¿Qué es un marco de gobernanza de la IA?
Un marco de gobernanza de la IA es el sistema de gestión que respalda su política de IA: establece quién puede aprobar una herramienta o un uso de IA, qué debe registrarse, cómo se comprueban los riesgos y cuándo se revisan las decisiones. La política de uso aceptable indica a los empleados qué hacer; la gobernanza determina qué se incluye en esa política y la mantiene actualizada y precisa.
La mayoría de los marcos publicados están pensados para grandes organizaciones que desarrollan sistemas de IA. Una empresa de 5 a 200 personas que utiliza asistentes ya disponibles en el mercado necesita la misma lógica a una escala mucho menor. El objetivo es que cada uso aprobado tenga una persona responsable, una justificación y una fecha de revisión, y que nadie tenga que adivinar quién toma las decisiones.
Esta página ofrece información general, no asesoramiento jurídico. Si integra IA en productos, automatiza decisiones sobre personas o trabaja en un sector regulado, necesita una revisión especializada que vaya más allá de lo descrito aquí.
¿Cómo se aplica el marco de gestión de riesgos de IA de NIST a una pequeña empresa?
El marco de gestión de riesgos de IA de NIST es un marco voluntario, publicado el 26 de enero de 2023, que organiza el trabajo sobre los riesgos de la IA en cuatro funciones: gobernar, identificar el contexto, medir y gestionar. NIST indica que está concebido para ser voluntario, no específico de un sector e independiente del caso de uso, lo que ofrece flexibilidad a organizaciones de todos los tamaños. También señala que los usuarios pueden seleccionar sus categorías según sus recursos y capacidades, que es exactamente lo que debería hacer un equipo pequeño.
Gobernar es una función transversal: cultura, políticas, funciones y rendición de cuentas. Mapear establece el contexto en el que se utiliza un sistema y los riesgos de ese contexto. Medir analiza y supervisa esos riesgos con métodos cualitativos o cuantitativos. Gestionar asigna recursos a los riesgos detectados y abarca los planes de respuesta y recuperación ante incidentes. La página de NIST señala que el marco está en revisión, así que consulte la versión vigente antes de citarlo.
La siguiente tabla es nuestra adaptación para equipos pequeños. No es un perfil oficial del NIST y utilizarla no significa que una empresa cumpla ninguna normativa.
| Función de NIST | Qué significa para una empresa de 30 personas | Producto de trabajo concreto |
|---|---|---|
| Gobernar | Designe a una persona responsable, redacte la política, forme al personal y decida quién aprueba los nuevos usos | Política con los nombres de los responsables, registro de formación |
| Mapa | Para cada uso de IA, anote la tarea, la información implicada y quién se vería afectado por un error | Una fila por cada uso en el registro |
| Medir | Revise resultados por muestreo, recopile los problemas notificados y revise periódicamente las condiciones de los proveedores | Notas de revisión y registro de incidencias |
| Gestionar | Apruebe, restrinja o deje de permitir usos según los hallazgos; responda a los incidentes | Registro actualizado y notas sobre incidentes |
¿Quién debe ser responsable de la gobernanza de la IA en una empresa pequeña?
Una persona designada debe ser responsable de la gobernanza de la IA, con un proceso claro de aprobación para las decisiones que no puede tomar por sí sola. En la práctica, suele ser la persona fundadora o la dirección de operaciones en una empresa de menos de 50 personas, y un responsable de operaciones o de tecnologías de la información que rinde cuentas a la dirección en una empresa más grande. Las orientaciones de gobernanza de NIST incluyen que la alta dirección asuma la responsabilidad de las decisiones sobre los riesgos de la IA y que se definan las funciones y los canales de comunicación.
Un reparto viable para Kestrel Systems, una empresa ficticia de programas informáticos con 60 personas: el director de operaciones se encarga del registro y aprueba las herramientas nuevas; la persona responsable de protección de datos autoriza cualquier uso que implique datos personales; cada responsable de departamento aprueba los flujos de trabajo y revisa los resultados de su área; el director general aprueba la revisión anual. Cuatro personas cubren todo y cada una sabe qué cuestiones le corresponden.
Responsable
Mantiene el registro, realiza las revisiones y es el primer punto de contacto. Una persona designada y una suplente.
Aprobación del uso de los datos
Aprueba cualquier uso que implique información personal y decide si se necesita una evaluación de impacto.
Responsables de aprobar el flujo de trabajo
Responsables de departamento que conocen el trabajo, aprueban los usos en su área y designan a quien revisará los resultados.
Dirección
Acepta el nivel general de riesgo y aprueba la revisión anual.
¿Qué información debe recoger un registro de IA?
Un registro de IA debe recoger cada herramienta y uso aprobados, con el plan contratado, la tarea permitida, la información autorizada, la persona responsable, quien revisa y la fecha de revisión. Las directrices de gobernanza de NIST incluyen mecanismos para inventariar los sistemas de IA, con recursos asignados según las prioridades de riesgo; para una pequeña empresa basta con una hoja de cálculo compartida.
Registre también los detalles de terceros, porque casi todos los sistemas de IA que utiliza una pequeña empresa pertenecen a un proveedor. El material de NIST sobre gobernanza aborda las políticas sobre riesgos de la IA de terceros y los procesos de contingencia cuando fallan los sistemas de terceros. En el registro, esto se traduce en: qué dicen las condiciones del proveedor sobre entrenamiento, conservación y eliminación de datos, cuándo las revisó por última vez y qué haría si la herramienta dejara de estar disponible o cambiara sus condiciones.
Ejemplo de fila para Kestrel: "Herramienta: espacio de trabajo empresarial de [asistente]. Uso: redactar documentos internos y resumir investigaciones públicas. Información: solo pública e interna. Responsable: director de operaciones. Revisor: superior directo del autor para cualquier contenido externo. Condiciones del proveedor revisadas: [fecha]. Alternativa: redactar sin IA. Próxima revisión: [fecha]."
¿Quiere ver cómo se relaciona esto con un puesto?
Explore la prueba prevista para equipos ↗¿Cómo debería aprobarse un nuevo uso de la IA?
Cada nuevo uso de la IA debe aprobarse mediante una breve solicitud escrita que responda a cinco preguntas, para que la persona responsable pueda decidir con rapidez y la decisión quede registrada. La mayoría de las solicitudes en una empresa pequeña son de bajo riesgo y deberían resolverse en un día, sin necesidad de reunir a un comité. Un proceso lento fomenta que las personas se lo salten.
El formulario de solicitud de Kestrel tiene cinco líneas. Si alguna respuesta implica datos personales o una decisión sobre una persona, se remite a la instancia responsable de autorizar el uso de los datos antes de su aprobación.
Herramienta y plan
¿Qué producto y qué cuenta se usarían exactamente?
Tarea
¿Qué trabajo haría y quién lo usaría?
Información
¿Qué tipos de información se introducirían?
Consecuencia del error
¿A quién afecta que el resultado sea incorrecto y en qué medida?
Revisión
¿Quién revisa el resultado antes de que se utilice?
¿En qué principios debe basarse una política de gobernanza de la IA?
No existe una única lista consensuada de principios de gobernanza de la IA; cada marco utiliza principios diferentes, así que elija un conjunto breve que su equipo pueda aplicar. NIST enumera las características de una IA confiable: válida y fiable, segura, protegida y resiliente, responsable y transparente, explicable e interpretable, con mayor protección de la privacidad y justa, con una gestión de los sesgos perjudiciales. El manual de IA del Gobierno del Reino Unido, publicado en febrero de 2025 para el personal de la administración pública, establece diez principios, empezando por saber qué es la IA y cuáles son sus limitaciones e incluyendo un control humano significativo en las etapas adecuadas.
Para una pequeña empresa, tres principios de trabajo suelen ser suficientes: cada uso tiene un responsable identificado; la información solo se introduce donde está permitido; y una persona revisa y asume la responsabilidad de cualquier resultado que se utilice. Si un uso propuesto no puede cumplir los tres, aún no está listo para aprobarse.
A veces se pregunta por los tres pilares de la gobernanza de la IA. No existe un conjunto estándar. Una forma práctica de entenderla es dividirla en personas (quién decide y quién recibe formación), procesos (cómo se aprueban y revisan los usos) y registros (el registro y las decisiones que contiene).
¿Con qué frecuencia deben revisarse las decisiones sobre la gobernanza de la IA?
Revise todo el registro al menos una vez al año, y cada entrada cuando un proveedor cambie sus condiciones, cambie un plan, un contrato con un cliente añada condiciones sobre IA o una incidencia notificada muestre que un flujo de trabajo no funciona. Las directrices de gobernanza de NIST abordan el seguimiento continuo y la revisión periódica del proceso de gestión de riesgos.
Media hora cada trimestre suele bastar para una empresa pequeña: la persona responsable lee el registro de incidencias, revisa dos o tres condiciones de los proveedores, pregunta a los responsables de departamento si ha cambiado algún uso y retira lo que nadie utiliza. Retirar las herramientas que no se usan forma parte de la gobernanza; las directrices de gobernanza de NIST incluyen procesos para retirar de servicio los sistemas de IA de forma segura.
¿Qué lugar ocupa la formación en la gobernanza de la IA?
La formación es la parte de la gobernanza que permite aplicar las normas. Las directrices de gobernanza de NIST incluyen que el personal reciba formación en gestión de riesgos de la IA. Para la UE, las preguntas y respuestas de la Comisión Europea sobre alfabetización en IA relativas al artículo 4 del Reglamento de IA indican que no existe un enfoque único válido para todos, que no se exigen certificados y que basta con un registro interno de la formación.
Registre quién ha recibido formación y sobre qué, y centre la formación en las tareas que las personas realizan realmente. Tosheo.ai está en desarrollo para ofrecer práctica por puesto, con una vista para que los responsables consulten el progreso de las habilidades y la finalización de la formación; no es una plataforma de gobernanza ni mantiene su registro.
¿Cuándo necesita una pequeña empresa algo más que esto?
Necesita algo más que un marco básico si desarrolla sistemas de IA, integra IA en un producto, usa IA para tomar o apoyar decisiones importantes sobre personas, trata categorías especiales de datos a gran escala o trabaja en un sector regulado. Esos casos pueden requerir evaluaciones formales de riesgos o de impacto, sistemas de gestión certificables y una revisión jurídica.
Existen programas específicos para la gobernanza de la IA, dirigidos principalmente a organizaciones de mayor tamaño. Para un equipo que utiliza unos pocos asistentes, suelen bastar un registro en una hoja de cálculo, una política breve y una fecha de revisión, que además son más fáciles de mantener actualizados.
Fuentes y alcance
NIST, marco de gestión de riesgos de IA 1.0 (NIST AI 100-1), enero de 2023 ↗
GOV.UK, Guía práctica de IA para el Gobierno del Reino Unido, 10 February 2025 ↗
Comisión Europea, Alfabetización en IA: preguntas y respuestas, última actualización: 27 July 2026 ↗