Incorporar IA a un proceso no termina con la elección de la herramienta

Cada uso de inteligencia artificial que se pone en funcionamiento genera obligaciones que dependen de su finalidad concreta, decisiones que conviene documentar y comprobaciones periódicas que alguien debe realizar.

El alcance varía considerablemente de un caso a otro. Un asistente de redacción de uso interno y un sistema que ordena candidaturas en un proceso de selección no están sujetos a las mismas exigencias, ni requieren el mismo esfuerzo de control. Lo que sí tienen en común es que en ambos casos alguien debe decidir, dejar constancia y poder acreditarlo posteriormente.

Ese recorrido puede abordarse de dos formas.

Vía A

Servicio integral y continuado

La Oficina de IA constituye y mantiene el gobierno de la inteligencia artificial en la organización de forma completa, mediante una cuota mensual. Comprende el diagnóstico inicial, el sistema de gestión, la figura del IA Officer, el inventario, la validación de casos de uso, la revisión de proveedores, la gestión de la IA agéntica, la formación y el expediente de evidencias.

Para quién: Organizaciones que utilizan IA en varios departamentos y no disponen internamente de una persona que pueda ocuparse de esta función de forma continuada.

Vía B

Intervenciones sobre lo que no esté cubierto

Cuando la organización ya tiene parte del recorrido hecho, o cuando la necesidad es concreta y tiene un plazo determinado, cada trabajo se contrata de forma independiente: validar un caso de uso, elaborar una evaluación de impacto, emitir un dictamen sobre una campaña o preparar una certificación.

Para quién: Organizaciones con una estructura de cumplimiento ya establecida, o con una necesidad puntual y con fecha.

Las dos vías no son excluyentes ni definitivas. Es habitual que una organización comience con un trabajo concreto y pase después al servicio continuado al comprobar el volumen de mantenimiento que requiere, y también que un cliente con la Oficina contratada encargue por separado un proyecto de certificación.

Qué comprende la Oficina de IA

Ocho servicios que cubren el mantenimiento ordinario del gobierno de la IA en la organización, con cuota mensual y sin permanencia. Tres de ellos pueden contratarse también de forma independiente y aparecen señalados.

Determina la situación de partida sobre la que se construye todo lo demás.

Qué es: Un análisis de qué sistemas de IA se utilizan en la organización, quién los emplea, en qué condiciones contractuales y con qué nivel de exposición.
Qué problema resuelve: La dificultad de decidir por dónde empezar y de dimensionar el trabajo pendiente sin información previa.
Qué recibes: Informe con los hallazgos, mapa de uso por departamentos y relación de prioridades ordenada por urgencia y esfuerzo requerido.

Ejerce desde fuera la función de responsable de inteligencia artificial.

Qué es: Una figura profesional disponible de forma continuada para resolver consultas, valorar situaciones y preparar las decisiones que corresponde adoptar a la organización.
Qué problema resuelve: La ausencia de una persona con el encargo expreso de decidir sobre el uso de IA y de responder de ello ante la dirección.
Qué recibes: Interlocución permanente, resolución de consultas, preparación de decisiones para el órgano de gobierno y representación ante clientes y auditores.

Estructura las obligaciones que resultan aplicables a cada organización.

Qué es: El conjunto de políticas, procedimientos, registros y responsables que permite cumplir de forma sostenida en el tiempo, alineado con ISO/IEC 42001. Conviene precisar el alcance: el Reglamento de IA exige un sistema de gestión de la calidad a los proveedores de sistemas de alto riesgo, mientras que a los responsables del despliegue les impone obligaciones distintas, entre ellas la supervisión humana, la vigilancia del funcionamiento y la conservación de registros. En ambos supuestos se requiere una estructura que lo sostenga.
Qué problema resuelve: Disponer de decisiones aisladas sin ninguna estructura que las mantenga ni las repita cuando cambia el contexto.
Qué recibes: Sistema documentado y operativo, ajustado a las obligaciones que correspondan según la organización sea proveedor o responsable del despliegue.

Mantiene el registro de lo que se usa y la vía para autorizar usos nuevos.

Qué es: El inventario actualizado de sistemas de IA en funcionamiento y el procedimiento mediante el cual un equipo plantea un uso y obtiene una respuesta razonada.
Qué problema resuelve: La incertidumbre sobre si un uso concreto es admisible, que en la práctica produce dos efectos opuestos: la paralización del proyecto o su ejecución sin consulta previa.
Qué recibes: Inventario mantenido, procedimiento de alta, criterios de decisión y respuesta documentada para cada caso.

Analiza qué establecen realmente las condiciones de cada herramienta.

Qué es: La revisión de los términos contractuales de los proveedores de IA que la organización utiliza o tiene previsto contratar.
Qué problema resuelve: La contratación sin conocer si el proveedor utiliza los datos aportados para entrenar sus modelos, a quién corresponde la titularidad de los resultados o en qué territorio se procesa la información.
Qué recibes: Ficha de riesgo por proveedor, clasificación de usos admitidos y propuestas de cláusula para la negociación.

Establece los límites de las herramientas que generan contenido y de las que ejecutan acciones.

Qué es: El marco de uso de sistemas generativos y de agentes con capacidad de actuación autónoma sobre sistemas de la organización.
Qué problema resuelve: La definición improvisada de límites por parte de cada equipo, en el ámbito tecnológico que evoluciona con mayor rapidez y sobre el que existe menos control.
Qué recibes: Política de uso, catálogo de usos admitidos y prohibidos, límites de actuación de los agentes y controles de supervisión humana.

Cubre la obligación del artículo 4 y la formación específica por perfiles.

Qué es: La formación en materia de IA exigible al personal que la utiliza, complementada con formación especializada para los perfiles con mayor exposición.
Qué problema resuelve: Una obligación exigible desde 2025 que la mayoría de organizaciones no tiene documentada.
Qué recibes: Formación por perfiles construida sobre los casos reales de la organización, materiales de consulta y registro de asistencia como evidencia.

Ordena la documentación que acredita lo que se ha hecho.

Qué es: El expediente de cumplimiento actualizado y el informe periódico de estado dirigido al órgano de gobierno.
Qué problema resuelve: La imposibilidad de aportar documentación en plazo cuando la solicita un cliente, un pliego de licitación o una autoridad.
Qué recibes: Expediente actualizado y exportable, e informe periódico de estado en formato de lectura breve.

Trabajos que se contratan de forma independiente

Por su alcance, su plazo de ejecución o la exigencia de independencia que comportan, estos trabajos no se incluyen en la cuota mensual. Se presupuestan por separado y por escrito, con independencia de que la organización tenga contratada la Oficina.

Implantación orientada a superar una auditoría de certificación.

Qué problema resuelve: La exigencia creciente de clientes y pliegos que requieren certificado y no declaración.
Qué recibes: Sistema documentado conforme a norma, análisis de brechas, plan de implantación y acompañamiento hasta el momento de la auditoría de certificación.

Las evaluaciones formales exigibles cuando la IA afecta a personas.

Qué problema resuelve: Una obligación con formato y plazo determinados, cuya omisión tiene consecuencias directas.
Qué recibes: Evaluación completa con metodología trazable, análisis de los derechos afectados y medidas de mitigación propuestas.

Pronunciamiento jurídico firmado sobre una pieza, una campaña o un uso concreto.

Qué problema resuelve: La necesidad de publicar o entregar contenido con respaldo profesional acreditado.
Qué recibes: Dictamen firmado, con análisis de licencias, titularidad, obligaciones de transparencia y trazabilidad técnica del contenido.

Verificación independiente de que lo implantado se aplica efectivamente.

Qué problema resuelve: Afrontar una auditoría de certificación sin conocer previamente qué deficiencias se detectarán.
Qué recibes: Informe de auditoría con no conformidades, observaciones y plan de corrección priorizado.

Preparación del expediente que se solicita en procesos de contratación.

Qué problema resuelve: Quedar excluido de un proceso comercial por no poder aportar documentación en el plazo requerido.
Qué recibes: Expediente exportable, respuestas tipo revisadas jurídicamente y evidencias adjuntables.

Respuesta cuando la incidencia ya se ha producido.

Qué problema resuelve: La improvisación bajo presión de plazo, que es donde se concentran los errores de mayor coste.
Qué recibes: Análisis del incidente, medidas inmediatas, documentación del proceso y comunicación a las partes que corresponda.

No verificamos sistemas en cuya implantación hayamos participado. La separación entre quien construye el sistema de gestión y quien lo verifica es lo que da valor al criterio emitido en la capa de aseguramiento.

Resumen de la estructura

Servicio	En la Oficina	Suelto
Diagnóstico de gobernanza de IA	Sí	No
IA Officer as a Service	Sí	Sí
Implementación del sistema de gestión de IA	Sí	Sí
Inventario y validación de casos de uso	Sí	No
Due diligence de proveedores de IA	Sí	No
Gestión responsable de la IA agéntica	Sí	Sí
AI literacy y formación	Sí	No
Evidencias y reporting a dirección	Sí	No
Certificación ISO/IEC 42001 y 27701	No	Sí
Evaluaciones de impacto EIPD y FRIA	No	Sí
Dictamen sobre contenidos generados con IA	No	Sí
Auditoría interna y revisión previa a certificación	No	Sí
Respuesta a cuestionarios y licitaciones	No	Sí
Gestión de incidentes graves	No	Sí

¿No está claro qué necesita tu organización?

Es la situación más habitual, y es precisamente la función del diagnóstico: ordenar lo que ya está cubierto, lo que falta y en qué secuencia conviene abordarlo.

Evaluar mi situación Hablar con nosotros