La gobernanza de la inteligencia artificial no es un tema regulatorio en sentido estricto. Es un problema de arquitectura organizativa: cómo una empresa decide qué sistemas de IA puede usar, en qué condiciones, con qué supervisión y con quién rinde cuentas cuando algo sale mal. La regulación, en todo caso, fija el suelo mínimo. Lo que hace una organización por encima de ese suelo depende de su propia arquitectura de decisión.
España aprobó en 2025 la transposición nacional del marco europeo de IA y las primeras directrices de aplicación de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). La obligación más inmediata para la mayoría de las empresas no es la certificación de sistemas de alto riesgo, que afecta a un subconjunto específico de aplicaciones, sino el registro y la clasificación de los sistemas de IA que ya tienen desplegados, aunque sea en forma de herramientas SaaS contratadas a terceros.
Qué entiende la regulación por gobernanza de IA
El Reglamento Europeo de IA (AI Act) establece una estructura de obligaciones que varía según el nivel de riesgo del sistema. Los sistemas de riesgo inaceptable están prohibidos. Los de alto riesgo, entre los que se incluyen los que toman decisiones sobre empleo, crédito, acceso a servicios públicos o vigilancia biométrica, requieren evaluación de conformidad, documentación técnica, supervisión humana demostrable y registro en una base de datos europea. Los de riesgo limitado requieren transparencia hacia el usuario. Los de riesgo mínimo no tienen obligaciones específicas.
El problema para las empresas medianas españolas es que la clasificación no siempre resulta obvia. Un sistema de IA que recomienda candidatos para una vacante interna puede clasificarse como de alto riesgo aunque no tome la decisión final. Un chatbot de atención al cliente que proporciona información sobre productos financieros puede requerir transparencia activa hacia el usuario. La incertidumbre interpretativa es real, y las guías de la AESIA son más útiles para los casos extremos que para los casos frontera, que son los más frecuentes.
El riesgo que las empresas subestiman
El riesgo regulatorio es el más visible, pero puede que no sea el más relevante a corto plazo. El riesgo operativo derivado de la falta de gobernanza interna es más inmediato: decisiones tomadas con sistemas de IA sin supervisión suficiente, datos de clientes procesados con herramientas no auditadas, dependencias de proveedores de IA sin contratos que regulen la portabilidad ni la continuidad del servicio.
Un informe de OutSystems de 2026 documentó que el 94 % de las organizaciones que han desplegado IA agéntica en procesos operativos reportan algún grado de desbordamiento: sistemas que actúan en ámbitos no previstos, outputs que nadie revisa sistemáticamente, o decisiones automatizadas sin un registro claro de quién es responsable. Este dato no procede de empresas que estén cometiendo negligencia flagrante. Procede de empresas que adoptaron herramientas de IA con criterio técnico razonable pero sin un marco de gobierno que creciera al mismo ritmo que la adopción.
Lo que una empresa mediana necesita establecer
La gobernanza de la IA en una empresa de tamaño medio no requiere una estructura burocrática compleja. Requiere respuestas claras a cuatro preguntas: qué sistemas de IA están activos en la organización y quién los aprobó; qué datos procesan esos sistemas y bajo qué condiciones contractuales; quién supervisa los outputs de esos sistemas y con qué criterio de escalada cuando se detectan errores; y cuál es el procedimiento si un sistema de IA produce un daño, ya sea a un cliente, a un empleado o a un tercero.
Las empresas que responden estas preguntas con documentación real, aunque sea básica, están en una posición notablemente mejor que las que tienen políticas de IA declarativas pero sin implementación práctica. La diferencia entre las dos no es el volumen de documentación. Es si alguien tiene autoridad y responsabilidad explícita sobre las decisiones que los sistemas de IA toman o recomiendan.
Si estás en el proceso de construir este marco o de evaluar en qué punto está tu organización respecto a la gobernanza de la IA, la Estrategia como Servicio es el modelo de trabajo que ofrezco para acompañar ese proceso de forma continua, con criterio externo e independiente.