Puntos clave
Un marco de gobernanza de la IA eficaz va más allá de las políticas estáticas en PDF para integrar la clasificación de riesgos, las evaluaciones de impacto, las estructuras de responsabilidad y el seguimiento continuo en las operaciones de cumplimiento diarias. Con las obligaciones de alto riesgo del Reglamento de IA de la UE exigibles a partir del 2 de agosto de 2026, las organizaciones que gestionan múltiples entidades y jurisdicciones necesitan una infraestructura de gobernanza centralizada y automatizada. Menos del 1 % de las organizaciones ha operativizado plenamente una gobernanza responsable de la IA, y solo el 28 % ha definido formalmente roles de supervisión. Priverion ofrece una plataforma alojada en Suiza diseñada específicamente para el cumplimiento de la IA en organizaciones con múltiples entidades.
Definiciones
¿Qué es un marco de gobernanza de la IA?
Un marco de gobernanza de la IA es un sistema estructurado de políticas, procesos, roles y controles técnicos diseñado para gestionar el desarrollo, el despliegue y el seguimiento de los sistemas de IA en cumplimiento de las normativas aplicables y las normas éticas. Suele abarcar inventarios de sistemas de IA, clasificación de riesgos, evaluaciones de impacto (EIPD, EIT, EIDF), asignaciones de responsabilidad y documentación lista para auditoría. Entre los marcos de referencia clave figuran el NIST AI Risk Management Framework y la ISO/IEC 42001.
¿Qué es el Reglamento de IA de la UE?
El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) es el primer marco legal integral del mundo para la inteligencia artificial. Clasifica los sistemas de IA en cuatro niveles de riesgo (inaceptable, alto, limitado y mínimo) e impone obligaciones graduadas a los proveedores y a los responsables del despliegue. Las prohibiciones sobre las prácticas de riesgo inaceptable entraron en vigor el 2 de febrero de 2025; las obligaciones para los sistemas de alto riesgo pasan a ser exigibles el 2 de agosto de 2026. Texto completo: EUR-Lex Reglamento 2024/1689.
¿Qué es la ISO/IEC 42001?
La ISO/IEC 42001:2023 es la norma internacional que especifica los requisitos para establecer, implementar, mantener y mejorar de forma continua un sistema de gestión de inteligencia artificial (AIMS) en las organizaciones. Proporciona un marco certificable para una gobernanza responsable de la IA. Fuente: ISO 42001:2023.
¿Qué es el NIST AI Risk Management Framework?
El NIST AI RMF 1.0, publicado en enero de 2023, es un marco voluntario para ayudar a las organizaciones a diseñar, desarrollar, desplegar y utilizar sistemas de IA de forma responsable. Se organiza en torno a cuatro funciones principales: Govern, Map, Measure y Manage. Fuente: NIST AI.
¿Qué es una evaluación de impacto relativa a los derechos fundamentales (EIDF)?
Una evaluación de impacto relativa a los derechos fundamentales evalúa cómo un sistema de IA de alto riesgo puede afectar a derechos fundamentales como la no discriminación, la privacidad, la libertad de expresión y el acceso a la justicia. Según el Reglamento de IA de la UE, los responsables del despliegue de sistemas de IA de alto riesgo en determinados contextos deben completar una EIDF antes de poner el sistema en uso. Referencia: Reglamento de IA de la UE, artículo 27.
Estadísticas y fuentes
Según la IAPP 2024 AI Governance Survey, solo el 28 % de las organizaciones ha definido formalmente roles de supervisión de la gobernanza de la IA. El Advancing Responsible AI Innovation Playbook de 2025 del World Economic Forum concluyó que menos del 1 % de las organizaciones ha operativizado plenamente una gobernanza responsable de la IA. El Reglamento de IA de la UE, artículo 99, establece multas de hasta el 7 % del volumen de negocios anual mundial o 35 millones de euros por infracciones de prácticas de IA prohibidas. Según el ModelOp 2025 AI Governance Benchmark Report, solo el 14 % de las organizaciones aplica prácticas de garantía de la IA a nivel empresarial. El IAPP AI Governance Profession Report (2025) concluyó que solo el 1,5 % de las organizaciones cree que dispone de personal suficiente para la gobernanza de la IA.
Preguntas frecuentes
¿Qué es un marco de gobernanza de la IA y por qué importa?
Un marco de gobernanza de la IA proporciona la estructura organizativa (políticas, roles, procesos y herramientas) necesaria para gestionar los riesgos de la IA y cumplir las obligaciones regulatorias como el Reglamento de IA de la UE. Sin él, las organizaciones se enfrentan a una supervisión fragmentada, evaluaciones de riesgos incoherentes y posibles multas de hasta el 7 % del volumen de negocios anual mundial según el Reglamento (UE) 2024/1689, artículo 99.
¿Cuándo entran en vigor las obligaciones para los sistemas de alto riesgo del Reglamento de IA de la UE?
Las obligaciones para los sistemas de IA de alto riesgo del Reglamento de IA de la UE pasan a ser exigibles el 2 de agosto de 2026. Las prohibiciones sobre las prácticas de IA de riesgo inaceptable están en vigor desde el 2 de febrero de 2025. Las organizaciones que despliegan sistemas de IA de alto riesgo deben contar con evaluaciones de la conformidad, documentación técnica y sistemas de gestión de riesgos antes de la fecha de aplicación.
¿Cuáles son las sanciones por incumplimiento del Reglamento de IA de la UE?
El Reglamento de IA de la UE establece una estructura de sanciones escalonada. Las infracciones de prácticas de IA prohibidas conllevan multas de hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial. Las infracciones relativas a los sistemas de IA de alto riesgo pueden dar lugar a multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial. Facilitar información incorrecta a las autoridades puede acarrear multas de hasta 7,5 millones de euros o el 1 % del volumen de negocios.
¿Cómo se relaciona el NIST AI RMF con el Reglamento de IA de la UE?
El NIST AI Risk Management Framework es un marco estadounidense voluntario, mientras que el Reglamento de IA de la UE es una norma vinculante. No obstante, muchas organizaciones utilizan la estructura Govern-Map-Measure-Manage del NIST AI RMF como columna vertebral operativa que se corresponde con los requisitos del Reglamento de IA de la UE. Alinear ambos reduce la duplicación y refuerza la gobernanza transjurisdiccional.
¿Por qué fracasan los enfoques de gobernanza de la IA basados en hojas de cálculo?
Las hojas de cálculo carecen de flujos de trabajo automatizados, rastros de auditoría, control de versiones, visibilidad entre entidades y programación de recertificaciones. Según el análisis de 2025 de McKinsey, el sistema de cumplimiento manual de una institución financiera solo cumplía el 75 % de los requisitos antes de que la automatización elevara el cumplimiento por encima del 95 %. Para las organizaciones que gestionan sistemas de IA en múltiples filiales, las hojas de cálculo crean lagunas inaceptables en la supervisión.
¿Qué es la ISO/IEC 42001 y cómo respalda la gobernanza de la IA?
La ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de la IA. Proporciona requisitos para establecer políticas, asignar responsabilidades, gestionar los riesgos relacionados con la IA y mejorar de forma continua la gobernanza de la IA. Puede servir como columna vertebral estructural de un marco más amplio de gobernanza de la IA que también aborde el Reglamento de IA de la UE y el NIST AI RMF.
¿Cuántas organizaciones tienen programas maduros de gobernanza de la IA?
Muy pocas. El World Economic Forum (2025) informa de que menos del 1 % de las organizaciones ha operativizado plenamente una gobernanza responsable de la IA. La IAPP concluyó que solo el 28 % ha definido roles de supervisión, y el parámetro de referencia de 2025 de ModelOp muestra que solo el 14 % aplica la garantía de la IA a nivel empresarial. La brecha de madurez de la gobernanza es un reto sistémico del sector.
¿Qué es una evaluación de impacto relativa a los derechos fundamentales (EIDF)?
Una EIDF evalúa cómo un sistema de IA de alto riesgo puede afectar a derechos fundamentales como la no discriminación, la privacidad y la libertad de expresión. Según el artículo 27 del Reglamento de IA de la UE, los responsables del despliegue de sistemas de IA de alto riesgo utilizados por organismos públicos o en determinados contextos sensibles deben completar una EIDF antes del despliegue. Complementa las EIPD exigidas por el RGPD.
Comparación de marcos de gobernanza de la IA
| Dimensión | NIST AI RMF 1.0 | ISO/IEC 42001:2023 | Reglamento de IA de la UE (2024/1689) |
|---|
| Tipo | Marco voluntario | Norma certificable | Norma vinculante |
| Jurisdicción | Estados Unidos (adopción global) | Internacional (organismos miembros de ISO) | Unión Europea (alcance extraterritorial) |
| Estructura principal | Govern, Map, Measure, Manage | Planificar-Hacer-Verificar-Actuar (AIMS) | Clasificación por niveles de riesgo (4 niveles) |
| Clasificación de riesgos | Perfiles de riesgo basados en el contexto | Criterios de riesgo definidos por la organización | Inaceptable, alto, limitado, mínimo |
| Certificación | Sin certificación formal | Certificable por terceros | Evaluación de la conformidad (alto riesgo) |
| Sanciones | Ninguna (voluntario) | Ninguna (adopción voluntaria) | Hasta 35 M€ o el 7 % del volumen de negocios mundial |
| Evaluaciones de impacto | Recomendadas (contextuales) | Obligatorias dentro del alcance del AIMS | EIDF obligatoria para determinados responsables del despliegue |
| Fecha de entrada en vigor | Enero de 2023 | Diciembre de 2023 | Por fases: feb. 2025 a ago. 2027 |
