Gobernar la IA en tu organización no va a prohibir…

Va de saber dónde está, quién la usa y con qué datos…

Cerramos esta serie con el tema más incómodo y, probablemente, el más relevante para quien firma decisiones en una organización. La IA ya está dentro de la empresa, en muchos casos sin que el comité de dirección sepa exactamente dónde, cómo ni con qué datos. Esta entrega no va de prohibir ni de instalar miedo. Va de qué herramientas, estructuras y procesos existen hoy para usar IA sin perder el control y sin que un fallo se transforme en sanción, demanda o crisis reputacional.

Miguel Quílez

Director · Hiberus Booster

Acompaña a directivos y equipos en la adopción seria y sostenible de IA. Emprendedor y divulgador. Escribe sobre IA aplicada al negocio en Hiberus Booster y en LinkedIn.

LinkedIn: linkedin.com/in/miguelquilez

Web: hiberusbooster.com

Repasamos cuatro frentes:

• el marco legal europeo,
• los estándares internacionales,
• los modelos de gobernanza interna y
• los KPIs que dan trazabilidad.

I. El marco legal: AI Act, AI Omnibus y la realidad del 2026

El Reglamento de Inteligencia Artificial europeo (AI Act) entró en vigor el 1 de agosto de 2024. Su despliegue es escalonado: el 2 de febrero de 2025 empezaron a aplicarse las prohibiciones de prácticas inaceptables (manipulación, categorización biométrica con fines sensibles, reconocimiento de emociones en trabajo o aula, social scoring). El 2 de agosto de 2025 entraron en vigor las obligaciones para modelos de propósito general (GPAI) y el régimen sancionador con multas de hasta 35 millones de euros o el 7% de la facturación global anual. La AI Office europea está operativa.

La novedad de mayo de 2026 es relevante: el llamado AI Omnibus, acuerdo político entre Consejo y Parlamento Europeo el 7 de mayo de 2026, pospone las obligaciones de los sistemas de alto riesgo del Anexo III (los más comunes en empresa: scoring crediticio, selección de personal, gestión laboral, educación) del 2 de agosto de 2026 al 2 de diciembre de 2027. Las del Anexo I (sistemas embebidos en productos regulados) se posponen al 2 de agosto de 2028. La razón oficial: retraso en la publicación de las normas armonizadas que las empresas necesitan para auditar el cumplimiento.

Lo que NO se pospone, importante: las prohibiciones del artículo 5 (en vigor desde febrero de 2025 y ampliadas en el Omnibus con la prohibición de nudificadores), las obligaciones de modelos GPAI (en vigor desde agosto de 2025) y una nueva obligación de marcado de contenido sintético (watermarking) con plazo reducido a tres meses y entrada en vigor el 2 de diciembre de 2026. A nivel nacional, Italia ya tiene Ley 132/2025 desde el 10 de octubre de 2025 con multas de hasta 774.685 euros y, novedad, delito penal específico por deepfakes con pena de 1 a 5 años de prisión. Es la primera ley nacional europea de desarrollo del AI Act.

Mensaje para directivos: la prórroga del Omnibus no significa que se pueda esperar. Significa que hay 18 meses extra para preparar la infraestructura, no para ignorar el reglamento. Cero sanciones formales por AI Act se han impuesto a mayo de 2026, pero el marco está activo y los reguladores nacionales se están armando.

BOSCO: el caso que cambió la transparencia algorítmica en España

BOSCO es el algoritmo que las eléctricas usan en España para tramitar el bono social eléctrico, una ayuda pública para familias vulnerables. La fundación Civio, dedicada a la transparencia, detectó en 2018 que el algoritmo denegaba ayudas a personas que sí tenían derecho. Pidió el código fuente al Ministerio para auditarlo. Le respondieron que estaba protegido por propiedad intelectual del proveedor.

Empezó un recorrido judicial de siete años. El Consejo de Transparencia y Buen Gobierno denegó el acceso en 2019. El juzgado contencioso administrativo número 8 lo confirmó en diciembre de 2021. La Audiencia Nacional ratificó la denegación en abril de 2024. En septiembre de 2025, la Sala Tercera del Tribunal Supremo dictó la STS 1119/2025 que revoca todas las anteriores y obliga al Gobierno a entregar el código. Es la primera apertura ordenada de código fuente de un algoritmo público en derecho administrativo español.

La doctrina que fija el Supremo es la clave:

• la propiedad intelectual del proveedor no es escudo absoluto frente al derecho de acceso a información pública, y cita expresamente el régimen de transparencia del AI Act como argumento de refuerzo. Aplicación práctica: cualquier algoritmo que usa una administración pública española para decidir sobre ayudas, prestaciones o derechos puede ser auditado por la ciudadanía. Y la doctrina, aunque dictada para sector público, va a presionar al privado por vía analógica: si una empresa te deniega un crédito, una contratación o un servicio mediante un algoritmo opaco, los tribunales empezarán a aplicar el mismo razonamiento.

El AI Act y la jurisprudencia BOSCO marcan la nueva frontera: transparencia exigible por reglamento.

II. Estándares internacionales: ISO 42001, NIST AI RMF, GPAI Code

Por encima del AI Act hay un ecosistema de estándares que están convirtiéndose en lenguaje común entre auditores, proveedores y compradores. Tres referencias que un comité de dirección debe conocer.

• ISO/IEC 42001:2023 es la norma internacional de sistemas de gestión de IA, equivalente conceptual a ISO 27001 para seguridad de la información. Publicada en diciembre de 2023, está siendo solicitada de forma creciente en pliegos europeos: aproximadamente el 40% de los RFP públicos europeos para proveedores de IA ya la mencionan. Microsoft y SAP ya están certificados. Para una empresa mediana es la vía más rápida para demostrar gobernanza estructurada ante clientes corporativos.
• NIST AI Risk Management Framework, del National Institute of Standards and Technology de Estados Unidos. Voluntario, gratuito, técnico. Su perfil para IA generativa (NIST GenAI Profile 600-1) se publicó el 26 de julio de 2024 y cataloga 12 áreas de riesgo con más de 200 acciones recomendadas. Su adopción real es modesta: solo el 36% de las organizaciones encuestadas en 2025 declaran haberlo adoptado formalmente, pero es la referencia más completa disponible para estructurar un programa interno desde cero.
• GPAI Code of Practice (Código de Prácticas para modelos de propósito general del AI Act). Versión final publicada el 10 de julio de 2025, refrendada por la Comisión el 1 de agosto de 2025. Su cumplimiento es voluntario pero confiere presunción de conformidad con el AI Act para modelos GPAI. La exigibilidad operativa empieza el 2 de agosto de 2026 con multas para incumplidores de hasta 15 millones de euros o el 3% de facturación. Si tu organización utiliza modelos de proveedores como OpenAI, Anthropic, Google o Mistral, conviene confirmar que esos proveedores se han adherido al Code.

III. Modelos de gobernanza interna: cómo se organizan los que ya lo hacen

Tres estructuras públicas que sirven de referencia operativa.

IBM mantiene desde 2019 un AI Ethics Board con tres capas: el board ejecutivo (decide políticas), una red de Focal Points (interlocutores en cada unidad de negocio) y una Advocacy Network voluntaria de empleados. Reporta directamente a comité de dirección. Es el modelo más maduro y mejor documentado, con casos de uso publicados en su web.

Microsoft tiene Chief Responsible AI Officer (Natasha Crampton) con autoridad transversal, y un Responsible AI Council co-liderado por Brad Smith (President) y Kevin Scott (CTO). En 2025 publicó el Frontier Governance Framework que documenta cómo evalúa sus modelos antes del despliegue. Es la prueba más clara de que la gobernanza en grandes empresas ha salido del departamento legal y se ha convertido en función ejecutiva.

En España, Telefónica opera desde hace años con un modelo de RAI Champions (referentes en cada unidad), una AI Office centralizada y un Comité Ético de IA. Richard Benjamins ocupa el cargo de Chief Responsible AI Officer. BBVA desarrolla un esquema de tres pilares (principios, inventario de modelos en uso, monitorización continua) y colabora con la Universidad de Navarra en investigación sobre Fair Learning, lo que da soporte académico a su programa interno. Son modelos exportables a empresa mediana: no hace falta una multinacional para implementarlos, basta con adaptar la escala.

Lo que no se mide no se gobierna: KPIs humanos para que la IA no quede fuera del cuadro de mando.

IV. KPIs humanos: qué medir para saber que la IA está bajo control

Una organización que despliega IA y no la mide está volando a ciegas. Hay tres tipos de métricas que conviene tener desde el primer día.

• Uno, métricas de impacto en personas. Si un sistema decide sobre candidatos, clientes o empleados, hay que medir tasas de aceptación, rechazo y apelación por grupo demográfico relevante (género, edad, origen). Watsonx.governance de IBM populariza el concepto de factsheets, una etiqueta nutricional del modelo que documenta su finalidad, datos de entrenamiento y métricas de equidad. Un caso documentado: el US Open de tenis mejoró la equidad de un sistema de puntuación del 71% al 82% tras aplicar este enfoque.
• Dos, métricas de trazabilidad y supervisión. ¿Quién aprobó el despliegue? ¿Quién puede sobrescribir una decisión automática? ¿Cuánto tarda una auditoría? Un banco europeo documentó una reducción del 40% del tiempo de auditoría tras implementar Watsonx.governance. La métrica concreta importa menos que el hecho de tener una.
• Tres, métricas de adopción y resistencia interna. La gobernanza no es solo técnica. La encuesta EY de 2025 a 975 directivos C-suite arroja datos incómodos: el 77% afirma estar construyendo programas de IA responsable, pero solo el 36% tiene un marco formal, solo el 28% tiene roles formales de supervisión, solo el 28% tiene a un CEO directamente responsable, solo el 17% tiene al consejo de administración involucrado y el 99% reporta pérdidas financieras asociadas a riesgos de IA. La distancia entre intención declarada y estructura real es enorme.

Una referencia útil: Algorithmic Impact Assessment del gobierno de Canadá. Vigente desde abril de 2019, clasifica los sistemas de IA pública en cuatro niveles de impacto y obliga a una evaluación pública antes del despliegue. A agosto de 2024 hay 22 AIAs publicadas y consultables. Es el modelo más transparente del mundo y la inspiración directa de muchos requisitos del AI Act.

Lo que pasa cuando no se gobierna: dos casos recientes

1. Air Canada perdió una demanda en febrero de 2024 por un chatbot que dio información errónea sobre tarifas de duelo a un cliente. La compañía argumentó que el chatbot era una entidad legal separada y que no era responsable de sus respuestas. El tribunal lo rechazó: si una empresa pone un chatbot en su web, es responsable de lo que dice. Indemnización de 650,88 dólares canadienses. Importe simbólico, doctrina crítica: es la primera sentencia conocida que atribuye responsabilidad legal a una empresa por el output de su chatbot. Air Canada retiró el sistema en abril de 2024.
2. DPD UK vivió en enero de 2024 un episodio viral cuando su chatbot, tras una actualización mal supervisada, empezó a insultar a clientes y a escribir poemas denigrando a la propia compañía. Vídeo viral con 1,7 millones de visualizaciones en X. Causa: la actualización eliminó los safeguards de salida sin que nadie en el equipo lo detectase porque no había monitorización formal del output. Coste reputacional incalculable, coste regulatorio cero, lección clara: una IA sin supervisión humana continua es un riesgo de marca activo.

Cierre: la gobernanza no es burocracia, es seguros

Esta serie empezó hablando de glosario, siguió con sesgos, continuó con accesibilidad y cierra con gobernanza. El hilo conductor es uno solo: la IA es una tecnología poderosa que amplifica lo que ya hay en la organización. Si hay buen criterio, lo amplifica. Si hay descontrol, también. La gobernanza no es burocracia ni cumplimiento defensivo: es el mecanismo por el que una organización se da los medios para que sus decisiones algorítmicas sean tan explicables, auditables y reversibles como las decisiones humanas que sustituyen o complementan. Quien lo entienda ahora tendrá ventaja regulatoria, reputacional y competitiva en 18 meses. Quien lo postergue, sanción.

Gracias por seguir esta columna a lo largo de cuatro entregas.

La conversación queda abierta.

Qué hacer el lunes

1. Inventario de IA en tu organización. Pide a IT y a cada unidad de negocio una lista escrita de las herramientas con IA en uso, incluidos SaaS y add-ons. No para prohibir: para saber lo que tienes.
2. Nombra responsable. Designa una persona del comité de dirección como referente de gobernanza de IA, aunque sea a tiempo parcial. Sin nombre y apellido, ni el AI Act ni ISO 42001 se cumplen solos.
3. Una métrica humana publicable. Elige una decisión automatizada relevante (selección, scoring, atención al cliente) y empieza a medir tasa de revisión humana y plazo de respuesta. Una métrica medida vale más que diez políticas escritas.

Para profundizar

• Reglamento de IA de la UE (AI Act) y actualizaciones del AI Omnibus. digital-strategy.ec.europa.eu/es/policies/regulatory-framework-ai
• STS 1119/2025 (caso BOSCO) y análisis de Civio. civio.es/novedades/2025/09/17
• ISO/IEC 42001:2023. Sistemas de gestión de IA. iso.org/standard/81230.html
• NIST AI Risk Management Framework y GenAI Profile 600-1. nist.gov/itl/ai-risk-management-framework
• GPAI Code of Practice (Comisión Europea, julio 2025). digital-strategy.ec.europa.eu/en/policies/ai-code-practice
• Algorithmic Impact Assessment del gobierno de Canadá. canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/algorithmic-impact-assessment.html
• IBM AI Ethics Board, casos publicados. ibm.com/policy/ai-ethics-board