Un estatuto de comité de prácticas de IA para el Reglamento de IA de la UE
El estatuto de un comité de prácticas de IA: mandato, composición, decisiones, cribado del art. 5 y visto bueno de alto riesgo. Una práctica, no una norma.
Un comité de prácticas de IA es una práctica, no un requisito. El Reglamento (UE) 2024/1689 nunca menciona un comité, un estatuto ni un consejo. Impone deberes —cribar el uso prohibido (artículo 5), clasificar por uso (artículo 6), ejecutar un sistema de gestión de riesgos en los sistemas de alto riesgo (artículo 9), supervisar, documentar— y guarda silencio sobre quién en tu organización los cumple. Un comité es una respuesta habitual y eficaz: un órgano permanente que asume las decisiones difíciles que una sola persona no debería tomar a solas. El estatuto es el documento que le da fuerza.
Esta guía expone qué debe contener ese estatuto —mandato, composición, derechos de decisión, los cribados y vistos buenos concretos que asume, el escalado y la cadencia— y muestra cómo se enlaza con el sistema de gestión de riesgos del artículo 9 y el registro de casos de uso. Trátalo como una plantilla para recortar a tu medida, no como una estructura máxima para adoptar en bloque.
Para qué sirve el estatuto (y qué no debe fingir ser)
Un estatuto hace una sola cosa: vuelve inequívoca la rendición de cuentas. Sin él, las decisiones sobre IA se difuminan —un equipo de producto clasifica su propio sistema, nadie da el visto bueno a los de alto riesgo y un uso prohibido se cuela porque nadie asumió el cribado—. El estatuto nombra un órgano, le otorga derechos de decisión y dice qué debe decidir antes de que un sistema de IA entre en producción.
Lo que el estatuto no debe hacer es dar a entender que tener un comité equivale a cumplir. El comité es el andamiaje de las prácticas; los deberes legales siguen recayendo en proveedores y responsables del despliegue, con independencia de cómo te organices. Un estatuto que enumera «tenemos un comité de IA» como control de cumplimiento, sin que el comité asuma de verdad el cribado del artículo 5 y el visto bueno de alto riesgo, es teatro.
1. Mandato
Expón, en dos o tres frases, por qué existe el comité y qué autoridad ostenta. Un mandato viable: «El Comité de Prácticas de IA asume el enfoque de la organización ante el riesgo de IA conforme al Reglamento de IA de la UE y la legislación adyacente. Aprueba el apetito de riesgo de IA, criba los nuevos casos de uso de IA para clasificarlos como prohibidos y de alto riesgo, da el visto bueno a los sistemas de alto riesgo antes del despliegue y escala el riesgo material al consejo. Sus decisiones son vinculantes para todas las unidades de negocio.» La palabra que importa es vinculante: un comité que solo asesora será desautorizado por un plazo de producto.
2. Composición
Mantenlo lo bastante reducido para decidir y lo bastante amplio para ver todo el conjunto. Una composición típica:
| Función | Por qué en el comité |
|---|---|
| Presidencia — directivo responsable (nivel C-suite/consejo) | Lleva el riesgo de IA en el mapa de riesgos; emite el sí/no de alto riesgo |
| Responsable de prácticas de IA | Lleva el registro y el método de clasificación; fija el orden del día |
| Jurídico / DPD | Frontera del artículo 5, EIDF del artículo 27, intersección con el RGPD |
| Seguridad / TI | Solidez y ciberseguridad del artículo 15, riesgo TIC |
| Riesgos / cumplimiento | Mapea los deberes de IA sobre el riesgo empresarial; visión de segunda línea |
| Representación de negocio / producto | Aporta los casos de uso reales; asume la entrega tras el visto bueno |
En una empresa más pequeña, una persona puede ocupar varios asientos (responsable de prácticas + DPD, por ejemplo); el estatuto debe nombrar las funciones y permitir que las personas dupliquen papeles, en vez de exigir seis personas distintas.
3. Derechos de decisión
El corazón del estatuto. Detalla qué decide el comité frente a qué se delega:
- Reservado al comité: aprobar el apetito de riesgo de IA; la determinación de uso prohibido del artículo 5 (un «no» aquí detiene un proyecto); el visto bueno sí/no de alto riesgo antes del despliegue; aprobar la metodología de clasificación; aceptar o rechazar un argumento de exención del artículo 6(3).
- Delegado a los propietarios de producto/sistema, revisado por el comité: la clasificación cotidiana de nuevos sistemas; ejecutar el proceso del artículo 9; mantener las instrucciones de uso y los acuerdos de supervisión.
- Delegado con notificación: los sistemas de riesgo mínimo y de riesgo limitado del artículo 50 —los propietarios autocertifican y los registran; el comité los ve en el registro pero no los autoriza uno a uno.
Una división clara evita que el comité se convierta en un cuello de botella por el que deba pasar cada chatbot mínimo, garantizando a la vez que las decisiones genuinamente arriesgadas aterricen en el nivel adecuado.
4. Los dos cribados que asume el comité
Cribado de uso prohibido (artículo 5)
Cada nuevo caso de uso de IA se criba, en la admisión, contra las prohibiciones del artículo 5 —puntuación social, técnicas manipuladoras o explotadoras, extracción no selectiva de imágenes faciales, reconocimiento de emociones en el lugar de trabajo o la educación, ciertas categorizaciones biométricas e identificación biométrica remota en tiempo real en espacios públicos para la aplicación de la ley—. Están prohibidas desde el 2 de febrero de 2025. El Ómnibus Digital añadió dos prohibiciones que se aplican desde el 2 de diciembre de 2026: la IA que genera imágenes, vídeo o audio íntimos o sexualmente explícitos de una persona identificable sin su consentimiento (artículo 5(1)(ba)) y la que genera material de abuso sexual infantil (artículo 5(1)(bb)); inclúyelas en el cribado de cualquier herramienta generativa. El comité (a través del responsable de prácticas) asume este cribado porque un sistema prohibido no es un proyecto de cumplimiento que arreglar: no debe construirse. Un «no» aquí es definitivo.
Clasificación y visto bueno de alto riesgo (anexo III / artículo 6)
Para los sistemas que superan el cribado del artículo 5, el propietario clasifica conforme al artículo 6 y al anexo III (los ocho ámbitos de alto riesgo). Cuando un sistema es de alto riesgo —o cuando el propietario invoca la exención del artículo 6(3)— el comité revisa y da el visto bueno antes del despliegue, confirmando que están en su sitio el sistema de gestión de riesgos del artículo 9, la documentación del artículo 11/anexo IV, la evaluación de la conformidad del artículo 43, el registro del artículo 49 y (cuando aplica) la EIDF del artículo 27. Este visto bueno es el acto más trascendente del comité.
5. Escalado
Define los desencadenantes que fuerzan una decisión hacia arriba: un posible uso prohibido; un sistema de alto riesgo que no puede cumplir sus obligaciones para su plazo; un incidente grave que exige notificación conforme al artículo 73; un cambio material que reclasifica un sistema; un proveedor cuya prueba de conformidad falta. Cada desencadenante tiene una ruta —hacia el comité, y del comité al consejo cuando se vulnera el apetito de riesgo de IA—. Las rutas de escalado que solo existen sobre el papel fallan en el momento; ensaya la de incidentes graves.
6. Cadencia
Una reunión trimestral permanente para la revisión completa del registro y la comprobación del apetito de riesgo, con un mecanismo fuera de ciclo para los vistos buenos de alto riesgo y las decisiones de uso prohibido que no pueden esperar al siguiente trimestre. Las organizaciones más pequeñas pueden reunirlo mensualmente cuando el conjunto de IA crece deprisa y después asentarse en trimestral. El estatuto debe fijar la cadencia mínima y la regla para convocar entre reuniones.
Cómo se enlaza el estatuto con el artículo 9 y el registro de casos de uso
El comité no flota libre de la maquinaria legal: se asienta sobre dos documentos:
- El registro de casos de uso es el documento de trabajo del comité: cada sistema de IA, su resultado del cribado del artículo 5, su clasificación del artículo 6, su papel (proveedor del artículo 16 / responsable del despliegue del artículo 26), su propietario y su estado. El comité revisa el registro en cada ciclo; no puedes gobernar lo que no has enumerado.
- El sistema de gestión de riesgos del artículo 9 es la obligación legal para cada sistema de alto riesgo: un proceso continuo e iterativo a lo largo del ciclo de vida. El comité no ejecuta cada proceso del artículo 9 (lo hace el propietario del producto), pero asume la garantía de que todo sistema de alto riesgo tiene uno con un propietario y una cadencia, y de que alimenta la vigilancia poscomercialización del artículo 72 una vez en marcha. El estatuto es el puente: enruta la obligación del artículo 9 a un propietario nombrado y da al comité el visto bueno que confirma que existe.
En resumen: el registro le dice al comité qué gobierna; el artículo 9 es la disciplina que garantiza; el estatuto es lo que hace que ambos aterricen en personas.
Ejemplo práctico: un estatuto recortado a medida
Vesterbro Health Systems ApS —~320 empleados, ~60 M€ de facturación, una empresa danesa de tecnología sanitaria que desarrolla software de programación y triaje— levanta un Comité de Prácticas de IA. Su estatuto, recortado:
- Mandato: autoridad vinculante sobre clasificación de IA, visto bueno de alto riesgo y apetito de riesgo.
- Composición: preside el CTO (directivo responsable); el responsable de prácticas de IA (que también ejerce de DPD) lleva el orden del día; el jefe de seguridad y un director de producto la completan —cuatro personas, dos de ellas con doble papel—.
- Derechos de decisión: el comité se reserva el cribado del artículo 5 y el visto bueno de alto riesgo; los propietarios de producto clasifican y autocertifican los sistemas mínimos y del artículo 50.
- El cribado en acción: una idea de «reconocimiento de emociones para el triaje de pacientes» queda atrapada en el cribado de admisión del artículo 5 —el reconocimiento de emociones está prohibido en algunos contextos y es de alto riesgo en otros— y el comité la deriva para un análisis cuidadoso del anexo III / artículo 5 antes de cualquier desarrollo. Su herramienta de apoyo al triaje que influye en las vías clínicas se marca como potencialmente de alto riesgo y se enruta a visto bueno completo; su IA interna de programación de reuniones es mínima y se autocertifica.
- Cadencia: mensual mientras crece el conjunto de IA, con una ruta de visto bueno fuera de ciclo para la herramienta de triaje.
El estatuto de Vesterbro son cuatro funciones, tres decisiones reservadas y una cadencia que tiende de trimestral a mensual: suficiente para atrapar la idea prohibida y autorizar la herramienta de alto riesgo, sin forzar al programador a pasar por un comité.
Los plazos sobre los que planifica el comité
El calendario del comité lo fijan las fechas del Reglamento. Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 están en vigor ahora (desde el 2 de febrero de 2025), así que el cribado de uso prohibido y un programa de alfabetización son obligaciones presentes, no trabajo futuro. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026. Las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 conforme al Ómnibus Digital, aplazadas desde el 2 de agosto de 2026: el paquete ya es ley —el Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026—. Desde esa fecha, además, el artículo 4 exige adoptar medidas para apoyar la alfabetización en IA, sin exigir que se garantice un nivel concreto por persona. El comité planifica los vistos buenos de alto riesgo sobre el 2 de diciembre de 2027, la fecha ya fijada.
Cómo ayuda Confir
Confir da al comité el registro desde el que gobierna: cada sistema de IA con su cribado del artículo 5, su clasificación del artículo 6 / anexo III, su papel del artículo 16/26 y su lista de obligaciones enrutada a un propietario. La clasificación es determinista y basada en reglas —misma entrada, mismo hallazgo, con la regla que se activó registrada—, de modo que cuando el comité da el visto bueno a un sistema de alto riesgo lo hace sobre una base defendible y reproducible, no la opinión de un consultor. Genera el paquete del artículo 11/anexo IV y la EIDF del artículo 27 de los que depende el visto bueno.
Guías relacionadas
- Modelo operativo de prácticas de IA
- Reporte al consejo sobre riesgo de IA
- Un modelo RACI de prácticas de IA
- Tres líneas de defensa para la IA
- Prácticas prohibidas del artículo 5
- Sistema de gestión de riesgos del artículo 9
- La exención del artículo 6(3) explicada
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →