Comité de gobernanza de IA: cómo montarlo para cumplir el Reglamento de IA

Una empresa de productos sanitarios en Eindhoven tiene una política de IA, un registro de riesgos y un inventario de sistemas a medio terminar; y aun así no logra responder a la pregunta que su consejo de administración repite una y otra vez: ¿quién autorizó desplegar el nuevo modelo de triaje? Nadie. Ese vacío es precisamente lo que resuelve un comité de gobernanza de IA. Es el órgano permanente y multidisciplinar que ostenta la autoridad de decisión sobre tu parque de IA, distinto del modelo operativo de gobernanza en sentido amplio (lo que la gobernanza es) y de las políticas concretas (qué reglas se aplican). Esta página es el manual para ponerlo en marcha: asientos, carta, derechos de decisión, cadencia y reporte al consejo.

El Reglamento (UE) 2024/1689 —el Reglamento de IA— no nombra ningún comité ni obliga a crear uno por su título. Hace algo más exigente: asigna obligaciones que ningún responsable único puede asumir en solitario, y espera que demuestres ante las autoridades una toma de decisiones con rendición de cuentas. Un comité permanente es la vía con la que la mayoría de las organizaciones llegan a ese listón.

---

Qué es un comité de gobernanza de IA, y por qué lo necesitas

El comité es el órgano operativo que convierte la política en decisiones con rendición de cuentas. Una política establece cómo deben evaluarse los proveedores; el comité decide si un sistema concreto supera el listón y concede excepciones documentadas. El Reglamento asigna tres bloques de obligaciones que obligan a contar con un órgano multidisciplinar:

• El artículo 17 exige que los proveedores de alto riesgo operen un sistema de gestión de la calidad que documente una estrategia de cumplimiento, un marco de rendición de cuentas y —de forma explícita en el artículo 17, apartado 1, letra m)— una asignación de la responsabilidad de la dirección. No puedes asignar eso sin un órgano nombrado y un patrocinador nombrado.
• El artículo 26 reparte los deberes del responsable del despliegue —operar conforme a las instrucciones del proveedor, garantizar la supervisión humana del artículo 14, comprobar la pertinencia de los datos de entrada, conservar los registros y vigilar el funcionamiento— entre TI, seguridad, negocio y jurídico. Ninguna función firma todo por su cuenta.
• La alfabetización en materia de IA del artículo 4, en vigor desde el 2 de febrero de 2025, obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal (desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744), sin exigir garantizar un nivel concreto de cada persona). Alguien tiene que fijar esa política para toda la organización.

El comité es la respuesta a quién decide en la clasificación de riesgo, las excepciones y la aprobación de proveedores. Sin él, esas decisiones se toman por defecto —por quien haya desplegado lo último—, que es exactamente lo que un auditor no aceptará.

---

Quién integra el comité: los asientos y el directivo responsable

Los asientos son funciones, no personas. Una empresa con un puñado de sistemas de IA puede operar un comité de cuatro asientos; una misma persona puede ocupar dos asientos no conflictivos. La separación que hay que proteger: mantén la seguridad de la información separada del responsable de negocio que despliega el sistema, para que la función de control no corrija su propio examen.

Asientos con voto (núcleo):

• Responsable de cumplimiento o regulatorio: el candidato natural a presidir.
• Asesoría jurídica: consultada en cada decisión de nivel.
• Responsable de TI o de ingeniería: rinde cuentas de cómo se construye el sistema.
• Seguridad de la información: el CISO o un delegado.
• Protección de datos: el DPD, allí donde exista conforme al artículo 37 del RGPD.
• Responsables de negocio o de producto: quienes despliegan los sistemas de IA.

Nombra a un único directivo responsable: un patrocinador a nivel de consejo que asuma el mandato del comité. Esto no es ceremonial: refleja la exigencia del artículo 17, apartado 1, letra m) de asignar la responsabilidad de la dirección en el SGC. El patrocinador es a quien el consejo pide cuentas y quien eleva las decisiones del comité.

Distingue a los miembros permanentes (que votan) de los asesores (a los que se consulta). Compras, RR. HH. —en particular cuando la IA toca usos de empleo del punto 4 del anexo III— y la asesoría externa asisten según haga falta. Al DPD se le consulta, no se le absorbe: el comité cubre obligaciones del Reglamento de IA mucho más amplias que las del RGPD, pero señala el solapamiento en cualquier tratamiento de alto riesgo de datos personales del anexo III, donde se aplican ambos regímenes.

---

La carta del comité: alcance, derechos de decisión y escalado

La carta es lo que hace defendible al comité. Redáctala antes de la primera reunión. Necesita siete secciones: finalidad; alcance (qué sistemas y qué roles —proveedor frente a responsable del despliegue conforme al artículo 3); composición y quórum; derechos de decisión; umbrales de escalado; líneas de reporte; y cadencia de revisión.

Derechos de decisión que enumerar

La carta debe detallar qué decide realmente el comité:

• Autorización del nivel de riesgo: clasificar cada sistema como prohibido conforme al artículo 5, de alto riesgo conforme al artículo 6 y el anexo III, de riesgo limitado bajo los deberes de transparencia del artículo 50, o mínimo.
• Aprobación de excepciones: documentadas, acotadas en el tiempo, con un dueño.
• Aprobación de proveedores y modelos: la puerta que un modelo cruza antes de pasar a producción.

El disparador del cambio de rol

Incorpora una revisión obligatoria allí donde la empresa pueda convertirse en proveedor. Conforme al artículo 25, un responsable del despliegue, distribuidor o importador se convierte en proveedor —heredando todo el conjunto de obligaciones de alto riesgo— en el momento en que pone su nombre o marca en un sistema de alto riesgo, introduce una modificación sustancial o cambia la finalidad prevista a una de alto riesgo. La carta debe exigir la revisión del comité en cualquiera de estos casos. Es la trampa más común para las empresas que compran un modelo y revenden su resultado bajo su propia marca.

Umbrales de escalado

Define qué asciende al directivo responsable y al consejo: cualquier señal de práctica prohibida conforme al artículo 5, cualquier nuevo despliegue de alto riesgo, cualquier notificación de incidente grave conforme al artículo 73.

Por último, cruza los derechos de decisión del comité con los deberes de transparencia del artículo 50, para que asuma la decisión sobre la transparencia en chatbots, el etiquetado de ultrafalsificaciones y contenido sintético, y el marcado en formato legible por máquina de las salidas de IA generativa. Todo el artículo 50, incluido el marcado de contenido del apartado 2, se aplica desde el 2 de agosto de 2026; solo los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (artículo 111, apartado 4, introducido por el Ómnibus Digital, en vigor desde el 27 de julio de 2026).

---

Una RACI para las decisiones del comité

Esta es una RACI de asientos del comité —cada fila es una decisión que el comité toma, no una descripción de puesto— y es deliberadamente distinta de la RACI organizativa más amplia de la página pilar de gobernanza. Las columnas son los asientos nombrados; las filas, las decisiones recurrentes.

El directivo responsable es Responsable de aprobar (A) en las decisiones de luz verde / no; la presidencia de cumplimiento es Responsable de ejecutar (R) la clasificación; el jurídico es Consultado (C) en cada decisión de nivel; al DPD se le Consulta (C) allí donde haya datos personales en juego.

Una salvedad se impone sobre la matriz: las filas de prácticas prohibidas no son autorizaciones graduadas, son decisiones de parada innegociables. El artículo 5, apartado 1, letra f) prohíbe el reconocimiento de emociones en el trabajo y la educación; el artículo 5, apartado 1, letra g) prohíbe la categorización biométrica que infiera atributos sensibles como la raza, las opiniones políticas o la orientación sexual, con excepciones acotadas. El comité no las pondera; las detiene.

---

Cadencia y líneas de reporte al consejo

Una reunión permanente mensual más sesiones ad hoc para nuevos despliegues de alto riesgo e incidentes funciona para la mayoría de las organizaciones. Ata la cadencia a la sustancia: para los proveedores de alto riesgo, la obligación de vigilancia poscomercialización del artículo 72 es continua, y el ritmo del comité debería seguirla.

La línea de reporte va comité → directivo responsable → consejo, con un punto permanente de riesgo de IA en el orden del día del consejo. Ancla el interés del consejo en la exposición que el comité gestiona. Los niveles de sanción del artículo 99 dejan claro lo que está en juego:

• Infringir las prohibiciones del artículo 5: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99, apartado 3).
• La mayoría de las demás infracciones de obligaciones: hasta 15 millones de euros o el 3 % (artículo 99, apartado 4).
• Facilitar información incorrecta, incompleta o engañosa a las autoridades: hasta 7,5 millones de euros o el 1 % (artículo 99, apartado 5).
• Para pymes y empresas emergentes, el artículo 99, apartado 6 limita la multa al menor de los dos: el porcentaje aplicable o la cuantía fija.

Define los plazos de escalado de incidentes frente al artículo 73: los incidentes graves que afecten a sistemas de alto riesgo deben notificarse a las autoridades de vigilancia del mercado. El comité asume el umbral de qué desencadena una notificación y el flujo de trabajo que la presenta.

A lo largo de todo, el comité mantiene la pista de auditoría —actas, registros de decisiones y un registro de excepciones— que demuestra la asignación de responsabilidad de la dirección que espera el SGC del artículo 17. La pista es la prueba; sin ella, la gobernanza no se puede demostrar.

---

Qué posee el comité: inventario, clasificación y la hoja de ruta de subsanación

Tres documentos residen de forma permanente en el comité.

El inventario de sistemas de IA es la única fuente de verdad: cada sistema, su rol (proveedor o responsable del despliegue), su finalidad y su nivel de riesgo. Nada más funciona sin él.

La clasificación es el trabajo analítico central del comité: aplicar el artículo 6 y el anexo III a cada sistema y registrar el razonamiento. El mapa del anexo III recorre: punto 1 biometría, punto 3 educación, punto 4 empleo, punto 5 servicios esenciales (incluida la solvencia y los seguros de vida o de salud), punto 6 aplicación de la ley, y así sucesivamente. Registrar por qué un sistema acabó en su nivel importa tanto como el nivel.

La clasificación también encamina correctamente la IA integrada en productos, donde muchas empresas se equivocan. Los sistemas autónomos del anexo III asumen íntegro el conjunto de obligaciones de alto riesgo de forma directa. Pero la IA de seguridad de productos del anexo I, sección A —productos sanitarios bajo el MDR 2017/745 y el IVDR 2017/746, juguetes, ascensores y el resto; las máquinas pasaron a la sección B con el Ómnibus Digital— encamina la evaluación de la conformidad a través de los actos sectoriales conforme al artículo 43, apartado 3, no a través de los artículos 8 a 15. Y la IA de productos del anexo I, sección B (vehículos, aviación, ferrocarril, marítimo) se rige únicamente por el artículo 6, apartado 1 y las disposiciones de transporte enumeradas, nunca por los artículos autónomos de alto riesgo. El comité posee qué vía aplica.

La hoja de ruta de subsanación sigue la brecha frente a la obligación, con dueños y fechas, secuenciada según el calendario:

• Prohibiciones del artículo 5 y alfabetización del artículo 4: en vigor el 2 de febrero de 2025.
• Obligaciones de GPAI (artículos 51 a 55): en vigor el 2 de agosto de 2025.
• Obligaciones de alto riesgo del anexo III (artículo 6, apartado 2): fecha original el 2 de agosto de 2026, aplazada al 2 de diciembre de 2027 por el Ómnibus Digital, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026: planifica frente al 2 de diciembre de 2027.
• Alto riesgo de IA integrada en productos del anexo I: 2 de agosto de 2028 (antes, 2 de agosto de 2027).

---

Ejemplo práctico: montar el comité en Meridian Lending

Meridian Lending es una entidad de crédito al consumo de la UE con 320 empleados. Despliega un modelo automatizado de scoring de solvencia —un uso de alto riesgo conforme al punto 5, letra b), del anexo III, que cubre la IA usada para evaluar la solvencia o establecer puntuaciones de crédito. Así monta su comité.

Nombra al patrocinador y constituye el comité. Se nombra al director financiero directivo responsable. El comité da asiento a cumplimiento (presidencia), jurídico, el responsable de ingeniería, el CISO, el DPD y el responsable de producto de préstamos —seis funciones, con seguridad separada del responsable de negocio que despliega.

Toma las primeras decisiones. El comité registra el modelo de scoring en el inventario; lo clasifica como de alto riesgo conforme al punto 5, letra b), del anexo III con el razonamiento registrado; autoriza el diseño de supervisión humana conforme al artículo 14; y aprueba al proveedor del modelo.

Ejecuta la comprobación de cambio de rol. Meridian compra el modelo pero re-marca la salida del scoring bajo su propio nombre. El comité señala una posible condición de proveedor conforme al artículo 25 y lo deriva a revisión jurídica antes de que nada se lance —exactamente el disparador que exige la carta.

Fija el ritmo. Meridian adopta una cadencia mensual más sesiones disparadas por incidentes, con el comité reportando a través del director financiero al consejo. Su hoja de ruta de subsanación se secuencia hacia la fecha de alto riesgo del 2 de diciembre de 2027, ya fijada por el Ómnibus Digital adoptado. Se consulta al DPD a lo largo de todo, porque el modelo de scoring trata datos personales.

---

Cómo ayuda Confir

Un comité necesita un sustrato operativo: los documentos que su carta exige, mantenidos al día. Confir le da uno: un inventario estructurado de sistemas de IA, clasificación de riesgo basada en reglas frente al artículo 6 y el anexo III, y una hoja de ruta de subsanación con dueños y fechas.

El motor de síntesis es determinista y basado en reglas —sin inferencia de modelos, sin alucinación. Las mismas entradas producen siempre la misma clasificación, y cada salida es explicable y trazable, que es lo que el comité necesita para su registro de decisiones. Confir mantiene la pista de auditoría de decisiones y excepciones que evidencia la asignación de responsabilidad de la dirección del artículo 17 y respalda la vigilancia poscomercialización del artículo 72.

El flujo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se comercializa como completo. Confir es el sistema de registro desde el que gobierna el comité —inventario, clasificación y hoja de ruta en un solo lugar, en confir.eu.

---

Preguntas frecuentes

¿Obliga el Reglamento de IA a tener un comité de gobernanza de IA?

No. El Reglamento (UE) 2024/1689 no nombra ningún comité ni obliga a crear uno por su título. Sí asigna, en cambio, obligaciones que un responsable único no puede asumir en solitario: el sistema de gestión de la calidad del artículo 17 exige un marco documentado de rendición de cuentas y una asignación de la responsabilidad de la dirección, y el artículo 26 reparte los deberes del responsable del despliegue entre las funciones de TI, seguridad, jurídico y negocio. Un comité permanente y multidisciplinar es el mecanismo práctico que la mayoría de las organizaciones usa para cumplir estas obligaciones y demostrar ante las autoridades una toma de decisiones con rendición de cuentas.

¿Quién debería integrar un comité de gobernanza de IA?

Los asientos del núcleo son funciones, no personas: un responsable de cumplimiento o regulatorio (a menudo la presidencia), asesoría jurídica, un responsable de TI o de ingeniería, seguridad de la información (CISO o delegado), protección de datos (el DPD allí donde exista conforme al artículo 37 del RGPD) y los responsables de negocio que despliegan los sistemas de IA. Un directivo responsable a nivel de consejo patrocina el comité, reflejando la asignación de responsabilidad de la dirección que espera el SGC del artículo 17. Compras y RR. HH. asisten como asesores cuando procede —por ejemplo, donde la IA toca casos de uso de empleo del punto 4 del anexo III.

¿Qué decisiones toma realmente el comité?

Tres clases de decisión definen su mandato: la autorización del nivel de riesgo (clasificar cada sistema como prohibido conforme al artículo 5, de alto riesgo conforme al artículo 6 y el anexo III, de riesgo limitado conforme al artículo 50, o mínimo), la aprobación de excepciones y la aprobación de proveedores o modelos. También asume la luz verde / no a nuevos despliegues de alto riesgo, la aprobación del diseño de supervisión humana conforme al artículo 14, y el escalado de incidentes graves conforme al artículo 73. Crucialmente, debe revisar cualquier cambio que pueda convertir a un responsable del despliegue en proveedor conforme al artículo 25 —una re-marca, una modificación sustancial o un cambio de finalidad prevista.

¿En qué se diferencia el comité de un responsable de cumplimiento de IA?

El responsable de cumplimiento es un rol individual; el comité es el órgano colectivo. El Reglamento no obliga a ninguno por su título, pero el comité aporta la autoridad de decisión multidisciplinar que ningún responsable único ostenta —un responsable de cumplimiento no puede autorizar por su cuenta el riesgo de ingeniería, la postura de seguridad o el impacto en protección de datos. En la práctica, el responsable de cumplimiento suele presidir el comité y llevar sus decisiones, mientras que el órgano distribuye la rendición de cuentas y evidencia la asignación de responsabilidad de la dirección que espera el SGC del artículo 17.

¿Con qué frecuencia debería reunirse el comité y a quién reporta?

Una cadencia permanente mensual más sesiones ad hoc para nuevos despliegues de alto riesgo e incidentes funciona para la mayoría de las organizaciones, y se alinea con la obligación continua de vigilancia poscomercialización del artículo 72 para los proveedores de alto riesgo. El comité reporta a través del directivo responsable nombrado al consejo, con un punto permanente de riesgo de IA en el orden del día del consejo. Dada la exposición a sanciones —hasta 35 millones de euros o el 7 % del volumen de negocios por infracciones del artículo 5 conforme al artículo 99, apartado 3— la visibilidad del consejo está justificada, no es opcional.

¿Qué posee el comité en el día a día?

Posee el inventario de sistemas de IA como única fuente de verdad, la clasificación de cada sistema frente al artículo 6 y el anexo III con el razonamiento registrado, y la hoja de ruta de subsanación de brechas, dueños y fechas. Mantiene el registro de decisiones y el registro de excepciones que evidencian una gobernanza con rendición de cuentas. La hoja de ruta se secuencia frente al calendario del Reglamento —en particular la fecha de alto riesgo del anexo III, aplazada del 2 de agosto de 2026 al 2 de diciembre de 2027 por el Ómnibus Digital, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

¿En qué se diferencia esto de nuestras políticas de IA?

Las políticas son las reglas; el comité es el órgano que las aprueba, las aplica y las hace cumplir. Una política establece cómo deben evaluarse los proveedores o cómo se asignan los niveles de riesgo, pero un comité decide si un proveedor o sistema concreto supera el listón y concede excepciones documentadas donde no lo hace. El comité posee el ciclo de vida de las políticas y arbitra los casos que las políticas no pueden resolver por completo —convirtiendo los estándares escritos en decisiones con rendición de cuentas y auditables.

---

Guías relacionadas

• Modelo operativo de gobernanza de IA
• Gestión de políticas de IA
• El rol del responsable de cumplimiento de IA
• Evaluación de preparación para el Reglamento de IA
• Registro de casos de uso de IA