Informes de IA al consejo de administración: qué reportar y con qué cadencia
Qué reportar al consejo sobre la IA: inventario, % clasificado, estado de alto riesgo, incidentes del art. 73 y formación del art. 4, ligado al art. 9.
El consejo de administración no necesita entender cómo funciona un modelo. Necesita saber tres cosas: qué sistemas de IA ejecuta la organización, cuáles podrían generar una sanción y si alguien rinde cuentas por mantenerlos bajo control. Un informe de IA al consejo que no responda a esas tres preguntas es decoración.
Esto no es una obligación estatutaria. El Reglamento (UE) 2024/1689 no exige un «informe al consejo». Es una práctica de gobernanza: la forma en que la responsabilidad regulatoria que recae sobre la organización se traslada al órgano que responde, en última instancia, ante accionistas y reguladores. Pero el contenido del informe sí está anclado en deberes legales concretos, y ahí es donde conviene empezar.
Por qué el consejo necesita una visión de la IA
Las obligaciones de la Ley de IA de la UE recaen sobre la organización, no sobre un departamento. Cuando una autoridad de vigilancia del mercado pregunte por qué un sistema de selección de personal de alto riesgo operaba sin supervisión humana, la respuesta «el equipo de producto no nos lo había contado» no protege a nadie. El consejo aprueba el apetito de riesgo, asigna presupuesto y nombra a los responsables. Sin una visión periódica de la exposición a la IA, aprueba a ciegas.
Hay además un argumento de plazo. El régimen de alto riesgo no es inminente —el 2 de diciembre de 2027 para los sistemas autónomos del Anexo III, fecha fijada por el Ómnibus Digital, ya adoptado—, pero construir un programa que lo satisfaga lleva trimestres, no semanas. Un consejo que solo descubre la exposición de su organización en 2027 ha perdido el margen que tenía para corregirla.
Este aplazamiento ya está adoptado: el Parlamento Europeo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifique contra el 2 de diciembre de 2027 para el alto riesgo autónomo del Anexo III, la fecha ya fijada.
Las seis cifras que pertenecen a un informe al consejo
Un buen informe cabe en una página y se lee en cinco minutos. Estas son las seis líneas que importan.
1. El inventario de IA
Cuántos sistemas de IA construye o despliega la organización, y la tendencia. Un consejo que oye «42 sistemas registrados, frente a 31 el trimestre pasado» entiende algo que un párrafo cualitativo nunca transmite: el ritmo de adopción. El inventario es el fundamento; sin él, todas las cifras siguientes carecen de denominador.
2. El porcentaje clasificado
De los sistemas inventariados, qué proporción ha pasado por una evaluación formal de riesgo con arreglo a los Artículos 5 y 6. Un inventario del 100 % con un 40 % clasificado significa que el 60 % de los sistemas son cajas negras regulatorias: la organización no sabe si alguno entra en una prohibición del Artículo 5 o en una categoría de alto riesgo del Anexo III. Esta cifra debe tender al 100 % con el tiempo, y un estancamiento es una señal de alarma que el consejo debe ver.
3. El estado de conformidad de alto riesgo
De los sistemas clasificados como de alto riesgo, en qué punto están respecto de los deberes que les aplican: evaluación de la conformidad (Artículo 43), documentación técnica (Artículo 11 / Anexo IV), supervisión humana (Artículo 14), registro (Artículo 49). Un semáforo por sistema —en regla, en curso, sin empezar— le dice al consejo dónde se concentra el trabajo pendiente antes del plazo.
4. Los incidentes graves
Cualquier incidente que active el deber de notificación del Artículo 73: cuántos, de qué gravedad y si se cumplieron los plazos de notificación. El Artículo 73 impone plazos estrictos a los proveedores —15 días desde el conocimiento en la mayoría de los casos, 2 días en caso de infracción generalizada o alteración de infraestructura crítica, 10 días si ha fallecido una persona—. Un incidente notificado fuera de plazo es en sí una infracción. El consejo necesita saber que el reloj se respetó.
5. La cobertura de formación (Artículo 4)
El Artículo 4 (alfabetización en materia de IA) se aplica desde el 2 de febrero de 2025 y cubre a toda la IA, no solo a la de alto riesgo. La métrica para el consejo es la cobertura: qué proporción del personal que interactúa con sistemas de IA ha recibido formación adecuada a su función. Una cobertura del 100 % en finanzas y del 20 % en operaciones es un dato accionable que el consejo puede convertir en una instrucción presupuestaria.
6. La cobertura de EIDF
Para los sistemas que la requieren, el estado de la evaluación de impacto relativa a los derechos fundamentales (EIDF) del Artículo 27. La EIDF la deben los responsables del despliegue del sector público y los responsables de sistemas de solvencia (Anexo III, punto 5, letra b) o de seguros de vida y salud (punto 5, letra c) —no la mayoría de los empleadores privados—. Donde aplica, el consejo debe ver cuántas EIDF están completadas frente a las pendientes.
Cómo se vincula con el sistema de gestión de riesgos (Artículo 9)
El informe al consejo no es un ejercicio independiente. Es la capa superior del sistema de gestión de riesgos que el Artículo 9 exige para los sistemas de IA de alto riesgo. El Artículo 9 obliga a establecer un proceso continuo e iterativo a lo largo de todo el ciclo de vida del sistema: identificar riesgos, estimarlos, adoptar medidas y revisar. Ese proceso genera datos —riesgos abiertos, medidas adoptadas, residuos aceptados—, y el informe al consejo es el agregado de esos datos elevado al nivel en que se aprueba el apetito de riesgo.
Visto así, la cadencia se ordena sola. El sistema de gestión de riesgos del Artículo 9 opera de forma continua a nivel de sistema; la función de cumplimiento agrega trimestralmente; el consejo recibe el agregado trimestral y una alerta inmediata cuando se cruza un umbral —un incidente del Artículo 73, un sistema reclasificado a alto riesgo, una multa de un competidor que cambia el cálculo del apetito—. La regla práctica: informe trimestral programado, más excepción por evento.
| Elemento | Origen en el Reglamento | Cadencia |
|---|---|---|
| Inventario y tendencia | Práctica (base del art. 9) | Trimestral |
| % clasificado (art. 5, 6) | Art. 5, Art. 6 | Trimestral |
| Estado de alto riesgo | Art. 9, 11, 14, 43, 49 | Trimestral |
| Incidentes graves | Art. 73 | Inmediato + trimestral |
| Cobertura de formación | Art. 4 | Semestral |
| Cobertura de EIDF | Art. 27 | Trimestral donde aplica |
Un ejemplo concreto
Tomemos Náutica Levante S.L., una empresa española de unos 240 empleados y unos 46 millones de euros de facturación que fabrica y alquila embarcaciones de recreo. Ha adoptado IA en tres sitios: un asistente de atención al cliente, una herramienta de cribado de currículos para su departamento de RR. HH. y un modelo de mantenimiento predictivo para sus motores.
El primer informe trimestral al consejo es incómodo, y por eso es útil. El inventario muestra tres sistemas; el porcentaje clasificado es del 33 %, porque solo el asistente había pasado por una evaluación formal. La clasificación posterior revela que el cribado de currículos entra en el Anexo III, punto 4 (empleo) y es de alto riesgo —lo que coloca a Náutica Levante como responsable del despliegue con deberes del Artículo 26, y posiblemente como proveedor con arreglo al Artículo 25 si configuró la herramienta bajo su marca—. El mantenimiento predictivo, en cambio, no toca a personas y queda en riesgo mínimo. La cobertura de formación del Artículo 4 está al 15 % en el conjunto del personal que usa el asistente.
Con esas cifras delante, el consejo toma tres decisiones en una sesión: prioriza el cribado de currículos para evaluación de conformidad antes del plazo, encarga un plan de formación con objetivo del 80 % a seis meses, y fija un informe trimestral permanente. Ninguna de esas decisiones habría sido posible sin un informe que tradujera la exposición regulatoria a seis cifras.
Cómo ayuda Confir
Un informe al consejo solo es tan bueno como el inventario y la clasificación que hay debajo. El motor basado en reglas de Confir registra cada sistema de IA que la organización construye o despliega, clasifica cada uno en virtud de los Artículos 5 y 6 con la lógica del Anexo III y deriva la función —proveedor, responsable del despliegue, importador, distribuidor— a partir de respuestas en lenguaje sencillo. De ahí salen directamente el inventario, el porcentaje clasificado y el estado de alto riesgo; el registro de auditoría inmutable aporta la trazabilidad de incidentes y decisiones. El resultado es reproducible por diseño: la misma entrada produce la misma clasificación, y la regla que se activó es legible, de modo que la cifra que llega al consejo se puede defender ante un regulador.
Guías relacionadas
- el modelo de las tres líneas de defensa para la IA
- gestión de políticas de IA
- requisitos de infraestructura de gobernanza de la IA
- guía de gobernanza de la IA para el CISO
- Artículo 9: sistema de gestión de riesgos
- Artículo 73: notificación de incidentes graves
- obligaciones de cumplimiento para pymes
- lista de comprobación de cumplimiento de la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →