Gobernanza de IA para pymes: cómo controlar la IA sin crear burocracia

Gobernar la IA en una pyme no significa crear un comité permanente ni llenar carpetas. Significa saber quién decide, qué herramientas están autorizadas, con qué datos pueden trabajar, quién revisa los resultados y qué ocurre cuando algo falla.

Qué significa gobernanza de IA

Es el conjunto de responsabilidades, reglas y controles con los que una organización decide cómo usa inteligencia artificial. En una empresa pequeña puede caber en un inventario, una política clara, un flujo de autorización y varias evidencias bien guardadas.

Lo importante es que las decisiones no dependan de “cada uno hace lo que considera”. La IA suele entrar primero por conveniencia: alguien descubre una herramienta, la prueba con un documento real y, cuando dirección se entera, ya forma parte del proceso.

1. Asigna un responsable

No existe una obligación general para las pymes de crear un “delegado de IA” equivalente al DPO. Pero sí conviene asignar formalmente a alguien la coordinación: mantener el inventario, recibir solicitudes de nuevas herramientas, escalar dudas y conservar evidencias.

Puede ser dirección, sistemas, compliance, administración o una combinación. Lo importante es que tres preguntas tengan respuesta: quién aprueba, quién revisa un incidente y quién mantiene actualizado el mapa de usos.

2. Define qué se puede aprobar rápido

Un proceso demasiado pesado genera shadow AI. Divide las solicitudes en niveles. Una herramienta para ideación con información pública puede aprobarse con una comprobación básica. Una herramienta que trate datos de salud, puntúe personas o ejecute acciones sobre un CRM necesita una revisión más profunda.

3. Política interna corta y concreta

Una política útil responde a casos cotidianos: qué herramientas están permitidas, qué datos no se introducen, cuándo debe haber revisión humana, cómo se solicita una nueva IA, quién resuelve dudas y qué hacer ante un incidente.

“No introducir información confidencial” es demasiado abstracto. “No subir nóminas, DNI, contratos de clientes, historiales ni credenciales a cuentas personales de IA” es una instrucción que un equipo sí puede aplicar.

4. Alfabetización en IA del artículo 4

Desde el 2 de febrero de 2025, proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de su personal y de otras personas que operan sistemas en su nombre. Tras el Reglamento (UE) 2026/1744, el artículo 4 aclara además que no se exige garantizar un nivel específico a cada persona.

Una formación contextualizada es una de las medidas más claras, pero la obligación no se reduce a comprar un curso ni existe una duración oficial. Lo razonable es adaptar el contenido al trabajo real y conservar evidencias de las medidas adoptadas. Lo explicamos en la guía del artículo 4.

5. Supervisión humana donde importa

No hace falta revisar palabra por palabra todo lo que genera una IA. La supervisión debe concentrarse en los puntos de mayor consecuencia: decisiones sobre personas, información regulada, comunicaciones externas relevantes, operaciones económicas y acciones irreversibles.

Con agentes de IA, documenta además permisos, límites monetarios, sistemas a los que pueden acceder, acciones que necesitan confirmación y mecanismo de parada. Un agente que solo propone no tiene el mismo riesgo que uno capaz de enviar correos, modificar fichas o lanzar pedidos.

6. Proveedores y contratos

La mayor parte de la IA que usa una pyme es de terceros. Registra el plan contratado, documentación disponible, condiciones sobre datos, funciones de administración, retención, subencargados y cambios relevantes del servicio. Si tratas datos personales, revisa también el encaje con RGPD.

7. Transparencia: comprobar el supuesto concreto

El artículo 50, aplicable desde el 2 de agosto de 2026, no establece una obligación general de poner “hecho con IA” en todo. Distingue entre obligaciones de proveedores y responsables del despliegue. Entre otros casos, regula sistemas que interactúan directamente con personas, marcado técnico de salidas sintéticas, deepfakes, ciertos textos de interés público y sistemas de reconocimiento de emociones o categorización biométrica.

Por eso la política no debería decir “etiquetamos todo”. Debería identificar qué casos concretos de la empresa entran en el artículo 50 y qué medida corresponde a cada uno.

8. Incidentes y revisión

Define un canal sencillo: quién comunica un error, qué información debe conservarse, quién puede suspender una herramienta y cuándo se avisa a dirección o a especialistas. También conviene revisar la gobernanza cuando cambia el proveedor, la finalidad, el tipo de datos o el nivel de autonomía del sistema.

La gobernanza buena se nota poco

Funciona cuando un empleado sabe qué puede usar sin preguntar, cuándo debe pedir autorización y qué no debe subir. Funciona cuando dirección abre el inventario y ve qué sistemas están activos. Y funciona cuando un cliente pide evidencias y la empresa no tiene que improvisar.

El objetivo no es acumular documentos. Es que el uso real de IA sea repetible, supervisable y explicable.

Fuentes oficiales consultadas

• Reglamento (UE) 2024/1689 consolidado a 27/07/2026 (EUR-Lex).
• Reglamento (UE) 2026/1744 — Ómnibus digital sobre IA.
• Guías prácticas de AESIA para el cumplimiento del Reglamento de IA.