Qué es la gobernanza de la IA

La gobernanza de la IA es el entramado de leyes, estándares, instituciones y normas que decide cómo puede construirse y utilizarse la IA, y quién responde cuando algo sale mal. Este artículo recorre los principales instrumentos y actores y muestra qué significan para una escuela, un hospital o una oficina municipal.

Cuatro capas, no una sola ley

A menudo se imagina la gobernanza como una única ley. En la práctica funciona a través de varias capas que se refuerzan entre sí, y un vacío en una de ellas suele llenarlo otra, bien o mal.

• Legislación vinculante: obligaciones respaldadas por mecanismos de control y sanción, como la Ley de IA de la UE o la legislación de protección de datos.
• Estándares y marcos de referencia: métodos compartidos que traducen los deberes legales en prácticas verificables.
• Instituciones: reguladores, órganos de supervisión y tribunales que interpretan, supervisan y hacen cumplir las reglas.
• Normas: la ética profesional, las políticas internas y las expectativas del público, que moldean el comportamiento antes de que llegue ningún inspector.

Legislación vinculante: la Ley de IA de la UE y las leyes afines

La Ley de IA de la UE, el Reglamento (UE) 2024/1689, en vigor desde el 1 de agosto de 2024, es la primera ley integral y vinculante sobre IA y se aplica por etapas en función del riesgo. Un pequeño conjunto de prácticas está prohibido desde el 2 de febrero de 2025, y los proveedores de modelos de IA de uso general tienen obligaciones propias desde el 2 de agosto de 2025. Los sistemas utilizados para los fines enumerados en ámbitos como el empleo, la educación, la calificación crediticia, las prestaciones públicas y la aplicación de la ley son de alto riesgo y deben cumplir requisitos de gestión de riesgos, calidad de los datos, documentación, supervisión humana y robustez. Esos requisitos debían aplicarse desde el 2 de agosto de 2026, y desde el 2 de agosto de 2027 para la IA de alto riesgo integrada en productos ya cubiertos por la legislación de la UE sobre productos, como los productos sanitarios; en julio de 2026, un reglamento de modificación, el ómnibus digital sobre IA (Reglamento (UE) 2026/1744), los aplazó al 2 de diciembre de 2027 y al 2 de agosto de 2028, respectivamente.

El artículo 22 del RGPD añade el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre la persona o la afecten significativamente de modo similar, con excepciones y garantías como la intervención humana. Más allá de la UE, el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial, abierto a la firma en septiembre de 2024, es el primer tratado internacional jurídicamente vinculante sobre IA y compromete a los Estados que lo ratifican a proteger los derechos humanos, la democracia y el Estado de derecho.

Estándares: convertir las obligaciones en evidencias

Las leyes suelen fijar resultados, no métodos; los estándares traducen un deber como la gestión de riesgos en pruebas, registros y evidencias. ISO/IEC 42001 (2023) es un estándar de sistema de gestión para la IA: la organización define políticas, asigna funciones, evalúa riesgos y mejora de forma continua. El Marco de Gestión de Riesgos de IA del NIST (NIST AI Risk Management Framework 1.0, enero de 2023) es un marco voluntario estadounidense organizado en torno a cuatro funciones: gobernar, mapear, medir y gestionar. En la UE, las normas técnicas armonizadas solicitadas por la Comisión otorgan a los proveedores una presunción de conformidad una vez publicadas en el Diario Oficial, y el Código de buenas prácticas para la IA de uso general (2025), cuya elaboración facilitó la Oficina de IA de la UE, ofrece a los proveedores de modelos una vía comparable para demostrar el cumplimiento.

Detectar sesgos en un modelo de contratación o de crédito, por ejemplo, suele requerir atributos sensibles como el origen étnico o el estado de salud. El artículo 4a de la Ley de IA, añadido en 2026, permite tratar esos datos para detectar y corregir sesgos solo con garantías y solo cuando los datos sintéticos o anonimizados no basten para ello. El informe técnico de la Fundación sobre la detección de sesgos según el artículo 4a de la Ley de IA de la UE examina cuándo bastan los datos sintéticos, anonimizados o con privacidad diferencial, y dónde se quedan cortos.

Instituciones: quién interpreta, supervisa y hace cumplir las reglas

En la UE, la Oficina de IA, integrada en la Comisión Europea, supervisa los modelos de IA de uso general y coordina la aplicación de la Ley; las autoridades nacionales de vigilancia del mercado supervisan los sistemas de alto riesgo; los organismos notificados examinan determinados sistemas de alto riesgo antes de su comercialización; las autoridades de protección de datos hacen cumplir el RGPD; los tribunales resuelven los litigios.

Las instituciones internacionales se dedican sobre todo a coordinar, no a hacer cumplir las reglas. Los Principios de la OCDE sobre IA (2019, actualizados en 2024) fueron el primer estándar intergubernamental sobre IA, y la Recomendación de la UNESCO sobre la ética de la inteligencia artificial (2021) amplió ese consenso. Las cumbres sobre IA de Bletchley Park (2023) y Seúl (2024) reunieron a gobiernos y desarrolladores en torno a los riesgos de los modelos de frontera, y varios países crearon institutos de seguridad de la IA. La Cumbre para la Acción sobre la IA de París (2025) puso después el acento en una IA inclusiva y sostenible. Ninguna de estas instancias puede multar a una empresa; actúan mediante compromisos, presión entre pares y trabajo técnico preparatorio que más adelante puede incorporarse a la legislación.

Las disyuntivas que ningún marco evita

Todo diseño equilibra valores que compiten entre sí. Las reglas detalladas dan certeza, pero envejecen deprisa; los principios generales se adaptan, pero dejan a las organizaciones sin saber a qué atenerse. Los controles previos a la comercialización detectan los problemas pronto, pero cuestan tiempo y tienden a favorecer a las grandes empresas; exigir responsabilidades una vez producido el daño cuesta menos de entrada, pero lo repara tarde. Conforme a la Ley de IA, la mayoría de las obligaciones recaen en los proveedores, pero los responsables del despliegue deben, aun así, utilizar el sistema según las instrucciones, encomendar la supervisión humana a personal formado y vigilarlo durante su uso, a menudo con equipos pequeños.

Una oficina municipal que utiliza una herramienta de puntuación para clasificar las solicitudes de prestaciones sociales opera en un ámbito que la Ley de IA considera de alto riesgo; si las decisiones se toman sin una intervención humana significativa, el artículo 22 del RGPD ya es aplicable. Un hospital que compra un software de diagnóstico que es en sí mismo un producto sanitario, o que forma parte de uno, se enfrenta a la transición más larga, hasta 2028, porque el producto sanitario ya está sujeto a las normas de la UE sobre productos. Una escuela que adopta un servicio de tutoría basado en IA suele actuar como responsable del despliegue, no como proveedor, lo que cambia sus obligaciones y lo que debería pedir a la empresa que le presta el servicio.

Qué sacar en claro

Para quien compra, construye o supervisa un sistema de IA, la gobernanza se reduce en gran medida a tres cuestiones.

• Rol: si la organización actúa como proveedor, como responsable del despliegue o como ambas cosas.
• Categoría de riesgo: cuál se aplica y qué obligaciones se derivan de ella.
• Evidencias: qué podría mostrar mañana para demostrar que el sistema funciona como se afirma.

Poner por escrito esas respuestas y revisarlas a medida que cambian las reglas es un hábito que cualquier organización puede adquirir desde ahora. La Fundación estudia cómo funciona en la práctica la Ley de IA de la UE y qué evidencias técnicas exige a los proveedores, y publica sus conclusiones en Research & Insights.

En resumen

La gobernanza de la IA es el entramado de leyes, estándares, instituciones y normas que decide cómo puede construirse y utilizarse la IA, y quién responde cuando algo sale mal. Funciona en cuatro capas: legislación vinculante, como la Ley de IA de la UE; estándares y marcos de referencia; instituciones, como reguladores y tribunales; y normas, como la ética profesional y las políticas internas.

Preguntas frecuentes

¿Qué es la Ley de IA de la UE y desde cuándo se aplica?

La Ley de IA de la UE, el Reglamento (UE) 2024/1689, es la primera ley integral y vinculante sobre IA y está en vigor desde el 1 de agosto de 2024. Se aplica por etapas en función del riesgo. Un pequeño conjunto de prácticas está prohibido desde el 2 de febrero de 2025, y los proveedores de modelos de IA de uso general tienen obligaciones propias desde el 2 de agosto de 2025.

¿Ha aplazado la UE los requisitos de alto riesgo de la Ley de IA?

Sí. Esos requisitos debían aplicarse desde el 2 de agosto de 2026, y desde el 2 de agosto de 2027 para la IA de alto riesgo integrada en productos ya cubiertos por la legislación de la UE sobre productos, como los productos sanitarios. En julio de 2026, el ómnibus digital sobre IA (Reglamento (UE) 2026/1744) los aplazó al 2 de diciembre de 2027 y al 2 de agosto de 2028, respectivamente.

¿Qué diferencia hay entre la norma ISO/IEC 42001 y el Marco de Gestión de Riesgos de IA del NIST?

ISO/IEC 42001 (2023) es un estándar de sistema de gestión para la IA, en el que la organización define políticas, asigna funciones, evalúa riesgos y mejora de forma continua. El Marco de Gestión de Riesgos de IA del NIST 1.0 (enero de 2023) es un marco voluntario estadounidense organizado en torno a cuatro funciones: gobernar, mapear, medir y gestionar.

¿Quién hace cumplir las normas sobre IA en la UE?

En la UE, la Oficina de IA, integrada en la Comisión Europea, supervisa los modelos de IA de uso general y coordina la aplicación de la Ley. Las autoridades nacionales de vigilancia del mercado supervisan los sistemas de alto riesgo, los organismos notificados examinan algunos de ellos antes de su comercialización, las autoridades de protección de datos hacen cumplir el RGPD y los tribunales resuelven los litigios.

¿Una escuela que usa un servicio de tutoría basado en IA es proveedor o responsable del despliegue?

Una escuela que adopta un servicio de tutoría basado en IA suele ser responsable del despliegue, no proveedor, lo que cambia sus obligaciones y lo que debería pedir a su proveedor. Conforme a la Ley de IA, la mayoría de las obligaciones recaen en los proveedores, pero los responsables del despliegue deben utilizar el sistema según las instrucciones, encomendar la supervisión humana a personal formado y vigilarlo durante su uso.

Cómo citar Fundación LASTHUMAN. (2026, 12 de agosto). Qué es la gobernanza de la IA. https://lasthuman.today/es/insights/ai-governance-explained.html