Comité de ética de IA: qué hace un órgano de gobernanza de IA bajo el Reglamento de IA
Un comité de ética de IA es una práctica, no un órgano legal: cómo filtra usos del artículo 5 y autoriza despliegues de alto riesgo del anexo III.
Empieza por el encuadre honesto: un comité de ética de IA es una práctica, no una exigencia legal. El Reglamento de IA, Reglamento (UE) 2024/1689, no menciona ningún «comité de ética», ningún «órgano de gobernanza de IA» ni ningún cuerpo de supervisión obligatorio. Lo que el Reglamento sí exige —un sistema de gestión de riesgos, supervisión humana, rendición de cuentas con nombre y apellidos— se entrega de forma más fiable cuando un único grupo posee las decisiones. El comité es el mecanismo que muchas organizaciones eligen; los deberes que cumple son la ley.
Así que la pregunta correcta no es «¿necesitamos un comité de ética?», sino «¿dónde necesitan realmente las obligaciones del Reglamento a una persona que decida, y quién es?». El comité es la respuesta a la segunda mitad.
Qué decide realmente el comité
Un comité de gobernanza de IA que funciona no es un club de debate. Posee una lista corta de decisiones que, de lo contrario, se cuelan por las grietas entre el jurídico, la ingeniería y el negocio:
- Filtrado del artículo 5. Antes de que cualquier uso de IA se lance, alguien debe confirmar que no es una práctica prohibida —puntuación social (artículo 5, apartado 1, letra c)), sistemas manipuladores o que explotan vulnerabilidades (5, apartado 1, letras a) y b)), o reconocimiento de emociones en el trabajo o la educación (5, apartado 1, letra f), que está prohibido, no es meramente de alto riesgo). Esta es una puerta dura, no una preferencia.
- Autorización de despliegues de alto riesgo y del anexo III. Cuando un uso se sitúa en el anexo III (selección de personal, scoring de crédito, identificación biométrica, elegibilidad para servicios esenciales y el resto), el comité lo aprueba para producción y confirma que la pila de obligaciones está en su sitio.
- Fijar el apetito de riesgo. El comité decide qué usos de IA está dispuesta a operar la organización siquiera —un juicio de negocio genuino que ninguna lista de comprobación toma por ti.
- Escalado. Los casos límite —una herramienta cuya clasificación se disputa, una notificación de incidente grave del artículo 73— aterrizan aquí.
Un orden del día corto y bien llevado vale más que una carta elaborada que nadie lee.
Cómo se ata el comité a la maquinaria del Reglamento
El comité se gana su sitio conectándose a tres cosas que el Reglamento exige o implica con fuerza.
| Función del comité | Con qué conecta | Anclaje legal |
|---|---|---|
| Aprueba y revisa usos de alto riesgo | El sistema de gestión de riesgos (un proceso continuo y documentado) | Art. 9 |
| Mantiene el registro de casos de uso de IA | Los deberes de clasificación y registro | Art. 6, art. 49 |
| Confirma que una persona puede anular el sistema | Medidas de supervisión humana | Art. 14 |
| Asigna un responsable rendidor de cuentas con nombre por sistema | Obligaciones de proveedor / responsable del despliegue | Art. 16, art. 26 |
El sistema de gestión de riesgos del artículo 9 es el vínculo portante. No es una evaluación puntual, sino un proceso iterativo que corre a lo largo del ciclo de vida de un sistema de alto riesgo; un comité que se reúne, revisa y registra decisiones es una forma práctica de evidenciar que el proceso está vivo en lugar de ser una carpeta en una estantería. El registro de casos de uso de IA —cada sistema, su clasificación, su rol, su dueño— es la entrada permanente del comité. Y cada sistema de ese registro debería tener un responsable rendidor de cuentas con nombre, no un comité-como-dueño: el comité gobierna, una persona responde por cada sistema.
Proveedor o responsable del despliegue: el cometido del comité cambia
Lo que el comité autoriza depende de qué rol ostente la organización para un sistema dado. Como responsable del despliegue (artículo 26), el comité confirma que el sistema se usa conforme a las instrucciones del proveedor, que el paso de supervisión humana del artículo 14 está dotado de personal, y que se hace una EIDF (artículo 27) allí donde aplica. Como proveedor (artículo 16) —incluido cuando el artículo 25 te transforma en ese rol al marcar o modificar sustancialmente un sistema— la autorización del comité cubre la pila más pesada: gestión de riesgos, documentación técnica, evaluación de la conformidad. Muchas organizaciones son ambos, según el sistema, así que el registro debería anotar el rol junto a la clasificación. Véase roles de proveedor frente a responsable del despliegue.
La fecha límite frente a la que planifica el comité
Las obligaciones de alto riesgo que el comité autoriza aplican desde el 2 de diciembre de 2027 para los sistemas autónomos del anexo III (y desde el 2 de agosto de 2028 para los sistemas integrados en productos del anexo I), fechas fijadas por el Ómnibus Digital, ya adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica frente al 2 de diciembre de 2027. Dos cosas que el comité ya debería estar haciendo cumplir, sea cual sea esa fecha: el filtrado de usos prohibidos del artículo 5 y la alfabetización en IA del artículo 4, ambos en vigor desde el 2 de febrero de 2025.
Ejemplo práctico: el comité de una pyme
Meridian Insurance Services Ltd, una correduría de unos 160 empleados en Dublín con aproximadamente 40 millones de euros de facturación, monta un comité de gobernanza de IA de cuatro personas: la responsable de cumplimiento (presidencia), el CTO, un suscriptor sénior y el DPD. Se reúne mensualmente frente a un registro de una página. Sus decisiones en un trimestre: bloquea una propuesta de «scoring de sentimiento» del personal del centro de llamadas como un uso de reconocimiento de emociones prohibido por el artículo 5, apartado 1, letra f); aprueba un modelo de fijación de precios por riesgo de un tercero —un uso de alto riesgo del punto 5 del anexo III— solo tras confirmar la declaración de conformidad del proveedor, dotar de personal la revisión de supervisión humana del artículo 14 y encargar una EIDF del artículo 27 (los responsables del despliegue de fijación de precios y riesgo en seguros entran en el ámbito de la EIDF); y asigna al suscriptor como responsable rendidor de cuentas con nombre de ese sistema. Ninguna ley obligó al comité a existir, pero es como Meridian evidencia un proceso vivo del artículo 9 y una puerta limpia del artículo 5.
Cómo ayuda Confir
Confir le da al comité su entrada permanente: un registro de cada sistema de IA con su clasificación conforme a los artículos 5 y 6, el rol derivado (proveedor/responsable del despliegue) y un dueño con nombre —producido por un motor determinista y basado en reglas, de modo que la misma admisión arroja siempre el mismo hallazgo. Señala los usos prohibidos del artículo 5 antes de la autorización, encamina los sistemas de alto riesgo a los registros de riesgo del artículo 9 y a la documentación del anexo IV, y hace aflorar dónde aplica una EIDF del artículo 27 —convirtiendo una reunión mensual en una decisión sobre evidencias en lugar de sobre opiniones.
Preguntas frecuentes
¿Obliga el Reglamento de IA a tener un comité de ética de IA?
No. El Reglamento no menciona ningún comité de ética, órgano de gobernanza ni cuerpo de supervisión obligatorio. Exige resultados —un sistema de gestión de riesgos (artículo 9), supervisión humana (artículo 14), rendición de cuentas con nombre de proveedor/responsable del despliegue (artículos 16 y 26)— que un comité es una forma práctica de entregar. El comité es una práctica de gobernanza; las obligaciones que cumple son la ley.
¿Qué decide un comité de gobernanza de IA?
Normalmente cuatro cosas: filtrar cada uso frente a las prohibiciones del artículo 5 antes del lanzamiento; autorizar para producción los despliegues de alto riesgo y del anexo III; fijar el apetito de riesgo de la organización ante la IA; y gestionar escalados como clasificaciones disputadas o notificaciones de incidente grave del artículo 73. El objetivo es un único dueño para decisiones que de lo contrario caen entre el jurídico, la ingeniería y el negocio.
¿Cómo se conecta el comité con el sistema de gestión de riesgos del artículo 9?
El artículo 9 exige un proceso de gestión de riesgos continuo y documentado a lo largo del ciclo de vida de un sistema de alto riesgo, no una evaluación puntual. Un comité que se reúne, revisa los usos de alto riesgo y registra sus decisiones es una forma práctica de evidenciar que el proceso está vivo. La entrada permanente del comité es el registro de casos de uso de IA; su salida permanente es la autorización y revisión documentadas.
¿Quién debería integrar un comité de gobernanza de IA?
No hay composición legal. En la práctica empareja cumplimiento/jurídico (a menudo la presidencia), un líder técnico sénior, un responsable de negocio de la función afectada y el DPD allí donde haya datos personales. Mantenlo lo bastante pequeño para decidir. Cada sistema de IA debería tener además un único responsable rendidor de cuentas con nombre —el comité gobierna, una persona responde por cada sistema.
¿Debería tener cada sistema de IA un dueño con nombre?
Sí, como práctica. El Reglamento asigna obligaciones al proveedor (artículo 16) o al responsable del despliegue (artículo 26), que son roles organizativos, pero la rendición de cuentas funciona mejor cuando cada sistema del registro tiene a una persona con nombre que responde por él. Un comité-como-dueño difumina la responsabilidad; un dueño con nombre por sistema la mantiene concreta.
¿Cuándo se vuelven obligatorias las autorizaciones de alto riesgo?
Las obligaciones de alto riesgo aplican desde el 2 de diciembre de 2027 para los sistemas autónomos del anexo III (2 de agosto de 2028 para los integrados en productos), fechas ya fijadas por el Ómnibus Digital, adoptado por el Parlamento y el Consejo y pendiente solo de publicación en el Diario Oficial. Planifica frente al 2 de diciembre de 2027. El filtrado del artículo 5 y la alfabetización del artículo 4 que el comité hace cumplir ya están en vigor.
Guías relacionadas
- Artículo 9: el sistema de gestión de riesgos
- Artículo 14: supervisión humana
- Roles de proveedor frente a responsable del despliegue
- Artículo 5: prácticas de IA prohibidas
- Un modelo RACI de gobernanza de IA
- Reporte al consejo para la gobernanza de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →