a incidentes o el porcentaje de resultados inexactos o engañosos. Revisa los resultados con regularidad, realiza auditorías cuando sea necesario y utiliza los hallazgos para mejorar los controles y los procesos de governance de forma continua.

Herramientas de AI governance: una comparación rápida de cinco opciones muy utilizadas

Desde la gestión de políticas hasta la supervisión de modelos, las herramientas adecuadas pueden facilitar la aplicación de la AI governance en la práctica. Las cinco opciones siguientes cubren diferentes partes del sistema de governance, por lo que la mejor opción dependerá de si tu prioridad es el cumplimiento de las normativas, la gobernanza de datos, las operaciones de los modelos o la supervisión continua.

Recomendación para las empresas europeas

• Empieza por tus objetivos de governance. Para las organizaciones que trabajan con sistemas de IA de alto riesgo en el marco de la Ley de IA de la UE, el proceso de selección debe guiarse por las obligaciones que realmente se aplican a su función y caso de uso. Estas pueden incluir la gestión de riesgos, la gobernanza de datos, la documentación técnica, el registro de actividades, la supervisión humana, la evaluación de la conformidad, el marcado CE para los sistemas de alto riesgo que cumplan los requisitos y la notificación de incidentes graves.
• Utiliza un enfoque combinado cuando sea necesario. En la práctica, una sola herramienta rara vez cubre toda la cadena. Una capa de governance como Credo AI puede facilitar la gestión de políticas y las pruebas de auditoría, mientras que herramientas como Microsoft Purview, Collibra o Velotix son más adecuadas para la gobernanza de datos y el control de acceso. Para la supervisión de la producción, una capa de observabilidad y control en tiempo de ejecución como SUPERWISE puede añadir supervisión, mecanismos de protección y registros de auditoría.
• Prioriza las herramientas que sean compatibles con los requisitos de pruebas de la UE. Para las empresas europeas, no basta con que una herramienta ofrezca únicamente paneles de métricas. Debe ayudar a los equipos a documentar procesos, asignar funciones, mantener registros de pruebas y facilitar la supervisión y la gestión de incidentes a lo largo del tiempo. Esto es especialmente importante en los casos de uso de mayor riesgo, en los que la Ley impone requisitos más estrictos en materia de documentación, supervisión y seguimiento poscomercialización.