Una estructura de gobernanza común puede reducir el trabajo repetido, mejorar la coherencia y ayudar a los equipos a gestionar los requisitos locales sin tener que empezar de cero cada vez.
Puntos clave
- La Ley de la UE sobre la IA puede servir como base práctica para la gobernanza mundial de la IA, ya que traduce la supervisión de la IA en una clasificación, una serie de requisitos, documentación y controles a lo largo de todo el ciclo de vida.
- Un modelo compartido reduce la duplicación de tareas cuando los equipos regionales evalúan sistemas de IA, proveedores o capacidades de IA integradas similares.
- Los requisitos locales siguen siendo importantes. Deben gestionarse como capas superpuestas al modelo compartido, y no como sistemas de gobernanza independientes.
- El modelo operativo debe definir el inventario, la recepción, la clasificación de riesgos, el proceso de revisión, las pruebas de control, la responsabilidad, la presentación de informes y los criterios de actualización.
- Archer puede ayudar a vincular los requisitos globales de gobernanza de la IA con un flujo de trabajo de GRC en tiempo real que favorezca la rendición de cuentas, la documentación y la supervisión.
¿Qué es un modelo global de gobernanza de la IA?
Un modelo global de gobernanza de la IA es la estructura operativa común que utiliza una organización para gestionar los sistemas de IA en distintos países, unidades de negocio y ámbitos de riesgo, y la Ley de IA de la UE proporciona a dicha estructura una base práctica y preparada para la regulación. El objetivo no es obligar a todas las jurisdicciones a adoptar un modelo europeo. El objetivo es evitar tener que volver a crear la misma capacidad de gobernanza cada vez que se introduce una nueva normativa.
Un modelo global de gobernanza de la IA es la estructura operativa común que utiliza una organización para gestionar los sistemas de IA en distintos países, unidades de negocio, productos y ámbitos de riesgo. Define cómo se identifica, clasifica, revisa, controla, documenta, supervisa y comunica el uso de la IA.
La necesidad es de carácter práctico. Los equipos internacionales suelen intentar resolver el mismo problema mediante marcos normativos diferentes. El equipo de Europa trabaja basándose en la Ley de IA de la UE. Los equipos de EE. UU. suelen utilizar la terminología del NIST. Los equipos de producto e ingeniería quieren un proceso de revisión que no cambie por completo cada vez que se incluye un nuevo mercado en el ámbito de aplicación. Los equipos jurídicos y de cumplimiento normativo necesitan margen para la interpretación local.
Cuando cada región establece su propio proceso, la organización se ve inundada de documentos, vías de revisión y hojas de cálculo locales, pero eso no se traduce necesariamente en una supervisión más rigurosa. Casos de uso similares pueden clasificarse de forma diferente. Las pruebas pueden almacenarse en distintos formatos. El historial de decisiones puede resultar difícil de reutilizar. La respuesta ante incidentes puede ralentizarse debido a que no queda clara la responsabilidad.
Un modelo más adecuado parte de un marco básico de gobernanza común y añade capas locales allí donde la legislación, las normas sectoriales, las expectativas de los organismos reguladores o las prácticas del mercado lo requieran. La Ley de IA de la UE constituye un sólido punto de partida, ya que ofrece a las organizaciones un enfoque estructurado para abordar el alcance de la IA, la clasificación de riesgos, las prácticas prohibidas, los requisitos para situaciones de alto riesgo, la formación, la documentación, la supervisión humana, la transparencia y la gestión del ciclo de vida.
¿Por qué la Ley de IA de la UE sirve de base inicial?
La Ley de IA de la UE resulta útil como pilar fundamental de la gobernanza, ya que traduce las mismas preguntas que toda organización debe responder —qué usos de la IA están prohibidos, cuáles entrañan un alto riesgo, qué controles se aplican y quién es responsable— en un marco estructurado y aplicable con un alcance global práctico. Otros marcos, como el RMF de IA del NIST, la norma ISO/IEC 42001 y los principios de la OCDE, refuerzan esa misma lógica fundamental y pueden integrarse en un único modelo operativo, en lugar de gestionarse como proyectos inconexos.
La Ley de IA de la UE resulta útil como pilar fundamental de la gobernanza, ya que ofrece a las organizaciones un punto de partida estructurado para las decisiones que, de todos modos, deben tomar. ¿Qué usos de la IA están prohibidos? ¿Qué usos entrañan un alto riesgo? ¿Qué controles y registros son necesarios? ¿Quién debe comprender el sistema? ¿Qué información debe estar disponible cuando un regulador, un auditor o un cliente solicite pruebas?
La Ley también tiene repercusiones prácticas para las organizaciones internacionales. El artículo 2 se refiere a los proveedores, los responsables de la implantación, los importadores, los distribuidores, los fabricantes de productos, los representantes autorizados y las personas afectadas en la Unión, y puede aplicarse cuando los resultados generados por un sistema de inteligencia artificial se utilicen en la Unión [*1]. Esto significa que muchas organizaciones fuera de Europa no pueden considerar la Ley como una cuestión puramente regional.
El calendario de aplicación convierte además este tema, que antes era una cuestión de política orientada al futuro, en un asunto relacionado con el modelo operativo. Las disposiciones generales, incluidas las relativas a la alfabetización en IA y las prohibiciones, entraron en vigor el 2 de febrero de 2025. Las normas sobre IA de uso general comenzaron a aplicarse a partir del 2 de agosto de 2025, y su implantación generalizada continúa por fases hasta el 2 de agosto de 2027 [*2].
La ley no es el único marco que debe tener en cuenta una empresa. El RMF de IA del NIST ofrece una estructura voluntaria de gestión de riesgos organizada en torno a las fases de gobernanza, mapeo, medición y gestión [*5]. La norma ISO/IEC 42001 establece los requisitos para crear, mantener y mejorar continuamente un sistema de gestión de la IA [*4]. Los principios de la OCDE refuerzan la IA fiable, los derechos humanos, los valores democráticos y la rendición de cuentas [*6]. En la práctica, esto significa que estos marcos pueden integrarse en un único modelo operativo de gobernanza, en lugar de gestionarse como proyectos inconexos.
Contar con un marco común resulta valioso porque las mismas preguntas fundamentales se repiten en todos los marcos: qué sistema de IA existe, para qué se utiliza, quién es su propietario, qué riesgos plantea, qué controles se aplican, qué pruebas existen, qué ha cambiado y quién es responsable de las decisiones.
¿Por qué la gobernanza regional fragmentada genera riesgos y trabajo adicional?
La gestión fragmentada de la IA suele parecer razonable a primera vista: cada región desarrolla lo que necesita y cada medida tiene sentido por sí sola. El riesgo se hace evidente a gran escala cuando sistemas de IA similares se evalúan de forma diferente, los datos se almacenan en formatos incompatibles y nadie puede mostrar rápidamente a la dirección cuál es realmente el riesgo al que se expone la empresa.
La gobernanza fragmentada de la IA suele parecer razonable a primera vista. Una región detecta un nuevo requisito y establece un proceso local. Una unidad de negocio elabora una lista de comprobación para la revisión. Un equipo de producto documenta sus propios controles. Un equipo de privacidad almacena su evaluación en una ubicación independiente. Cada una de estas medidas puede tener sentido por sí sola.
La deficiencia se pone de manifiesto cuando la empresa crece. Una región evalúa una herramienta de análisis de contratos basada en IA. Otra región evalúa una herramienta similar seis meses después y empieza desde cero. Un proveedor añade una función de IA a una plataforma que ya se utiliza a nivel mundial, pero solo un equipo local se da cuenta. Surge un problema con el modelo y nadie puede determinar rápidamente qué unidades de negocio utilizan capacidades similares o si la misma deficiencia de control existe en otros lugares.
No se trata simplemente de un problema de documentación. Es un problema del modelo operativo. Cuando los procesos de recepción, clasificación, aprobación, documentación y presentación de informes varían según la región, la dirección no puede comparar fácilmente los riesgos en toda la empresa. El departamento de auditoría no puede basarse en un único modelo de documentación. El departamento jurídico no puede reutilizar de forma eficiente los análisis previos. Los equipos de producto se enfrentan a revisiones más lentas sin recibir necesariamente una orientación más clara.
Un modelo de gobernanza compartida cambia el orden de los pasos. Un caso de uso entra por una vía de admisión. Se clasifica mediante un método común. La clasificación determina el itinerario de revisión, las expectativas de control, los requisitos de documentación y las condiciones de aprobación. Los equipos locales añaden lo que requiere su mercado, pero la empresa mantiene un único registro reutilizable de la decisión.
¿Qué debería incluir la estructura común?
Una estructura de gobernanza común debe ser lo suficientemente ágil como para funcionar de manera coherente y lo suficientemente sólida como para respaldar los aspectos legales, de riesgo, de privacidad, de seguridad, de producto, de auditoría y de supervisión del consejo de administración. No debe tratarse de una arquitectura normativa teórica, sino de un flujo de trabajo operativo con responsables, umbrales, registros, puntos de revisión y presentación de informes, construido en torno a seis capacidades que convierten las expectativas normativas en un proceso repetible.
Una estructura de gobernanza común debe ser lo suficientemente ágil como para funcionar de forma coherente y lo suficientemente sólida como para dar soporte a los ámbitos jurídico, de riesgos, de privacidad, de seguridad, de productos, de auditoría y de supervisión del consejo de administración. No debe tratarse de una arquitectura normativa teórica, sino de un flujo de trabajo operativo con responsables, umbrales, registros, puntos de revisión y presentación de informes.
La estructura básica suele requerir seis capacidades. En primer lugar, un inventario de IA que recopile sistemas, casos de uso, proveedores, funciones de IA integradas, copilotos, agentes y pilotos. En segundo lugar, un método de clasificación de riesgos que pueda ajustarse a la Ley de IA de la UE y a otros marcos normativos. En tercer lugar, un flujo de trabajo de recepción y revisión que canalice las revisiones adecuadas en función del nivel de riesgo y la jurisdicción. En cuarto lugar, un modelo de control y pruebas que registre qué se ha revisado, por qué se tomaron las decisiones, qué controles se aplican y qué excepciones siguen pendientes. En quinto lugar, una asignación clara de responsabilidades entre los ámbitos empresarial, tecnológico, jurídico, de cumplimiento normativo, de privacidad, de seguridad y de riesgos. En sexto lugar, mecanismos de actualización para que el registro se modifique cuando cambien el sistema, el proveedor, los datos, el caso de uso, la legislación o las directrices.
La decisión de diseño clave consiste en separar la base común de la capa local. La base debe reutilizarse en todos los mercados. La capa debe reflejar los requisitos específicos de una jurisdicción, un sector, un organismo regulador o un cliente que vayan más allá de la base.
| Elemento de gobernanza | Infraestructura común | Superposición local |
| Inventario de IA | Un registro único de sistemas, casos de uso, responsables, proveedores, datos, regiones y estado. | Añade campos específicos del mercado, referencias normativas o requisitos del sector. |
| Clasificación de riesgos | Un método de clasificación por niveles de riesgo basado en los casos de uso, el impacto, la sensibilidad de los datos y los grupos afectados. | Asignar categorías o umbrales locales sin modificar la lógica básica de riesgo. |
| Revisar el flujo de trabajo | Un único proceso de tramitación y un sistema de distribución de revisiones para los equipos jurídicos, de privacidad, de seguridad, de riesgos y de producto. | Añade las autorizaciones regionales cuando así lo exijan la legislación, las directrices de los organismos reguladores o las normas del sector. |
| Modelo de pruebas | Un único conjunto de registros que recoja la justificación, las pruebas, los controles, la supervisión, las autorizaciones, las excepciones y los incidentes. | Añade documentos probatorios locales, como avisos, evaluaciones de impacto, documentos presentados ante las autoridades o traducciones. |
| Informes | Una visión global de la empresa para la dirección, la auditoría, el seguimiento de incidencias y la supervisión del consejo de administración. | Añadir análisis de mercado sobre la gestión local, la respuesta de las autoridades de supervisión y el seguimiento de las medidas correctoras. |
¿Cómo deberían funcionar las superposiciones locales?
Las superposiciones locales no son excepciones a la gobernanza, sino adiciones controladas a un modelo común. Esa distinción es importante. Una superposición añade un requisito porque el mercado lo necesita, no porque nadie se haya puesto de acuerdo sobre el proceso básico. Cuando se mantiene la disciplina, la capa de superposición hace que el modelo resulte más útil sin sustituirlo.
Las superposiciones locales no son excepciones a la gobernanza. Son adiciones controladas a un modelo común de gobernanza. Esa distinción es importante. Una superposición local debe añadir un requisito, un campo, una revisión, una aprobación, un documento o una vista de informes porque el mercado lo necesita. No debe crear un proceso paralelo a menos que exista una razón jurídica u operativa de peso.
Por ejemplo, un sistema de IA aplicado a los recursos humanos de gran impacto puede necesitar procesos comunes de admisión, inventario, clasificación de riesgos, información sobre modelos, información sobre proveedores, supervisión humana, pruebas de validación y seguimiento de incidencias. Una superposición local puede añadir un requisito específico de notificación, la consideración por parte del comité de empresa, un requisito lingüístico, un campo de evaluación del impacto en la privacidad, la divulgación de información al cliente o un resumen de pruebas dirigido a los organismos reguladores.
El modelo de superposición ayuda a las organizaciones a avanzar más rápido sin perder el control. Los equipos jurídicos regionales conservan la autoridad para interpretar la legislación local. El departamento de GRC garantiza la coherencia del flujo de trabajo, el modelo de pruebas y la visión global de la empresa. Los equipos de negocio y de producto disponen de una única vía a seguir, en lugar de tener que enfrentarse a un laberinto de gobernanza diferente en cada país.
Lo más difícil es la disciplina. Los equipos deben ponerse de acuerdo en que las aportaciones locales deben documentarse, asignarse a un responsable, revisarse y actualizarse periódicamente. De lo contrario, la capa superpuesta se convierte en otra forma de fragmentación.
| Implicaciones para la planificación: Considerar el modelo global de gobernanza de la IA como un modelo operativo controlado. Los complementos locales deben contar con responsables, una justificación, fechas de entrada en vigor, ciclos de revisión y referencias a la legislación, las directrices de los organismos reguladores o los requisitos empresariales que los hayan motivado. |
¿Quién debería ser el responsable de la estructura de gobernanza?
La responsabilidad suele ser el obstáculo. Ninguna función por sí sola puede gestionar la IA de forma eficaz, pero la empresa sigue necesitando un responsable que rinda cuentas del modelo operativo —normalmente en el departamento de GRC o de gestión de riesgos corporativos—, que trabaje en estrecha colaboración con los departamentos jurídico, de privacidad, de seguridad, de datos, de producto y con la dirección empresarial. Su función no consiste en aprobar cada decisión de la IA, sino en garantizar la coherencia del sistema.
A menudo, la responsabilidad es el obstáculo. Los equipos jurídicos se encargan de la interpretación. Los equipos de producto se encargan de las decisiones sobre el producto. Los equipos de seguridad y privacidad se encargan de ámbitos de control específicos. Los equipos de riesgo y cumplimiento normativo se encargan de las expectativas de gobernanza. Los responsables empresariales se encargan de los resultados. Ninguna función por sí sola puede gobernar la IA de forma eficaz.
La empresa sigue necesitando una persona responsable del modelo operativo. En muchas organizaciones, esa función recae de forma natural en el departamento de GRC o de gestión de riesgos corporativos, que trabaja en estrecha colaboración con los departamentos jurídico, de protección de datos, de seguridad, de datos, de productos, de compras, de auditoría interna y con la dirección de la empresa. La razón es de carácter práctico: el departamento de GRC suele ser el que está más cerca de los flujos de trabajo, los controles, las pruebas, los problemas, las políticas y la presentación de informes.
El responsable de la gobernanza no debe intentar aprobar todas y cada una de las decisiones tomadas por la IA. Su función consiste en garantizar la coherencia del sistema. Esto implica llevar un inventario, definir el método común de evaluación de riesgos, coordinar los procesos de revisión, garantizar la calidad de las pruebas, gestionar la correspondencia entre políticas y controles, realizar un seguimiento de los problemas y las excepciones, y proporcionar a la dirección una visión fiable de la exposición a la IA.
Los consejos de administración y los comités ejecutivos no necesitan conocer cada instrucción, cada experimento ni cada detalle técnico. Lo que necesitan es tener la seguridad de que el uso relevante de la IA es visible, está clasificado, se gestiona de forma adecuada, se controla y se actualiza a medida que cambian los riesgos.
¿Cómo se construye la estructura básica de gobernanza? Seis pasos para 2026
De cara a la planificación para 2026, los responsables de riesgos y cumplimiento normativo deberían considerar la estructura de gobernanza como parte del entorno de control de la gobernanza de la IA, con un único inventario, un único método de clasificación, un único flujo de trabajo de incorporación, un modelo de pruebas estructurado, superposiciones locales deliberadas y una actualización continua. El objetivo es la eficacia de la gobernanza, no la finalización de la formación.
1.Empieza con un inventario de IA. Recoge los sistemas internos, la IA de los proveedores, las funciones SaaS integradas, los copilotos, los agentes, los pilotos y la IA «en la sombra» conocida. Incluye el responsable del negocio, la región, las categorías de datos, el caso de uso, el proveedor, el estado y la fecha de revisión.
2.Define un método de clasificación. Clasifica los casos de uso según el nivel de riesgo, el impacto, la sensibilidad de los datos, los grupos afectados, las necesidades de supervisión humana y la jurisdicción pertinente. Asegúrate de que el método sea lo suficientemente claro como para que los equipos empresariales puedan utilizarlo.
3.Crea un único flujo de trabajo para la recepción y revisión. Dirige las revisiones en función del nivel de riesgo y del contexto. Recurre a los departamentos jurídico, de privacidad, de seguridad, de producto, de compras, de riesgos y de cumplimiento normativo únicamente cuando su revisión sea pertinente.
4.Elabora el modelo de pruebas. Define los registros necesarios para cada nivel de riesgo: justificación de las decisiones, pruebas, asignación de controles, garantías de los proveedores, supervisión humana, autorizaciones, excepciones, incidentes y medidas correctivas.
5.Añade superposiciones locales de forma deliberada. Documenta cada adición local y manténla vinculada al mercado, la normativa, las reglas del sector, las expectativas de las autoridades de supervisión o los requisitos de los clientes que la hayan motivado.
6.Actualiza el modelo de forma continua. Activa una reevaluación cuando cambien los sistemas de IA, los proveedores lancen nuevas capacidades de IA, se modifiquen las leyes o las directrices, surjan problemas o el uso empresarial se expanda a nuevos mercados.
Creación de un modelo global de gobernanza de la IA con Archer
Archer ayuda a las organizaciones a convertir la gobernanza de la IA de un conjunto de proyectos regionales en un modelo operativo de GRC integrado. La prioridad es reunir en un único lugar el inventario de IA, la clasificación de riesgos, los requisitos de control, las pruebas, las garantías de los proveedores, los problemas, las excepciones y la elaboración de informes.
Esto ofrece a los equipos una forma práctica de utilizar la Ley de IA de la UE como base de partida, sin dejar de gestionar los requisitos locales. Un caso de uso puede registrarse una sola vez, clasificarse de forma coherente, remitirse a los revisores adecuados, vincularse a controles, asignarse a responsables y ser objeto de seguimiento a lo largo de los cambios que se produzcan a lo largo de su ciclo de vida. Se pueden añadir capas locales sin perder la visión global de la empresa.
Este enfoque proporciona a los responsables una base más sólida para la supervisión. En lugar de solicitar a cada región un informe por separado, los responsables pueden ver dónde se produce un uso significativo de la IA, qué nivel de riesgo conlleva, qué controles se han implantado, qué pruebas existen y qué aspectos requieren atención.
Más información sobre Archer AI Governance: https://www.archerirm.com/ai-governance
Más información sobre las soluciones GRC de Archer: https://www.archerirm.com/
Preguntas frecuentes
¿Por qué utilizar la Ley de la UE sobre la IA como punto de partida para la gobernanza mundial de la IA?
La Ley de IA de la UE ofrece a las organizaciones un marco estructurado para clasificar los sistemas de IA, identificar los usos prohibidos y de alto riesgo, definir los requisitos de documentación y vincular la gobernanza de la IA con los controles del ciclo de vida. Para las organizaciones internacionales, ese marco puede constituir una base práctica incluso cuando los requisitos locales difieran.
¿Sustituye un modelo de gobernanza global a la interpretación jurídica local?
No. Un modelo global proporciona la base común. Los requisitos legales, normativos, sectoriales y de supervisión locales deben gestionarse como capas superpuestas, de modo que la organización mantenga la coherencia al tiempo que respeta las obligaciones específicas de cada mercado.
¿Cómo encaja el Marco de Gestión de Riesgos de la IA (AI RMF) del NIST en este enfoque?
El Marco de Gestión de Riesgos de la IA (AI RMF) del NIST puede ayudar a estructurar la gestión de riesgos mediante las fases de «gobernanza», «mapeo», «medición» y «gestión». Estas funciones pueden integrarse en el mismo modelo operativo que se utiliza para la preparación ante la Ley de IA de la UE, especialmente en lo que se refiere a la rendición de cuentas, el mapeo de riesgos, la medición y el tratamiento de riesgos.
¿Cómo encaja la norma ISO/IEC 42001 en este enfoque?
La norma ISO/IEC 42001 respalda un enfoque basado en un sistema de gestión de la IA. Ayuda a las organizaciones a establecer, mantener y mejorar continuamente las políticas, los procesos y las estructuras de gobernanza para un uso responsable de la IA. Esto la convierte en un complemento útil para un marco global de gobernanza de la IA.
¿Qué debería ser común a todos los mercados?
El inventario básico, el método de clasificación de riesgos, el proceso de incorporación, el modelo de pruebas, la estructura de responsabilidad, el proceso de emisión y la lógica de generación de informes deben ser comunes siempre que sea posible. Los requisitos locales solo deben añadir campos, documentos, aprobaciones o vistas de informes cuando sea necesario.
¿Cómo puede Archer contribuir a un modelo global de gobernanza de la IA?
Archer puede ayudar a integrar el inventario de IA, la evaluación, la elaboración de mapas de control, la garantía de proveedores, los flujos de trabajo, el seguimiento de incidencias, las pruebas y la elaboración de informes en un modelo estructurado de GRC. Esto favorece tanto la coherencia a nivel empresarial como las superposiciones de gobernanza locales.
Fuentes
[*1] Servicio de asistencia de la Ley de IA, artículo 2: Ámbito de aplicación: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2
[*2] Servicio de asistencia de la Ley de IA: Calendario para la aplicación de la Ley de IA de la UE: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
[*3] Comisión Europea, Preguntas y respuestas sobre la alfabetización en IA: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
[*4] ISO, ISO/IEC 42001:2023 Tecnología de la información – Inteligencia artificial – Sistema de gestión: https://www.iso.org/standard/42001
[*5] NIST, Marco de gestión de riesgos de la inteligencia artificial 1.0: https://www.nist.gov/itl/ai-risk-management-framework
[*6] OCDE, Principios sobre la IA: https://oecd.ai/en/ai-principles
