KPI y métricas de gobernanza de IA: qué medir para el Reglamento de IA, y cómo reportarlo al consejo
Los KPI de gobernanza de IA que importan bajo el RIA: cobertura del inventario, % clasificado, conformidad, incidentes (art. 73), alfabetización (art. 4).
Un consejo de administración no quiere oír que tu programa de gobernanza de IA «va bien». Quiere tres o cuatro cifras que pueda leer en treinta segundos, comparar con el trimestre anterior y sobre las que actuar. El Reglamento de IA, Reglamento (UE) 2024/1689, no prescribe ningún KPI concreto, pero las obligaciones que establece se mapean limpiamente sobre un pequeño conjunto de métricas que te dicen si de verdad cumples o solo estás ocupado. Esta página expone las que importan, qué mide cada una y cómo ponerlas ante un consejo.
Una cuestión de orden primero: los KPI de gobernanza de IA no son un concepto legal. Son una práctica —una disciplina de gestión que construyes sobre las obligaciones legales. Mide lo correcto y los deberes subyacentes (inventario, clasificación, conformidad, supervisión, notificación de incidentes) se cumplen. Mide lo incorrecto y producirás un cuadro de mando que parece sano mientras un sistema de alto riesgo se lanza sin clasificar.
Las siete métricas que sostienen el programa
La mayoría de los cuadros de mando de gobernanza de IA son demasiado largos. Siete métricas cubren las obligaciones del Reglamento de IA sobre las que un consejo necesita visibilidad.
| Métrica | Qué mide | Anclada en |
|---|---|---|
| Cobertura del inventario | % de sistemas de IA de la organización que están registrados en tu inventario | Fundamental: no puedes clasificar lo que no has listado |
| % de sistemas clasificados | De los sistemas inventariados, la proporción con una clasificación de riesgo completada | Lógica del artículo 6 + anexo III |
| Estado de conformidad de alto riesgo | De los sistemas de alto riesgo, la proporción que ha completado la evaluación de la conformidad | Artículo 43 |
| Incidentes graves abiertos | Recuento de incidentes graves notificables y su estado de notificación | Artículo 73 |
| Finalización de la alfabetización en IA | % del personal pertinente que ha completado la formación en alfabetización en IA | Artículo 4 |
| Cobertura de EIDF | De los sistemas que requieren una, la proporción con una EIDF completada | Artículo 27 |
| Tiempo hasta clasificar | Mediana de días desde que un sistema entra en el inventario hasta una clasificación completada | Métrica operativa de rendimiento |
Cada una de estas responde a una pregunta que un regulador o un auditor formularía. Recorrámoslas.
Cobertura del inventario: la métrica de la que depende todo lo demás
La cobertura del inventario es el porcentaje de sistemas de IA realmente en uso en toda la organización que aparecen en tu inventario. Es el cimiento porque cualquier otra obligación —clasificación, conformidad, la EIDF, la vigilancia de incidentes— presupone que sabes que el sistema existe. Un programa que reporta «100 % de sistemas clasificados» pero solo ha inventariado la mitad de ellos está reportando una fracción halagadora de un total desconocido.
No hay ningún artículo que diga «mantén un inventario» con esas palabras, pero el deber es implícito a lo largo de todo: no puedes cumplir las obligaciones de responsable del despliegue del artículo 26 ni las de proveedor del artículo 16 para un sistema que no has identificado. Sigue la cobertura como una tendencia, no como un punto. Una cifra que sube del 60 % al 95 % a lo largo de dos trimestres es un programa sano; un 70 % plano significa que los sistemas entran en el negocio más rápido de lo que la gobernanza los caza.
Porcentaje de sistemas clasificados
De los sistemas de tu inventario, ¿cuántos tienen una clasificación de riesgo completada conforme al artículo 6 —prohibido (artículo 5), alto riesgo (anexo III o la vía de producto del anexo I), riesgo limitado (artículo 50) o mínimo? Esta es la cifra de gobernanza más diagnóstica que hay. Hasta que un sistema esté clasificado no sabes qué obligaciones aplican, así que un sistema sin clasificar es un interrogante abierto en el registro de riesgos.
Reporta esto como una fracción con los recuentos absolutos detrás: «142 de 150 sistemas inventariados clasificados (95 %); 8 pendientes, ninguno sospechoso de alto riesgo». El matiz importa —ocho herramientas de riesgo mínimo sin clasificar es una conversación de consejo distinta de un sistema sin clasificar que podría ser un cribado de selección de personal de alto riesgo.
Estado de conformidad de alto riesgo
Para cada sistema clasificado como de alto riesgo, ¿se ha completado la evaluación de la conformidad del artículo 43, y está en su sitio el dosier de documentación —la documentación técnica del artículo 11 / anexo IV, la declaración de conformidad del artículo 47? Esta es la métrica con una fecha límite adjunta. Las obligaciones de los sistemas autónomos de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 en virtud del Ómnibus Digital, el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026 (originalmente 2 de agosto de 2026); las de la IA de alto riesgo integrada en productos del anexo I, desde el 2 de agosto de 2028. Planifica frente al 2 de diciembre de 2027.
Un consejo lee el estado de conformidad como una cuenta atrás. Empareja el porcentaje con la fecha vinculante más cercana: «3 sistemas de alto riesgo; 1 con conformidad completada, 2 en curso; fecha de aplicación: 2 de diciembre de 2027, fijada por el Ómnibus Digital».
Recuentos de incidentes graves (artículo 73)
El artículo 73 exige que los proveedores de IA de alto riesgo notifiquen los incidentes graves a la autoridad de vigilancia del mercado pertinente. Como métrica, sigue el recuento de incidentes graves, el recuento que alcanzó el umbral de notificación y el recuento notificado dentro de la ventana legal. Cero incidentes es una cifra estupenda para reportar —pero repórtala como «cero incidentes notificables este trimestre», no con silencio, para que el consejo sepa que la vigilancia está funcionando y no encuentra nada en lugar de no funcionar en absoluto.
Finalización de la alfabetización en IA (artículo 4)
El artículo 4 —alfabetización en IA— está en vigor desde el 2 de febrero de 2025 y aplica a toda la IA, no solo a la de alto riesgo. Desde el 27 de julio de 2026, en la redacción del Reglamento (UE) 2026/1744, obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal, sin exigirles garantizar un nivel concreto en cada persona. La métrica es la proporción del personal pertinente (cualquiera que opere, supervise o tome decisiones con IA) que ha completado la formación adecuada en alfabetización: la prueba más directa de que esas medidas existen. A diferencia de los deberes de alto riesgo, esta obligación ya está viva, así que una tasa baja de finalización aquí es una exposición presente, no futura.
Cobertura de EIDF (artículo 27)
La evaluación de impacto sobre los derechos fundamentales del artículo 27 es obligatoria para los responsables del despliegue que son organismos públicos o de servicio público de IA de alto riesgo, y para los responsables del despliegue de sistemas de alto riesgo de solvencia o de seguros de vida/salud —no para la mayoría de los empleadores privados. La métrica es por tanto condicional: de los sistemas que requieren una EIDF, ¿qué proporción tiene una completada? Reportar «cobertura de EIDF: 100 % (2 de 2 requeridas)» es preciso; reportar recuentos brutos de EIDF en una cartera donde la mayoría de los sistemas no la necesitan es ruido.
Tiempo hasta clasificar
La única métrica puramente operativa del conjunto: la mediana de días desde que un sistema entra en el inventario hasta una clasificación completada. Le dice al consejo si la gobernanza es un cuello de botella. Una mediana de 3 días significa que el programa sigue el ritmo del negocio; una mediana de 40 días significa que los sistemas están en producción, sin clasificar, durante más de un mes —que es donde vive la exposición de alto riesgo no gestionada.
Cómo reportarlo al consejo
Los consejos no leen cuadros de mando; leen excepciones y tendencias. Encabeza con un veredicto de una línea («Todos los sistemas de alto riesgo en camino para la fecha límite planificada; una brecha de alfabetización que cerrar»), luego muestra las siete métricas como este-trimestre-frente-al-anterior, y luego una breve lista de lo que necesita una decisión. Mantén las citas legales en una nota al pie, no en el titular —al consejo le importa la cifra y la fecha, al auditor le importa el artículo.
Una disciplina que conviene hacer cumplir: nunca reportes un porcentaje sin su denominador. «95 % clasificado» es tranquilizador hasta que descubres que el denominador es una cobertura del inventario del 40 %. La métrica compuesta honesta es cobertura × clasificación × conformidad —la proporción de toda la IA de la organización que está inventariada, clasificada y (donde sea de alto riesgo) con la conformidad completada. Esa única cadena es la cifra más veraz que puedes dar a un consejo.
Ejemplo práctico: Lindgren Analytics AS
Lindgren Analytics AS, una empresa de servicios de datos con sede en Estocolmo, con aproximadamente 240 empleados y unos 31 millones de euros de facturación, construye su primer cuadro de mando de gobernanza de IA. El inventario lista 58 sistemas de IA; la cobertura del inventario se estima en el 88 % tras un barrido de descubrimiento que encuentra ocho herramientas en la sombra. De los 58, 54 están clasificados (93 %): 49 de riesgo mínimo, 4 de riesgo limitado conforme al artículo 50, y uno de alto riesgo —una herramienta de cribado de CV suministrada por un proveedor usada en selección de personal, que entra en el punto 4 del anexo III.
Para ese único sistema de alto riesgo Lindgren es el responsable del despliegue (artículo 26), así que la evaluación de la conformidad es deber del proveedor, pero Lindgren sigue su estado de todos modos y confirma que no se exige ninguna EIDF (es un empleador privado, no un organismo público ni un caso de solvencia/seguros). La finalización de la alfabetización del artículo 4 se sitúa en el 72 % —el punto de acción del consejo este trimestre. Hay cero incidentes graves notificables. La mediana del tiempo hasta clasificar es de 6 días. El consejo oye un veredicto: la alfabetización es la brecha, todo lo demás está en camino, y la herramienta de selección de personal de alto riesgo es el sistema a vigilar.
Cómo ayuda Confir
Confir mantiene el inventario de IA, clasifica cada sistema conforme a los artículos 5, 6 y 50 con la lógica del anexo III, y calcula las métricas de gobernanza directamente a partir de esos datos —cobertura del inventario, proporción clasificada, estado de conformidad de alto riesgo, cobertura de EIDF y un índice de salud de cumplimiento listo para el consejo— de modo que el cuadro de mando es un subproducto de hacer el trabajo, no una hoja de cálculo aparte. El motor de clasificación es determinista y basado en reglas: la misma admisión produce el mismo hallazgo, y la regla que se disparó es legible por humanos, que es exactamente lo que un auditor que revise tus métricas querrá ver.
Guías relacionadas
- Reportar la gobernanza de IA al consejo
- El modelo de madurez de la gobernanza de IA
- La alfabetización en IA conforme al artículo 4
- La EIDF conforme al artículo 27
- Notificación de incidentes graves (artículo 73)
- Construir un registro de riesgos de IA
- Cómo clasificar un sistema de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →