Lo esencial
- Ninguna norma obliga a crear un comité de gobernanza de la IA. Las obligaciones que sí existen son cuatro, y el órgano solo vale por lo que produce para satisfacerlas.
- El reglamento europeo asigna los deberes a personas nombradas, no a órganos. El anexo V, punto 8, exige el nombre y la función de quien firma la declaración de conformidad, y el artículo 26, apartado 2, obliga a encomendar la supervisión humana a personas físicas con competencia, formación y autoridad.
- El artículo 17, apartado 1, obliga a los proveedores de sistemas de alto riesgo a mantener un marco de rendición de cuentas que fije las responsabilidades de la dirección y del personal. Es esa frase, y no un organigrama, lo que comprueba un auditor.
- Una cadencia trimestral no aguanta los plazos del artículo 73: 15 días, 10 días, 2 días. La cadencia es un control y presupone una delegación permanente.
- Tras el reglamento (UE) 2026/1744, las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 y las del anexo I desde el 2 de agosto de 2028, mientras que alfabetización y transparencia ya son exigibles. Un estatuto escrito sobre el calendario anterior ya está equivocado.
Quien busca cómo montar un comité de gobernanza de la IA encuentra un consenso notable. Reunir a legal, IT, seguridad, ciencia de datos, recursos humanos y las áreas de negocio. Reunirse cada trimestre. Redactar un estatuto que abre con un preámbulo de principios. Aprobar los casos de uso. Formar a todo el mundo. El consejo es razonable y es más o menos lo que dice cada página de la primera pantalla de resultados. Por sí solo, sin embargo, no es comprobable. Ninguno de los primeros cuarenta resultados de esta búsqueda cita una sola disposición jurídica que la estructura deba satisfacer. El modelo de estatuto que ocupa el cuarto puesto es de 2023, prevé siete miembros permanentes y cinco rotatorios, y su artículo dedicado al cumplimiento compromete a la organización con «todas las normas jurídicas y éticas pertinentes» sin nombrar ninguna. Esta guía recorre el camino contrario. Parte de las cuatro obligaciones que existen de verdad, deduce de ellas los asientos, los derechos de decisión, la cadencia y los rastros que las honran, y dice sin rodeos cuándo un comité de gobernanza de la IA es la respuesta equivocada.
Qué es realmente un comité de gobernanza de la IA
Un comité de gobernanza de la IA es un órgano permanente con autoridad delegada para decidir si, cómo y bajo qué condiciones una organización diseña, compra y opera sistemas de IA. La mitad importante de esa frase está en «autoridad delegada». Un grupo que revisa y asesora es un grupo de trabajo. Un grupo que puede detener un despliegue es un comité de gobernanza de la IA. Una precisión necesaria en español: el órgano interno nada tiene que ver con el Comité Europeo de Inteligencia Artificial creado por el artículo 65 del reglamento, que reúne a los representantes de los Estados miembros ante la Comisión. Ambos aparecen bajo la palabra «comité». Esta página trata exclusivamente del comité de gobernanza de la IA interno de la empresa. Después, tres órganos se confunden con un comité de gobernanza de la IA, y la confusión sale cara el día en que una autoridad pregunta quién decidió qué. Un comité de dirección lleva la estrategia: en qué invertir, en qué orden, para qué retorno. Su producto es una hoja de ruta y un presupuesto. Un comité de ética emite una opinión sobre la aceptabilidad de un uso, casi siempre sin poder imponer nada, y funciona mejor cuando parte de sus miembros viene de fuera. Un comité de gobernanza de la IA se sitúa entre ambos y sostiene las decisiones con consecuencia jurídica: la clasificación del riesgo, las condiciones de despliegue, la designación de las personas responsables, el apagado de un sistema. Pocas organizaciones necesitan los tres. Necesitan un comité de gobernanza de la IA con derechos de decisión explícitos y actas honestas, más una persona nombrada que firma. Lo que en la práctica se construye es un comité de dirección con la etiqueta de gobernanza, y por eso la segunda y la tercera sesión acaban tratando presupuestos de herramientas en lugar de la clasificación de los sistemas que ya están en producción. La etiqueta importa menos que los derechos de decisión. Se llame como se llame, ponga por escrito qué puede decidir, qué debe elevar y qué nunca debe llegarle. Todo lo demás se deriva de ahí. Nuestra guía sobre la responsabilidad de la IA describe el modelo de rendición de cuentas en el que se inscribe este órgano.
El comité de gobernanza de la IA no es una obligación legal. Estas cuatro cosas sí lo son
Todo estatuto de comité de gobernanza de la IA debería abrirse con esta sección. Las páginas posicionadas la omiten, y es la única que le interesa a un auditor.
Artículo 17, apartado 1: el marco de rendición de cuentas
Los proveedores de sistemas de IA de alto riesgo deben implantar un sistema de gestión de la calidad. El artículo 17, apartado 1, enumera sus elementos, entre ellos un marco de rendición de cuentas que fija las responsabilidades de la dirección y del resto del personal respecto de todos los aspectos enumerados. Esos aspectos abarcan la estrategia de cumplimiento normativo, los procedimientos de diseño y ensayo, la gestión de datos, la gestión de riesgos, la vigilancia poscomercialización, la notificación de incidentes y la conservación de registros. Lea esa lista como el índice del estatuto de su comité de gobernanza de la IA. Para cada elemento del sistema de gestión de la calidad, un rol nombrado debe cargar con él. Si su estatuto se limita a decir que el comité de gobernanza de la IA es responsable del «cumplimiento», el artículo 17 no está satisfecho. Si dice que la persona responsable de ingeniería de datos asume la gestión de datos conforme al artículo 10 y rinde cuentas cada trimestre, sí lo está.
Artículo 26, apartado 2: supervisión encomendada a personas físicas
Los responsables del despliegue de sistemas de alto riesgo encomiendan la supervisión humana a personas físicas que cuentan con la competencia, la formación y la autoridad necesarias, además del apoyo necesario. En esa frase caben tres comprobaciones distintas. Competencia significa que la persona entiende las salidas del sistema y sus límites. Formación significa que se la formó en ese sistema concreto. Autoridad significa que puede efectivamente anular la decisión o escalarla, lo que en la práctica impide situarla por debajo de quien tiene los objetivos a los que el sistema sirve. Un comité de gobernanza de la IA no puede ejercer por sí mismo la supervisión del artículo 26. Solo puede designar a quienes la ejercen, verificar su capacidad real y dejar constancia. Nuestra guía sobre la supervisión humana explica qué exigen los artículos 14 y 26 en la práctica.
Anexo V, punto 8: alguien firma
El artículo 47 obliga al proveedor a redactar, para cada sistema de alto riesgo, una declaración UE de conformidad escrita, legible por máquina, firmada a mano o electrónicamente, y a mantenerla a disposición de las autoridades nacionales competentes durante diez años. El anexo V fija su contenido, y su punto 8 exige el nombre y la función de quien la firmó, la indicación de en nombre de quién firma y una firma. Un comité de gobernanza de la IA no tiene firma. Alguien, en su organización, certificará personalmente que un sistema cumple el reglamento, y lo hará bajo la exclusiva responsabilidad del proveedor. Lo más útil que un comité de gobernanza de la IA puede hacer en su primera sesión es determinar quién es esa persona y qué necesitará para firmar sin reservas. La mayoría de las organizaciones descubre la respuesta durante la evaluación de la conformidad, es decir, demasiado tarde.
ISO/IEC 42001, apartado 5.3, y NIST AI RMF GOVERN 2
Fuera de la Unión Europea, la misma expectativa toma la forma de un requisito de sistema de gestión. El apartado 5.3 de la norma ISO/IEC 42001 obliga a la alta dirección a asignar, comunicar y autorizar funciones, responsabilidades y autoridades relativas al sistema de gestión de la IA, incluida la responsabilidad de informar del desempeño del sistema a la alta dirección. Los auditores leen el apartado 5.3 como un requisito de rendición de cuentas documentada a lo largo de todo el ciclo de vida, no como un organigrama. El marco de gestión de riesgos del NIST coloca el mismo contenido en GOVERN 2. GOVERN 2.1 pide que funciones, responsabilidades y líneas de comunicación estén documentadas y comprendidas. GOVERN 2.2 pide que el personal y los socios reciban formación. GOVERN 2.3 sitúa las decisiones sobre tolerancia al riesgo en la dirección general y no en quienes construyeron el modelo. Cuatro obligaciones, y ningún comité de gobernanza de la IA entre ellas. El comité de gobernanza de la IA se gana su sitio únicamente produciendo el marco de rendición de cuentas, las personas supervisoras nombradas, la persona firmante y la prueba de que las tres primeras son reales.
Quién se sienta, y qué carga cada asiento
Las listas de miembros de un comité de gobernanza de la IA se leen como una enumeración de departamentos. Eso es una sala, no un órgano de gobernanza. Ate un deber a cada asiento. Presidencia, por lo general una figura directiva con responsabilidad sobre resultados. Carga con la tolerancia al riesgo que aplica el comité de gobernanza de la IA y con la escalada al consejo de administración. GOVERN 2.3 sitúa esa decisión en el nivel ejecutivo por una razón sencilla: una tolerancia fijada por un grupo de trabajo es una preferencia, no un mandato. Persona firmante. La designada conforme al anexo V, punto 8, para las declaraciones de conformidad. A menudo la propia presidencia en un proveedor pequeño, y la dirección de producto o técnica en uno mayor. Este asiento existe, lo cubra usted deliberadamente o no. Legal y regulatorio. Carga con la decisión de clasificación conforme a los artículos 6 y 7 y con la respuesta a qué papel ocupa la organización en cada sistema: proveedor, responsable del despliegue, importador, distribuidor o representante autorizado. La mayoría de las discrepancias internas son en realidad discrepancias sobre el papel. Protección de datos. Carga con el encaje con el RGPD, en particular con la cuestión de si junto a la evaluación de impacto en los derechos fundamentales hace falta también una evaluación de impacto en la protección de datos, y con la base jurídica de los datos de entrenamiento. La Agencia Española de Protección de Datos es el interlocutor natural de este asiento. Nuestra nota sobre la evaluación de impacto de IA aclara qué régimen se aplica. Seguridad. Carga con los requisitos de exactitud, solidez y ciberseguridad del artículo 15, con las pruebas adversarias y con el encaje en la respuesta a incidentes. Responsable de negocio del modelo y de los datos. Carga con el seguimiento del rendimiento, con la deriva y con la respuesta honesta a qué uso real tiene el sistema, que con frecuencia difiere de lo que decía la solicitud inicial. Recursos humanos o enlace con la representación de los trabajadores, cuando el empleo está en juego. Carga con la información a las personas trabajadoras prevista en el artículo 26, apartado 7, y con los derechos de información de la representación legal. Es el asiento que más se olvida, y el único cuya omisión puede detener un proyecto. Dos reglas mantienen honesta la sala. Primero, distinga en el estatuto entre miembros que asesoran y miembros que responden, porque un miembro responsable no puede abstenerse. Segundo, ponga un techo al tamaño. Un comité de gobernanza de la IA de quince personas no decide nada: asiste a presentaciones.
Derechos de decisión: qué puede decidir el comité y qué no
Escriba los derechos de decisión del comité de gobernanza de la IA antes que su composición. Un órgano sin ellos deriva hacia el trabajo más fácil disponible, que es la compra de herramientas. Bastan cuatro disposiciones: aprobar, aprobar con condiciones, aplazar a la espera de evidencia y detener. Cada una recibe una persona responsable y una fecha. La aprobación con condiciones es la disposición más útil y la que falta en la mayoría de los estatutos, lo que fuerza una elección binaria para la que el comité de gobernanza de la IA no está preparado. Algunas decisiones deben elevarse al consejo: una práctica prohibida en el sentido del artículo 5, todo primer despliegue de un sistema clasificado de alto riesgo, toda aceptación de un riesgo residual contra el criterio formal de la persona propietaria del riesgo y todo incidente grave que active una obligación de notificación. El resto el consejo no lo quiere, y su deber de vigilancia se satisface con las excepciones y con la vista agregada, no con la cola. Algunas decisiones no deben llegar nunca al comité de gobernanza de la IA. Las herramientas internas de productividad sin datos personales y sin salida externa se resuelven con una política permanente, y si su proceso de entrada las encamina al órgano, este gastará allí su autoridad. La clasificación por nivel de riesgo es el filtro que protege el orden del día. Clasifique en la entrada, encamine por nivel y reserve la sala para los sistemas con consecuencia jurídica. Nuestra guía sobre los sistemas de IA de alto riesgo trata la decisión de clasificación en sí. La última regla no la plantea ninguna página posicionada. El órgano que aprueba un caso de uso no puede ser el que le da aseguramiento. El Instituto de Auditores Internos proyecta la supervisión de la IA sobre el modelo de las tres líneas, a través de tres dominios: gobernanza, gestión y auditoría interna, donde el entorno de control lo establece la gestión en primera línea y el órgano de gobierno se apoya en la información que le suministra la auditoría interna. Un comité de gobernanza de la IA que escribe el control, lo ejecuta y lo valida produce un documento, no un aseguramiento. Mantenga la auditoría de IA independiente del órgano que aprobó el sistema.
La cadencia es un control, no un calendario
Casi todos los estatutos de comité de gobernanza de la IA en circulación fijan un mínimo trimestral, con ritmo mensual a discreción de la presidencia. Compárelo con los relojes que el reglamento hace correr de verdad. El artículo 73 obliga al proveedor a notificar un incidente grave a la autoridad de vigilancia del mercado sin demora indebida y, en todo caso, en un plazo de 15 días desde que tuvo conocimiento. El plazo baja a 10 días cuando pudo causarse un fallecimiento, y a 2 días en caso de infracción generalizada o de perturbación grave e irreversible de una infraestructura crítica. El artículo 73, apartado 5, admite una notificación inicial incompleta que se completa después, lo que es una concesión exactamente a este problema. Ningún comité de gobernanza de la IA de cadencia trimestral cumple un plazo de 2 días. Tampoco uno mensual. No es un argumento contra una cadencia estable: es un argumento para que la cadencia solo cargue el trabajo deliberativo y para que todo lo sujeto a plazo descanse en una delegación permanente. Bastan tres mecanismos. Una guardia, para que a cualquier hora una persona nombrada pueda calificar un suceso y poner el reloj en marcha. Un disparador de convocatoria escrito en el estatuto, que precise quién puede reunir al órgano en veinticuatro horas y qué puede decidir en solitario mientras tanto. Y un punto permanente del orden del día sobre vigilancia poscomercialización, para que las señales de deriva y las reclamaciones que preceden a la mayoría de los incidentes lleguen a la sala antes que el incidente. Nuestra guía sobre la notificación de incidentes de IA detalla el flujo del artículo 73. En España conviene añadir una nota. La Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023 y con sede en A Coruña, fue la primera agencia nacional dedicada a la IA en la Unión Europea, y es el interlocutor de referencia del régimen de supervisión. El destinatario de la notificación está por tanto identificado, y un comité de gobernanza de la IA debería haber recorrido ese canal al menos una vez en frío, antes de necesitarlo. La cadencia deliberativa, a su vez, se regula por el caudal y no por el calendario. Si la entrada produce doce clasificaciones de alto riesgo por trimestre, las sesiones trimestrales garantizan una cola, y la cola es exactamente el punto donde empieza el despliegue clandestino.
Qué debe producir el comité como prueba
Una autoridad no inspecciona un comité de gobernanza de la IA: inspecciona registros. Cinco artefactos cargan con el peso. Las actas como actos de decisión. Asistentes y excusas, la decisión entre las cuatro disposiciones, el razonamiento, los votos particulares con nombre, las condiciones, la persona responsable y la fecha. Un acta que solo registra el resultado no vale nada en una investigación, porque la pregunta será si la decisión era razonable con la información disponible entonces, y solo el razonamiento responde. El registro de casos de uso. Una fila por sistema, con el papel ocupado, la clasificación y su razonamiento, la persona supervisora nombrada conforme al artículo 26, la fase del ciclo de vida y la fecha de revisión. Ese registro es además la respuesta concreta a la IA en la sombra, porque un sistema que nadie ha registrado es un sistema que nadie supervisa. Véase nuestra página sobre la auditabilidad de la IA para lo que hace comprobable un sistema. Los registros de actividad. El artículo 26, apartado 6, obliga al responsable del despliegue a conservar los registros generados automáticamente por un sistema de alto riesgo, en la medida en que estén bajo su control, durante un periodo adecuado a la finalidad prevista y, como mínimo, de seis meses, salvo disposición en contrario. Seis meses son un suelo, no un objetivo, y son más cortos que la mayoría de los plazos de investigación. La documentación técnica del anexo IV. Alguien la sostiene, debe estar actualizada en el momento de la introducción en el mercado y seguir la evolución del sistema. La tarea del comité de gobernanza de la IA es comprobar que esa persona existe y que el documento no lleva dieciocho meses de retraso respecto del modelo en explotación. La declaración de conformidad. Firmada, legible por máquina, conservada diez años tras la introducción en el mercado o la puesta en servicio. Una prueba útil: pregunte qué podría entregar el comité de gobernanza de la IA mañana por la mañana a una autoridad sin preparar nada. Si la respuesta honesta es una presentación, el órgano todavía no es un control.
El calendario 2027 que un estatuto escrito hoy debe asumir
Es en las fechas donde muchas publicaciones dedicadas al comité de gobernanza de la IA están ya sencillamente equivocadas, porque el calendario se movió después de escribirse. Ya aplicable: las prácticas prohibidas del artículo 5 y el deber de alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025, y las obligaciones sobre modelos de uso general desde el 2 de agosto de 2025. La alfabetización es la obligación más descuidada y la que un comité de gobernanza de la IA puede honrar más deprisa. Desde el 2 de agosto de 2026: las obligaciones de transparencia del artículo 50 sobre contenidos sintéticos, información a las personas usuarias de chatbots, marcado de ultrafalsificaciones y reconocimiento de emociones. Si la organización genera o manipula contenido, es el plazo duro más cercano. Aplazadas: el reglamento (UE) 2026/1744, el llamado ómnibus digital sobre IA, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, trasladó las obligaciones de alto riesgo autónomas del anexo III al 2 de diciembre de 2027 y las del anexo I al 2 de agosto de 2028. Las prácticas prohibidas y el régimen de los modelos de uso general no se modificaron. Para un comité de gobernanza de la IA, ese aplazamiento no es una razón para ir más despacio: es un presupuesto. El trabajo de clasificación, el marco de rendición de cuentas y el registro son las partidas de largo plazo, y quien trate el 2 de diciembre de 2027 como fecha de salida en lugar de como plazo acabará montando la documentación del anexo IV para sistemas que llevan dos años funcionando sin supervisión.
Cuándo no debe crear un comité de gobernanza de la IA
Una de las páginas mejor posicionadas para esta búsqueda sostiene que no hace falta este órgano en absoluto. El argumento merece una respuesta en lugar de silencio, porque acierta más a menudo de lo que admiten las guías de los proveedores. Un comité de gobernanza de la IA permanente es la estructura equivocada cuando concurren tres condiciones a la vez: la organización no es proveedora ni responsable del despliegue de ningún sistema de alto riesgo, no opera un modelo de uso general propio y su uso de la IA se limita a unas pocas herramientas de mercado sin decisiones automatizadas sobre personas. En ese caso el órgano produce ceremonia. La estructura correcta es una persona responsable nombrada, una política de IA realmente aplicada y un punto permanente en un comité de riesgos o de auditoría ya existente. Un comité de gobernanza de la IA también es la estructura equivocada cuando sirve para repartir la responsabilidad hasta que nadie la sostiene. Si el estatuto no nombra a personas responsables, el órgano ha hecho la responsabilidad más difícil de localizar que antes, que es exactamente el defecto que el artículo 17 y el apartado 5.3 buscan impedir. Dos disparadores honestos: el primer sistema clasificado de alto riesgo conforme al anexo III, y la primera vez que dos áreas discrepan sobre un despliegue sin que exista un lugar donde zanjarlo dejando rastro escrito. Antes de eso, una persona responsable nombrada y una buena política de IA rinden más que un comité de gobernanza de la IA.
Preguntas frecuentes
¿Cuál es la función de un comité de gobernanza de la IA? El comité de gobernanza de la IA ostenta y ejerce derechos de decisión delegados sobre los sistemas de IA con consecuencia jurídica o material, y produce los rastros que prueban que esas decisiones se tomaron deliberadamente. En concreto: clasificar los sistemas y el papel ocupado en cada uno, aprobar o condicionar despliegues, designar a las personas responsables de la supervisión y de la firma de los documentos de conformidad, y examinar los incidentes y la vigilancia poscomercialización. El papel consultivo es secundario: un órgano que solo asesora no necesita estatuto. ¿Quién es responsable de la gobernanza de la IA? Personas nombradas, no el comité de gobernanza de la IA. El reglamento asigna los deberes al proveedor o al responsable del despliegue como organización y después exige que esa organización identifique personas físicas: las supervisoras del artículo 26, el personal cuyas responsabilidades figuran en el marco de rendición de cuentas del artículo 17 y quien firma la declaración de conformidad conforme al anexo V. El apartado 5.3 de ISO/IEC 42001 pide lo mismo a la alta dirección. ¿En qué se diferencia de un comité de dirección de IA? El comité de dirección decide qué debe construir y financiar la organización. El comité de gobernanza de la IA decide si puede explotar lo construido y bajo qué condiciones. Idealmente ambos no comparten presidencia, porque quien responde de la entrega no debería aprobar también la aceptación del riesgo. Si la plantilla obliga a un solo órgano, separe el orden del día y levante acta de los dos papeles por separado. ¿Con qué frecuencia debe reunirse? Regule la cadencia deliberativa por el volumen de entrada y no por costumbre, y no confíe nunca al calendario de sesiones nada sujeto a plazo. El artículo 73 hace correr relojes de 15, 10 y 2 días, de modo que el estatuto necesita una guardia, una regla de convocatoria urgente y un perímetro escrito de lo que una sola persona puede decidir. ¿Hace falta un comité de gobernanza de la IA para certificarse en ISO 42001? No. El apartado 5.3 exige funciones, responsabilidades y autoridades asignadas y comunicadas, además de una vía de reporte del desempeño del sistema de gestión hacia la alta dirección. Un órgano es una forma cómoda de acreditarlo, pero el auditor comprueba que la rendición de cuentas esté documentada, comprendida y ejercida, no que exista un órgano con un nombre concreto. Nuestra guía sobre la certificación ISO 42001 describe qué muestrean realmente los auditores. ¿Qué debe contener el estatuto? Objeto y alcance, las cuatro disposiciones de decisión y quién las ostenta, la matriz de escalada al consejo, los asientos con un deber nombrado en cada uno, el quórum y la regla de conflicto de intereses, el disparador de convocatoria y la guardia, el orden del día permanente, las obligaciones de conservación con sus plazos y el ciclo de revisión del propio estatuto. Añada un anexo que asocie cada elemento del artículo 17, apartado 1, a un rol nombrado: ese anexo es el que pedirá un auditor.
Conclusión
Las páginas posicionadas para esta búsqueda describen un diseño organizativo. El reglamento describe una cadena de responsabilidad, y esa cadena termina en una persona con un bolígrafo. Un comité de gobernanza de la IA vale exactamente en la medida en que hace explícita esa cadena: quién clasificó este sistema y con qué razonamiento, quién lo supervisa y con qué autoridad, quién firmará por él y dónde está el rastro de los tres. Construya el estatuto hacia atrás desde el artículo 17, el artículo 26, el anexo V y el apartado 5.3. Dé al comité de gobernanza de la IA disposiciones reales y una vía de escalada real. Mantenga el aseguramiento independiente de la aprobación. Ajuste la cadencia a los relojes de incidente y no al calendario. Y si las cuatro obligaciones todavía no le alcanzan, póngalo por escrito y nombre a una persona responsable. Un órgano que existe porque existen los deberes es un control. Uno que existe porque un competidor anunció el suyo es una reunión.