Gobernanza de la IA.

En la práctica

Un ejemplo. La AEPD tiene su propia política de IA generativa, en una versión del 27 de noviembre de 2025. Fija quién decide usar un sistema, quién responde de cada caso de uso y quién de la parte técnica. Al personal le pide que solo las use quien tenga formación, que no use ninguna que no esté en el inventario y que lo que se vaya a publicar pase una revisión por pares.

Para quien quiera un marco, existe la ISO/IEC 42001, publicada el 18 de diciembre de 2023: una norma de sistema de gestión, como la ISO/IEC 27001 de seguridad de la información, aplicable a organizaciones de cualquier tamaño. Se puede certificar, y desde 2025 otra norma, la ISO/IEC 42006, fija qué deben cumplir las entidades que la auditan y certifican.

Por qué te importa

La IA entra aunque nadie la apruebe, y eso es la shadow AI. IBM encontró en julio de 2025 que el 63 % de las organizaciones que habían sufrido una brecha no tenía política de gobernanza de la IA o todavía la estaba preparando.

Además, el Reglamento de IA reparte obligaciones según el papel de cada uno (quien fabrica el sistema o quien lo usa) y según el riesgo, y en los usos de alto riesgo pide personas con competencia, formación y autoridad para supervisarlos (art. 26.2). Sin saber qué IA se usa y para qué, no se puede saber qué toca cumplir.

Los límites

La ISO/IEC 42001 es voluntaria. El Reglamento de IA no la menciona ni obliga a certificarse, y un certificado dice que hay un sistema de gestión, no que cada uso esté bien resuelto.

Una política que nadie lee gobierna poco. Una prueba sencilla es preguntar quién aprobó cada herramienta en uso y quién responde si falla. Y si aprobar una herramienta tarda meses, es fácil que la gente siga con la suya, sobre todo si nadie le ha explicado por qué importa, que es el trabajo de la alfabetización en IA.