Construir un modelo operativo de gobernanza de IA para el Reglamento de IA
Un modelo operativo de gobernanza de IA es una práctica, no una ley: centralizado, federado o hub-and-spoke, con roles y deberes mapeados a personas reales.
Un «modelo operativo de gobernanza de IA» es una práctica de gestión, no una cláusula del Reglamento de IA. El Reglamento nunca usa el término —impone deberes (clasificar, gestionar el riesgo, supervisar, documentar) y deja en tus manos cómo te organizas para cumplirlos. El modelo operativo es esa organización: quién decide, quién construye, quién comprueba, y cómo un deber del Reglamento (UE) 2024/1689 llega hasta la persona que realmente lo cumple. Trátalo como el andamiaje que hace que las obligaciones legales aterricen en personas con nombre en lugar de caer entre equipos.
Esta guía expone las tres formas comunes, los roles que conviene nombrar y cómo mapear artículos reales a personas reales.
Tres formas: centralizado, federado, hub-and-spoke
No hay una estructura impuesta. Elige la que encaje con tu tamaño y con cómo está repartida la IA por el negocio:
| Modelo | Cómo funciona | Mejor para |
|---|---|---|
| Centralizado | Un único equipo posee las decisiones de IA, la clasificación y la autorización | Empresas más pequeñas, o donde la IA se concentra en un producto |
| Federado | Cada unidad de negocio gobierna su propia IA frente a reglas compartidas | Empresas grandes y descentralizadas con IA por todas partes |
| Hub-and-spoke | Un núcleo central fija la política y revisa; los radios integrados la ejecutan localmente | El término medio común —estándares centrales, propiedad local |
La mayoría de las empresas medianas convergen en hub-and-spoke: una pequeña función central posee las reglas, el registro y las autorizaciones duras, mientras que los responsables de producto ejecutan el cumplimiento del día a día de sus propios sistemas. Escala sin forzar cada decisión a través de un único cuello de botella ni dejar que cada equipo improvise por su cuenta.
Los roles que conviene nombrar
Un modelo operativo solo funciona si la rendición de cuentas es personal. Nombra al menos estos:
- Directivo responsable: un dueño a nivel de consejo o de dirección que carga el riesgo de IA en el mapa de riesgos. No es un figurón: aprueba el apetito de riesgo y las decisiones de luz verde / no de alto riesgo.
- Responsable de gobernanza de IA: ejecuta la práctica en el día a día: mantiene el registro de casos de uso, posee la metodología de clasificación, convoca la revisión, reporta hacia arriba.
- Responsables de producto / sistema: para cada sistema de IA, la persona responsable de su registro de clasificación, sus instrucciones de uso, sus arreglos de supervisión humana y su vigilancia.
- Funciones de control: jurídico/DPD, seguridad y riesgo, incorporadas allí donde un sistema toca datos personales, territorio de EIDF del artículo 27 o riesgo material.
Mantén esto ligero a pequeña escala: en una empresa de 50 personas una persona puede llevar los sombreros de responsable de gobernanza y de DPD, con el CEO como directivo responsable. El punto es que cada deber tenga un nombre asociado.
El registro de casos de uso y el sistema de gestión de riesgos del artículo 9
Dos artefactos anclan el modelo. El registro de casos de uso es el inventario único de cada sistema de IA que la organización construye o despliega, cada uno con su clasificación (filtro del artículo 5, resultado del artículo 6, el razonamiento del artículo 6, apartado 3), su rol (proveedor del artículo 16 / responsable del despliegue del artículo 26), su dueño y su estado. Es la columna vertebral de la que cuelga todo el modelo —no puedes gobernar lo que no has listado.
Para los sistemas de alto riesgo, el sistema de gestión de riesgos del artículo 9 es una exigencia legal, no solo una buena práctica: un proceso continuo e iterativo a lo largo del ciclo de vida del sistema para identificar, evaluar y mitigar riesgos. El trabajo del modelo operativo es asegurar que ese proceso tenga un dueño, una cadencia y una vía hacia el registro y hacia arriba, al directivo responsable —y que alimente la vigilancia poscomercialización del artículo 72 una vez que el sistema esté en producción.
Mapear deberes a personas
Esta es la prueba de cualquier modelo operativo —¿puedes señalar a la persona que posee cada deber?
| Deber | Artículo | Normalmente en manos de |
|---|---|---|
| Alfabetización en IA del personal | Artículo 4 | Responsable de gobernanza de IA (con RR. HH.) |
| Filtrado de usos prohibidos | Artículo 5 | Responsable de gobernanza, en la admisión |
| Clasificación y rol | Artículo 6 / 16 / 26 | Responsable de producto, revisado centralmente |
| Sistema de gestión de riesgos | Artículo 9 | Responsable de producto, metodología por el responsable de gobernanza |
| EIDF, donde aplica | Artículo 27 | DPD / jurídico con el responsable de producto |
| Vigilancia poscomercialización | Artículo 72 | Responsable de producto, reportado al directivo |
La alfabetización en IA del artículo 4 aplica desde el 2 de febrero de 2025 a toda la IA, las prohibiciones del artículo 5 están vivas ya y los deberes de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 —así que los deberes de alfabetización, de filtrado en la admisión y de transparencia no son trabajo futuro; pertenecen a un dueño con nombre hoy. Los deberes de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026), fecha fijada por el Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), pero el registro y el modelo deberían existir bastante antes de eso.
Ejemplo práctico: Aalsmeer Retail Group, ~600 empleados, ~120 M€ de facturación
Aalsmeer opera IA en marketing, RR. HH. y logística, así que adopta hub-and-spoke. Una función central de gobernanza de IA de dos personas posee el registro, el método de clasificación y la autorización de alto riesgo; el COO es el directivo responsable. Cada división tiene un responsable de producto que clasifica sus propios sistemas y ejecuta el proceso del artículo 9 para todo lo de alto riesgo —la herramienta de cribado de candidatos de su división de RR. HH. (punto 4 del anexo III) es el único sistema de alto riesgo, así que lleva una revisión adyacente a la EIDF con el DPD. La IA de marketing y logística es mínima o de riesgo limitado del artículo 50, gobernada localmente. Aalsmeer mapea cada deber a un nombre, forma al personal conforme al artículo 4 y revisa el registro trimestralmente —una gobernanza que encaja con el negocio en lugar de una plantilla empresarial prestada.
Cómo ayuda Confir
Confir le da al modelo operativo su columna vertebral: el registro de casos de uso, la clasificación de cada sistema conforme a los artículos 5/6 y su rol del artículo 16/26, y la lista de obligaciones encaminada a un dueño. El motor es determinista y basado en reglas, de modo que la clasificación y los deberes de cada sistema son reproducibles y auditables —el núcleo central ve todo el parque, los responsables de producto trabajan sus propios sistemas, y el directivo responsable obtiene una vista defendible de toda la organización sin que un consultor la ensamble a mano.
Guías relacionadas
- La gobernanza de IA, de principio a fin
- Las tres líneas de defensa para la IA
- Un modelo RACI de gobernanza de IA
- Reporte al consejo sobre el riesgo de IA
- El Reglamento de IA para empresas emergentes
- Cómo clasificar tu sistema de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →