Lo esencial
- El Omnibus digital aplazó al 2 de diciembre de 2027 las obligaciones sobre sistemas de alto riesgo autónomos, pero la alfabetización en IA, las prácticas prohibidas, la transparencia y los deberes sobre modelos de uso general ya son exigibles.
- La mayoría de los desafíos de la gobernanza de la IA son organizativos y no técnicos: responsabilidad sin asignar, inventario incompleto y pruebas que nadie localiza cuando se piden.
- El 78 por ciento de los directivos no se declara seguro de superar una auditoría independiente de gobernanza de la IA en 90 días.
- La responsabilidad se diluye porque las obligaciones se reparten entre proveedor del modelo, proveedor del sistema y responsable del despliegue, sin que nadie registre quién asume cada una.
- Cada uno de los siete bloqueos que siguen se cierra sobre una obligación nombrada, un control y un artefacto que un auditor pedirá ver.
Qué cambió en 2026: la fecha se movió, las obligaciones no
El más grave de los actuales desafíos de la gobernanza de la IA es un problema de calendario que la mayoría de las publicaciones aún no ha incorporado. El Reglamento (UE) 2026/1744, conocido como Omnibus digital sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026, nueve días antes de la fecha originalmente prevista. El Parlamento Europeo lo había respaldado el 16 de junio de 2026 por 423 votos a favor y 57 en contra, con 174 abstenciones, y el Consejo dio su aprobación definitiva el 29 de junio de 2026. Lo que se movió: las obligaciones para sistemas de alto riesgo autónomos del anexo III se aplican ahora desde el 2 de diciembre de 2027, y las relativas a la IA incorporada en productos regulados del anexo I desde el 2 de agosto de 2028. Lo que no se movió: la prohibición de prácticas inaceptables, aplicable desde el 2 de febrero de 2025. El deber de alfabetización en IA del artículo 4, aplicable desde la misma fecha. Las obligaciones sobre modelos de uso general del capítulo V, aplicables desde el 2 de agosto de 2025. Los deberes de transparencia del artículo 50. Esa asimetría constituye la primera trampa. En un comité presupuestario, un aplazamiento de dieciseis meses se lee como permiso para dejar el programa en suspenso. No lo es. Las obligaciones que muerden hoy son precisamente las que exigen un modelo operativo en lugar de un cambio de producto, y son las que la mayoría de las organizaciones no ha empezado. Nuestro artículo sobre la regulación de la IA ordena las obligaciones por rol y por fecha.
Bloqueo 1: nadie responde de la gobernanza
Pregunte usted quién es responsable y obtendrá un comité, no un nombre. La encuesta Grant Thornton 2026, realizada a 950 directivos, muestra que solo el 48 por ciento de los consejos ha formulado expectativas en materia de gobernanza de la IA y que el 46 por ciento ha integrado el riesgo de IA en su supervisión ordinaria, mientras que el 73 por ciento de los directivos señala la gobernanza como el ámbito prioritario. La encuesta anual Kiteworks 2026, sobre 459 profesionales de seguridad y cumplimiento, es aún más rotunda: el 39 por ciento trata la gobernanza de la IA como un encargo adicional en lugar de como una función dedicada. Un comité no puede ser considerado responsable. Solo puede ser convocado. Cuando se produce un incidente, la autoridad pregunta quién autorizó la puesta en servicio, y un reglamento interno no constituye una respuesta. El control: un responsable nominal por sistema, un órgano de decisión con potestad documentada para detener un despliegue, y una matriz de responsabilidades que sobreviva a un cambio de personas. Ese responsable no necesita ser técnico. Necesita la autoridad para decir no y el presupuesto para actuar en consecuencia. Es la pieza portante de cualquier marco de gobernanza de la IA y la más barata de las siete correcciones. El artefacto: una decisión de autorización firmada por sistema, con el nombre del responsable y la fecha de aprobación.
Bloqueo 2: no se inventaria lo que no se ve
Toda obligación del Reglamento se ancla a un sistema. Si usted no puede enumerar sus sistemas, ningún otro control resulta aplicable, porque carece de objeto. Esa dependencia sitúa el inventario en la raíz de la mayoría de los desafíos de la gobernanza de la IA. La magnitud de la brecha ya está medida. Kiteworks constata que el 65 por ciento de las organizaciones descubrió uso de IA en la sombra durante el último año. Una encuesta de Gartner a 302 responsables de ciberseguridad, realizada entre marzo y mayo de 2025, establece que el 69 por ciento sospecha o tiene prueba directa de que sus empleados usan herramientas públicas de IA generativa expresamente prohibidas. Casi ninguna de ellas ha pasado por una revisión de gobernanza. La dificultad es estructural. La IA llega incorporada en software ya adquirido, a través de API de terceros y mediante compras individuales que nunca pasan por un departamento de compras. Los sistemas agénticos lo agravan: un agente que invoca otros modelos y actúa sobre varias aplicaciones carece de un punto único de registro. Nuestro artículo sobre la IA en la sombra detalla las técnicas de descubrimiento. El control: descubrimiento continuo unido a un registro indexado por caso de uso, propietario de negocio, rol regulatorio, clase de riesgo y fase del ciclo de vida. Los datos de compras y las notas de gasto son mejor fuente inicial que un escaneo de red, porque la IA en la sombra se compra más de lo que se instala. El artefacto: un extracto fechado del inventario, entregable sin retoques.
Bloqueo 3: la responsabilidad se fragmenta a lo largo de la cadena de valor
Aquí está el mecanismo que produce el bloqueo 1, y es el que casi ninguna publicación aborda. Las obligaciones no recaen sobre una sola empresa. Se reparten entre el proveedor del modelo de uso general, el proveedor del sistema que construye sobre él y el responsable del despliegue que lo opera en un contexto concreto. The Future Society denomina esto el problema de las muchas manos: la responsabilidad se difumina precisamente porque esos tres actores difieren en recursos, competencia e información contextual, y ninguno posee lo suficiente para cumplir el deber por sí solo. El Reglamento es explícito en la atribución de roles. El artículo 3, punto 4 define al responsable del despliegue como la persona física o jurídica que utiliza un sistema de IA bajo su propia autoridad, fuera de una actividad personal de carácter no profesional. El artículo 2, apartado 1, letra a) alcanza a los proveedores que introducen sistemas en el mercado de la Unión con independencia de su lugar de establecimiento, y la letra b) a los responsables del despliegue establecidos o situados en la Unión. El artículo 25 convierte después a un responsable del despliegue en proveedor cuando estampa su nombre o marca en un sistema de alto riesgo, o lo modifica sustancialmente. Es en este último punto donde las organizaciones quedan atrapadas. Ajustar un modelo, cambiar su finalidad prevista o presentarlo bajo marca propia puede hacerle pasar de responsable del despliegue a proveedor, con un conjunto de obligaciones bastante más pesado. Los equipos que construyen sobre modelos de IA cruzan esa línea con frecuencia sin dejar constancia. El control: una calificación escrita del rol por sistema, rehecha en cada modificación sustancial, con reparto contractual de deberes aguas arriba en lugar de presunciones tácitas. El artefacto: la ficha de calificación del rol, motivada y fechada.
Bloqueo 4: la supervisión humana se diseña, no se declara
Casi todos los programas reivindican un humano en el bucle. Pocos saben describir qué puede hacer realmente esa persona, lo que sitúa la supervisión entre los desafíos de la gobernanza de la IA que solo afloran durante una auditoría. El Reglamento no se conforma con la declaración. El artículo 14, apartado 1 exige que los sistemas de alto riesgo se diseñen y desarrollen de modo que puedan ser «vigilados de manera efectiva por personas físicas» durante su periodo de utilización, también mediante interfaces persona-máquina adecuadas. La palabra que cuenta es efectiva. El apartado 3 escinde luego el deber: las medidas de supervisión las integra el proveedor en el sistema antes de su introducción en el mercado, o bien las identifica el proveedor y las implanta el responsable del despliegue. Los programas recogen sistemáticamente la primera rama y nunca ejecutan la segunda. El proveedor entrega un botón de parada, el responsable del despliegue no atribuye a nadie la potestad de pulsarlo, y la supervisión existe solo en el diagrama de arquitectura. La distinción entre human-in-the-loop y human-on-the-loop importa aquí, porque ambas configuraciones implican exigencias distintas de competencia y de plantilla. El control: una ficha de diseño de la supervisión que nombre el rol, la competencia exigida, la potestad de anular o detener, el plazo en que la persona debe poder actuar y el registro que documenta cada intervención. El artefacto: registros de intervención que acrediten al menos una actuación, o la explicación documentada de por qué no fue necesaria.
Bloqueo 5: la alfabetización en IA ya es una obligación
De todos los desafíos de la gobernanza de la IA, este es el que con más frecuencia se aplaza al año siguiente. Erróneamente. El artículo 4 se aplica desde el 2 de febrero de 2025 y el Omnibus digital no lo tocó. El texto es breve y su alcance amplio. Proveedores y responsables del despliegue «adoptarán medidas para garantizar que, en la medida de lo posible, su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA», atendiendo a sus conocimientos técnicos, su experiencia, su formación, el contexto de uso y las personas sobre las que se emplean los sistemas. El artículo 3, punto 56 define esa alfabetización como las capacidades, los conocimientos y la comprensión que permiten un despliegue informado y la conciencia de los riesgos. Observe usted lo que la norma no dice. No se limita a los sistemas de alto riesgo ni a los perfiles técnicos. Alcanza a cualquiera que opere o utilice IA en su nombre, contratistas incluidos. La financiación no acompaña. Grant Thornton constata que el 34 por ciento de los responsables financieros considera insuficientes los fondos destinados a formación, y que el personal de primera línea (37 por ciento) y los mandos intermedios (30 por ciento) son los colectivos con mayor necesidad de apoyo, exactamente los que cubre el artículo. El control: formación por rol, cartografiada sobre los sistemas que cada rol toca realmente, actualizada cuando el sistema cambia en lugar de una vez al año. El artefacto: registros de asistencia y de aprovechamiento vinculados a personas nombradas y a sistemas nombrados.
Bloqueo 6: la prueba no es recuperable
Una organización puede poseer todos los controles y no superar una auditoría, porque tener un control y demostrarlo son actividades distintas. La recuperación de la prueba es el menos discutido de los siete bloqueos y el que con mayor probabilidad se pondrá a prueba primero. Las cifras de 2026 son severas. El 78 por ciento de los directivos no se declara seguro de superar una auditoría independiente de gobernanza de la IA en 90 días. La mitad de las organizaciones consultadas por Kiteworks no consigue aportar un registro completo de accesos a la IA en un día hábil. Solo el 33 por ciento mantiene pistas de auditoría inalterables, y el 63 por ciento ha sufrido consecuencias de cumplimiento derivadas de lagunas de gobernanza en doce meses. Merece nombrarse un patrón afín: el 61 por ciento sitúa la soberanía del dato como su mayor desafío de cumplimiento, pero solo el 29 por ciento la impone mediante un mecanismo técnico. Una política declarada sin punto de aplicación no genera prueba alguna. El plazo de recuperación es la medida que importa. Una prueba que exige tres semanas de ensamblaje es, desde la perspectiva de un requerimiento de la autoridad, una prueba que usted no tiene. Nuestras guías sobre auditoría de la IA y documentación de sistemas de IA detallan lo que las autoridades de vigilancia del mercado piden en la práctica; en España concurren la AESIA, primera agencia nacional dedicada a la supervisión de la inteligencia artificial en la Unión, y la AEPD según el uso considerado. El control: vincular cada prueba al control concreto que acredita en el momento en que se genera, y congelar instantáneas inalterables de la configuración cada vez que cambia un parámetro relevante. El artefacto: un registro control-prueba con un plazo de recuperación medido.
Bloqueo 7: la gobernanza avanza más despacio que la adopción
El último de los siete bloqueos es el que, en silencio, genera los otros seis. Cuando el recorrido de gobernanza exige ocho semanas y el negocio espera una respuesta en cinco días, los equipos lo rodean, y cada rodeo se convierte en la IA en la sombra de mañana. No es un coste meramente teórico. Grant Thornton establece que el 46 por ciento de las organizaciones señala los fallos de gobernanza y cumplimiento entre las causas principales del bajo rendimiento o el fracaso de la IA, por delante de la formación insuficiente (31 por ciento) y de la escasa madurez de los datos (23 por ciento). La fricción de gobernanza es la mayor contribución nombrada a que la IA no funcione. La respuesta habitual, añadir revisores, lo empeora. La solución se llama proporcionalidad. El control: una ventanilla de entrada escalonada, en la que un caso de uso de bajo riesgo documentado se resuelve en días frente a un conjunto reducido de requisitos, y en la que solo los sistemas que superan un umbral de clasificación pasan a evaluación completa. Acompáñela de una biblioteca de controles reutilizables, para que el décimo sistema herede el trabajo hecho sobre el primero. Nuestra guía sobre el riesgo de la IA explica cómo calibrar los niveles. El artefacto: el tiempo transcurrido entre solicitud y decisión, seguido por nivel y publicado junto a los indicadores de cumplimiento.
Abordar los desafíos de la gobernanza de la IA en 90 días
Pretender atacarlos todos a la vez es la forma más segura de encallar un programa. Las dependencias corren en un solo sentido. Días 1 a 30. Ver. Construya el inventario y califique los roles de los sistemas ya en producción. Nada aguas abajo es posible sin estas dos piezas, y la mayor parte del trabajo se hace sobre documentos, a partir de datos de compras y notas de gasto. Días 31 a 60. Responder. Nombre un responsable por sistema, constituya el órgano de decisión con potestad de parada y cierre las dos obligaciones ya exigibles: la formación en IA de los roles implicados y las fichas de diseño de la supervisión para todo sistema que decida u oriente una decisión sobre una persona. Días 61 a 90. Demostrar. Enlace los controles con las pruebas, mida el plazo de recuperación frente a un objetivo de un día hábil y ensaye una auditoría sobre sus tres sistemas más expuestos. Calibre después los niveles de la ventanilla con lo que el ensayo le haya revelado sobre la fricción real. Los marcos ayudan en este punto, no al principio. ISO/IEC 42001 aporta la forma del sistema de gestión y el NIST AI RMF el vocabulario del riesgo, pero ninguno sustituye al hecho de saber qué opera usted y quién responde de ello.
Preguntas frecuentes
¿Cuál es el principal desafío de la gobernanza de la IA? La responsabilidad sin asignar. La mayoría de las organizaciones dispone de un comité de dirección pero de ninguna persona nominalmente responsable de un sistema concreto, de modo que nadie tiene autoridad para detener un despliegue. La encuesta Grant Thornton 2026 muestra que solo el 48 por ciento de los consejos ha formulado expectativas al respecto. Un comité se reúne, no responde. ¿Se aplazó realmente la fecha del Reglamento de IA para el alto riesgo? Sí. El Reglamento (UE) 2026/1744, el Omnibus digital sobre IA, entró en vigor el 27 de julio de 2026 y aplazó al 2 de diciembre de 2027 las obligaciones sobre sistemas de alto riesgo autónomos del anexo III, y al 2 de agosto de 2028 las relativas a la IA incorporada en productos del anexo I. Las prácticas prohibidas, la alfabetización del artículo 4, los deberes sobre modelos de uso general y la transparencia del artículo 50 no se aplazaron. ¿Por qué desafíos de la gobernanza de la IA conviene empezar? Por el inventario y después la responsabilidad, en ese orden, porque los otros cinco se apoyan en ellos. No se asigna un responsable a un sistema no censado, no se califica un rol regulatorio sin un responsable que decida, y no se produce prueba para un control nunca asignado. Los sesgos y la explicabilidad importan, pero son problemas situados aguas abajo. ¿Quién responde, el proveedor o el responsable del despliegue? Ambos, con deberes distintos. El proveedor asume las obligaciones de diseño, entre ellas incorporar la capacidad de supervisión y facilitar las instrucciones de uso. El responsable del despliegue asume los deberes operativos. El artículo 25 convierte a un responsable del despliegue en proveedor si estampa su marca en un sistema de alto riesgo o lo modifica sustancialmente, algo que un simple ajuste puede desencadenar. ¿Cómo se construye un inventario si nadie declara sus herramientas? Empiece por el gasto, no por la red. Los datos de compras, las notas de gasto y las suscripciones SaaS afloran más IA en la sombra que un escaneo, porque se compra más de lo que se instala. Cruce esa información con los registros de identidad y de pasarela, y condicione después el mantenimiento del acceso al registro previo. Kiteworks cifra en un 65 por ciento los descubrimientos en doce meses: dé la brecha por supuesta en lugar de comprobar si existe. ¿La formación en IA es realmente obligatoria? Sí, en virtud del artículo 4 del Reglamento de IA, aplicable desde el 2 de febrero de 2025. Alcanza a proveedores y responsables del despliegue, no se limita a los sistemas de alto riesgo y cubre al personal y a cualquier persona que opere IA en su nombre, contratistas incluidos. La medida es proporcionada al rol, a los conocimientos técnicos y al contexto, por lo que un módulo en línea anual y uniforme difícilmente bastará.
Conclusión
Los desafíos de la gobernanza de la IA que encallan los programas en 2026 no son aquellos de los que habla el mercado. No son la precisión de los modelos ni los sesgos algorítmicos tomados en abstracto. Son una decisión sin titular, un sistema no censado, un rol sin calificar, una supervisión que nadie puede ejercer, una obligación de formación ya vigente, una prueba que tarda tres semanas en componerse y un proceso lo bastante lento como para que el negocio lo evite. Cada uno reclama un control, y cada control un artefacto. El Omnibus digital regaló dieciseis meses en el alto riesgo y nada en lo que ya se aplica. Tratar esa ventana como tiempo de preparación y no como una pausa marca toda la diferencia. Empiece por lo que opera y por quién responde de ello, y construya desde ahí la cadena de prueba del cumplimiento normativo en IA.