Un marco de gobernanza de la IA es el pequeño conjunto de decisiones, responsables y registros que permite a una empresa decir, en cualquier momento, qué sistemas de inteligencia artificial usa, qué puede hacer cada uno, quién responde de él y cómo se enteraría si algo saliera mal. Para una empresa mediana no es un departamento ni una compra de software. Son siete controles, cada uno produce un entregable, cada uno tiene un responsable con nombre y apellido — y la mayoría se pone en marcha en un trimestre.
La urgencia es normativa y operativa a la vez. Las prohibiciones y la obligación de alfabetización del AI Act se aplican desde el 2 de febrero de 2025, las obligaciones de transparencia desde el 2 de agosto de 2026, y el Digital Omnibus llevó al 2 de diciembre de 2027 las obligaciones para los sistemas de alto riesgo del Anexo III. Mientras tanto, tu gente ya usa herramientas de IA que nadie ha aprobado. La gobernanza sirve para cerrar la distancia entre la IA que la empresa cree que usa y la que usa de verdad, antes de que la cierre por ti un supervisor, un auditor o una brecha de datos.
Para quién es esta guía
Diriges operaciones, tecnología, riesgos o jurídico en una empresa de entre 100 y 2.000 personas — un banco, una aseguradora, un proveedor sanitario, una energética o industrial, o una empresa de software que vende a alguna de ellas. Tienes IA en producción o a punto de tenerla, nadie dedicado a tiempo completo al cumplimiento en IA, y un consejo que ha empezado a preguntar. Construyo y llevo a producción sistemas de IA para clientes justo en estos sectores: lo que sigue es el marco que uso de verdad, no un modelo de madurez.
Qué Es de Verdad un Marco de Gobernanza de la IA (y Qué No Es)
Busca qué es la gobernanza de la IA y encontrarás principios: equidad, transparencia, rendición de cuentas, centralidad de la persona. Todos son correctos y ninguno le dice a un director de operaciones qué hacer el lunes. Los principios son el porqué. El marco es el cómo: el mecanismo operativo que convierte los principios en decisiones que alguien tiene que tomar y evidencias que alguien tiene que conservar.
Una prueba útil: un marco de gobernanza de la IA que funciona responde a tres preguntas en menos de una hora, con documentos y no con opiniones.
- ¿Qué IA usamos? Todos los sistemas, incluidas las funciones de IA activadas dentro del software que ya tienes licenciado y las herramientas que los empleados adoptaron por su cuenta.
- ¿Cuál importa? Qué sistemas tocan decisiones sobre personas, procesos regulados o datos confidenciales — y cómo los clasifica el AI Act.
- ¿Quién responde? Una persona con nombre y apellido por sistema, capaz de explicar qué hace, contra qué se probó y qué pasa cuando falla.
Si hoy no puedes responder, todavía no tienes un problema de gobernanza de la IA: tienes un problema de visibilidad sobre la IA, y cualquier iniciativa cara de gobernanza construida antes de resolverlo se construirá sobre suposiciones. Por eso el marco que sigue empieza por un inventario y no por una carta ética.
Por Qué Es un Problema de 2026, No de 2028
El aplazamiento del plazo de alto riesgo ha convencido a algunos comités de dirección de que la gobernanza puede esperar. Los datos de adopción dicen que la exposición ya está aquí, y casi toda no tiene nada que ver con la clasificación de alto riesgo:
| Indicador | Dato | Fuente (fecha) |
|---|---|---|
| Empresas de la UE (10+ empleados) que usan IA | 20,0% en 2025, frente al 13,5% en 2024 | Eurostat (diciembre de 2025) |
| Empresas de la UE grandes / medianas / pequeñas que usan IA | 55,0% / 30,4% / 17,0% | Eurostat (diciembre de 2025) |
| Trabajadores del conocimiento que usan IA en el trabajo | 75% | Microsoft & LinkedIn Work Trend Index (mayo de 2024) |
| Usuarios de IA que llevan sus propias herramientas al trabajo | 78% | Microsoft & LinkedIn Work Trend Index (mayo de 2024) |
| Organizaciones con brechas en modelos o aplicaciones de IA | 13%, y el 97% de ellas sin controles de acceso adecuados a la IA | IBM Cost of a Data Breach (2025) |
| Organizaciones sin políticas de gobernanza de la IA | 63% | IBM Cost of a Data Breach (2025) |
| Coste adicional de una brecha con IA en la sombra implicada | 670.000 USD más sobre una media de 4,44 millones USD | IBM Cost of a Data Breach (2025) |
Lee las filas en secuencia. La adopción crece más rápido en las empresas lo bastante grandes como para tener procesos regulados. Gran parte de esa adopción la impulsan los propios empleados, así que no está registrada en ningún sitio. Y las organizaciones que ya han sufrido una brecha a través de la IA, en su inmensa mayoría, no tenían ni controles de acceso ni política. Nada de esto espera a 2027. El dato de Eurostat también dice algo útil en clave competitiva: en gran parte de Europa cuatro de cada cinco empresas aún no usan IA, así que quien construye la gobernanza ahora lo hace al principio de la curva, cuando es barato.
El AI Act Tras el Digital Omnibus: Qué Vence y Cuándo
El Reglamento (UE) 2026/1744 — el Digital Omnibus sobre IA — se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Aplazó las obligaciones de alto riesgo, sobre todo porque las normas armonizadas de las que dependen no estaban listas, y dejó casi todo lo demás en su calendario. En España el supervisor ya existe: la AESIA, con sede en A Coruña, es la autoridad que vigila el cumplimiento del reglamento de IA. Este es el calendario que se aplica hoy:
| Fecha | Qué se aplica | A quién afecta en una empresa mediana |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5); obligación de alfabetización en IA (art. 4) | A todo el que usa IA — ya en vigor |
| 2 de agosto de 2025 | Normas para modelos de IA de uso general; autoridades nacionales; régimen sancionador | Sobre todo a los proveedores de modelos; aquí empiezan las obligaciones de tus proveedores |
| 2 de agosto de 2026 | Obligaciones de transparencia (art. 50): chatbots identificados, ultrafalsificaciones y textos generados de interés público etiquetados | Cualquier asistente de cara al cliente o contenido sintético |
| 2 de diciembre de 2026 | Fin del periodo de gracia del marcado de agua para sistemas existentes; nueva prohibición de generar imágenes íntimas no consentidas y CSAM | Proveedores de sistemas generativos |
| 2 de diciembre de 2027 | Obligaciones para sistemas de alto riesgo del Anexo III (scoring crediticio, tarificación de seguros, RR. HH., infraestructuras críticas, biometría…) | Bancos, aseguradoras, cualquier empleador que seleccione candidatos con IA |
| 2 de agosto de 2028 | Obligaciones para sistemas de alto riesgo del Anexo I (IA dentro de productos regulados como productos sanitarios y máquinas) | Medtech, fabricantes de maquinaria |
Dos cambios se leen mal con facilidad. Primero, la obligación de alfabetización se suavizó: proveedores y responsables del despliegue deben ahora apoyar el desarrollo de la alfabetización en IA de su personal, en lugar de garantizar un nivel determinado. No ha desaparecido y ya se aplica hoy. Segundo, el Omnibus no tocó ni las sanciones del artículo 99 ni las prohibiciones. El AI Act está en vigor; solo se ha movido el capítulo de alto riesgo.
El aplazamiento es una ventana, no una prórroga
Catorce meses es más o menos lo que tarda una empresa mediana en inventariar su IA, renegociar tres o cuatro contratos con proveedores, incorporar el registro de decisiones en los sistemas que lo necesitan y hacer una revisión interna honesta. Quien empiece a finales de 2027 lo hará todo contra reloj, con consultores al precio correspondiente. Quien aproveche la ventana gastará una fracción y llegará con evidencias en lugar de promesas.
Proveedor o Responsable del Despliegue: la Pregunta que lo Dimensiona Todo
El AI Act asigna casi todas las obligaciones pesadas — sistema de gestión de riesgos, documentación técnica, evaluación de la conformidad, marcado CE, registro — al proveedor: quien desarrolla un sistema de IA y lo introduce en el mercado o lo pone en servicio con su propio nombre. La mayoría de las empresas medianas no son proveedores. Son responsables del despliegue (deployers): usan sistemas construidos por otros. Para un sistema de alto riesgo, las obligaciones del responsable del despliegue del artículo 26 son reales pero acotadas:
- Usar el sistema conforme a las instrucciones de uso del proveedor, con medidas técnicas y organizativas adecuadas.
- Encomendar la supervisión humana a personas con la competencia, formación, autoridad y apoyo necesarios.
- Asegurar que los datos de entrada bajo su control sean pertinentes y suficientemente representativos para la finalidad prevista.
- Vigilar el funcionamiento del sistema y notificar sin demora los incidentes graves al proveedor y a la autoridad de vigilancia del mercado.
- Conservar los registros generados por el sistema durante un periodo adecuado a su finalidad, y como mínimo seis meses.
- Informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar un sistema de alto riesgo en el lugar de trabajo.
Es una lista asumible sin un departamento de cumplimiento. La trampa es pasar de responsable del despliegue a proveedor sin darse cuenta. El artículo 25 convierte a un responsable del despliegue en proveedor de un sistema de alto riesgo — con todas las obligaciones del proveedor — en tres situaciones, y las tres son habituales en empresas que construyen sobre modelos de IA:
- Pones tu nombre o marca en un sistema de alto riesgo construido por otro — por ejemplo, el motor de scoring en marca blanca que revendes a tus clientes.
- Haces una modificación sustancial a un sistema de alto riesgo ya en el mercado, como reentrenarlo con tus datos para una decisión distinta.
- Cambias la finalidad prevista de un sistema de modo que pasa a ser de alto riesgo — el asistente genérico que tu equipo de RR. HH. empieza a usar para clasificar candidatos.
El Marco de Gobernanza de la IA en Siete Controles
Este es el marco mínimo que pongo en marcha para clientes medianos. Cada control produce un entregable que se puede enseñar a un auditor, a un consejo o al equipo de due diligence de un cliente. Cada uno corresponde a algo que el AI Act, el RGPD o tu regulador sectorial ya esperan. La columna de esfuerzo refleja mi experiencia en empresas de 200 a 1.000 personas con algunas decenas de casos de uso de IA, no un benchmark del sector.
| # | Control | Entregable | Referencia principal | Responsable | Esfuerzo típico |
|---|---|---|---|---|---|
| 1 | Inventario de IA | Registro de IA (una fila por sistema) | Base para el art. 26 y el art. 50 | Responsable de gobernanza de la IA | 2–4 semanas, luego mensual |
| 2 | Clasificación del riesgo | Nivel por fila, con justificación | Art. 5, art. 6 y Anexo III, art. 50 | Responsable + jurídico | 1–2 semanas |
| 3 | Propiedad | Responsable de negocio nombrado por sistema; pequeño comité de IA | Art. 26(2) supervisión humana | Patrocinador ejecutivo | 1 semana |
| 4 | Uso aceptable y reglas de datos | Política de IA de una página + clases de datos por herramienta | RGPD, art. 4 alfabetización | Responsable + DPD + seguridad | 2 semanas |
| 5 | Supervisión humana y registro | Procedimiento de supervisión + conservación de registros por sistema | Art. 26(2), 26(5), 26(6) | Responsable del sistema + ingeniería | 2–6 semanas por sistema de alto riesgo |
| 6 | Diligencia debida con proveedores | Cuestionario de IA para proveedores + cláusulas contractuales | Art. 26(1), art. 25 | Compras + jurídico | 1–2 semanas, luego por contrato |
| 7 | Seguimiento, incidentes, alfabetización | Runbook de incidentes, revisión trimestral, registro de formación | Art. 26(5), art. 4, art. 73 | Responsable + seguridad | Continuo, ~2 días por trimestre |
Control 1 — El inventario de IA
Todo lo demás depende de esto, y siempre es más grande de lo que la dirección espera. En los inventarios que he hecho, los sistemas que la dirección conocía solían ser bastante menos de la mitad del registro final. El resto eran funciones de IA activadas por defecto dentro de SaaS ya en uso — scoring en el CRM, clasificación de tickets, transcripción de reuniones, asistentes de código — y herramientas que cada equipo contrató con una tarjeta de empresa. Se encuentran con los datos de compras y gastos, los registros de SSO, los informes de extensiones del navegador y una encuesta breve en clave de amnistía: la gente declara mucho más si el mensaje es "cuéntanos qué usas para hacerlo seguro" que si es "quién se ha saltado las normas".
- Qué es y quién lo suministra: producto, proveedor, proveedor del modelo subyacente si se conoce, versión o referencia contractual.
- Qué hace aquí: el proceso de negocio, la decisión que informa o toma, y si una persona revisa el resultado.
- Qué datos entran: datos personales, categorías especiales, datos confidenciales de clientes, código fuente.
- A quién afecta: empleados, clientes, candidatos, pacientes, el público.
- Tu rol: proveedor o responsable del despliegue, y por qué — por escrito, porque el artículo 25 lo convierte en un blanco móvil.
Control 2 — Clasificación del riesgo
Clasifica cada fila dos veces. Primero según las categorías del AI Act — prohibido, alto riesgo del Anexo III o del Anexo I, obligaciones de transparencia del artículo 50, riesgo mínimo. Después según tu criticidad de negocio: qué les pasa a los clientes, al dinero o a la reputación si este sistema se equivoca durante una semana. El segundo nivel importa porque gran parte de tu riesgo está en sistemas que el AI Act considera mínimos. Un modelo de previsión de ventas no es de alto riesgo para la ley. Aun así puede engañar a un consejo. Los controles deben seguir el más alto de los dos niveles, no solo el jurídico.
Control 3 — Propiedad
Cada sistema tiene un único responsable de negocio — el jefe de la función cuyas decisiones influye el sistema, no la persona de TI que lo instaló. Por encima hay un pequeño comité de IA: un patrocinador ejecutivo, el responsable de gobernanza de la IA, alguien de jurídico o el delegado de protección de datos, seguridad y un directivo de negocio que use mucho la IA. Cinco personas, una hora al mes, con autoridad para aprobar, pausar o retirar un sistema. Los grandes comités de gobernanza de la IA fracasan en la empresa mediana por una razón sencilla: cuando quince personas son dueñas de una decisión, no lo es nadie.
Control 4 — Uso aceptable y reglas de datos
Escribe una política de uso de IA que quepa en una página y que la gente lea de verdad: qué herramientas están aprobadas, qué clases de datos pueden entrar en qué herramienta, qué no se pega nunca en ningún sitio (datos personales de clientes, credenciales, cifras financieras no publicadas, código bajo NDA) y cómo pedir una herramienta nueva con respuesta garantizada en cinco días laborables. Esa última línea es la que reduce la IA en la sombra. Las prohibiciones sin una vía de aprobación rápida solo desplazan el uso a los dispositivos personales, donde ya no ves nada.
Control 5 — Supervisión humana y registro de decisiones
"Human in the loop" no es un control hasta que puedes demostrar quién era la persona, qué vio y qué decidió. Para cada sistema de nivel alto define el punto de supervisión, la autoridad para intervenir y qué se registra: entrada, salida, revisor, decisión final y cualquier anulación. Conserva los registros al menos seis meses, más donde la normativa sectorial lo exija. Es trabajo de ingeniería, y es la misma disciplina que describo para el código generado por IA en el playbook de guardrails enterprise para el vibe coding: si la evidencia no la produce el sistema automáticamente, el día que la necesites no existirá.
Control 6 — Diligencia debida con proveedores
Como responsable del despliegue, la mayor parte de tu riesgo de IA llega a través de los contratos. Las funciones de IA que lanzan tus proveedores se rigen por su documentación y por tu acuerdo con ellos, y casi todas las condiciones SaaS estándar se escribieron antes de que nadie hiciera estas preguntas. Añade una sección de IA a tu cuestionario de proveedores y a tu checklist de renovación:
- ¿Se usan nuestros datos para entrenar o mejorar modelos, y podemos excluirlo por contrato en lugar de con un ajuste de configuración?
- ¿Qué proveedores de modelos hay por debajo, en qué regiones se tratan los datos y cómo se nos avisa cuando cambian?
- Para usos de alto riesgo: ¿nos daréis las instrucciones de uso, la capacidad de registro y la información que necesitamos para cumplir el artículo 26?
- ¿Cuál es vuestro plazo de notificación de fallos relacionados con la IA, y encaja con nuestros propios plazos regulatorios?
- ¿Se pueden desactivar las funciones de IA por cliente, y las nuevas llegan desactivadas hasta que las aprobemos?
Control 7 — Seguimiento, incidentes y alfabetización
La gobernanza se degrada el mes siguiente a su puesta en marcha, salvo que algo obligue a revisarla. Pon tres cosas en el calendario: una actualización mensual del registro alimentada por compras y datos de SSO; una revisión trimestral del comité de IA de cada sistema de nivel alto frente a las métricas de su responsable; y un runbook de incidentes de IA que se conecte a tu proceso de incidentes de seguridad existente en lugar de crear uno paralelo. La alfabetización es el control más barato de los siete: formación por rol de una o dos horas para la mayoría del personal, más profunda para responsables y revisores, con asistencia registrada. Es también la obligación que se aplica desde febrero de 2025.
Puntos Críticos por Sector: Dónde se Cruza la Empresa Mediana con el Anexo III
La lista de alto riesgo es más estrecha de lo que sugiere el marketing de los proveedores. En los sectores con los que trabajo, estos son los usos que de verdad entran en ella — y los que no:
| Sector | Caso de uso | Clasificación AI Act | Desde |
|---|---|---|---|
| Banca y crédito | Evaluación de la solvencia o scoring crediticio de personas físicas | Alto riesgo, Anexo III 5(b); evaluación de impacto sobre derechos fundamentales obligatoria (excluida la detección de fraude) | 2 dic 2027 |
| Seguros | Evaluación de riesgos y fijación de precios en seguros de vida y salud | Alto riesgo, Anexo III 5(c); evaluación de impacto sobre derechos fundamentales obligatoria | 2 dic 2027 |
| Cualquier empleador | Filtrado de CV, clasificación de candidatos, decisiones de ascenso o despido, asignación de tareas, seguimiento del rendimiento | Alto riesgo, Anexo III punto 4; informar a los trabajadores antes del uso | 2 dic 2027 |
| Energía y utilities | Componentes de seguridad en la gestión y operación del suministro de electricidad, gas, calefacción, agua e infraestructuras digitales críticas | Alto riesgo, Anexo III punto 2 | 2 dic 2027 |
| Sanidad | IA en software de productos sanitarios; triaje de pacientes en urgencias | Alto riesgo vía Anexo I (productos sanitarios) o Anexo III 5(d) | 2 ago 2028 / 2 dic 2027 |
| Todos los sectores | Chatbots y asistentes de cara al cliente | Transparencia: las personas deben saber que interactúan con una IA | En vigor desde el 2 ago 2026 |
| Todos los sectores | Copilotos internos, resúmenes, asistentes de código, previsiones | Riesgo mínimo según el AI Act — gobernados por tu propia clasificación y el RGPD | Obligación de alfabetización en vigor |
La evaluación de impacto sobre los derechos fundamentales del artículo 27 merece una nota específica para bancos y aseguradoras, porque es la única obligación de esta tabla que recae en el responsable del despliegue y no en el proveedor. Antes del primer uso de un sistema de scoring crediticio o de tarificación de vida y salud, debes evaluar a quién puede afectar y cómo, y qué medidas de supervisión y reparación tienes. Si ya haces evaluaciones de impacto del RGPD, amplía esa plantilla en lugar de inventar otra. La parte de arquitectura — trazas de auditoría, control de acceso, residencia de datos — está tratada en detalle en cómo construir software compliance-first para industrias reguladas.
Lo que Cuesta No Cumplir
| Infracción | Multa máxima (art. 99) | Nota para pymes |
|---|---|---|
| Prácticas de IA prohibidas (art. 5) | 35 millones de euros o el 7% del volumen de negocio mundial anual, la cuantía mayor | Se aplica la cuantía menor |
| Casi todas las demás obligaciones, incluidas las del responsable del despliegue (art. 26) y la transparencia (art. 50) | 15 millones de euros o el 3% del volumen de negocio mundial anual, la cuantía mayor | Se aplica la cuantía menor |
| Información inexacta, incompleta o engañosa a las autoridades | 7,5 millones de euros o el 1% del volumen de negocio mundial anual, la cuantía mayor | Se aplica la cuantía menor |
Yo no construiría un programa de gobernanza sobre el miedo a estas cifras: las autoridades nacionales empezarán con orientaciones y casos evidentes. El coste comercial más inmediato está en las compras. Los grandes clientes de finanzas y sanidad ya están añadiendo preguntas sobre IA a la diligencia debida de proveedores, y un proveedor mediano que entrega un registro, una política y un procedimiento de supervisión gana contratos que pierde quien promete "nos tomamos la IA en serio".
Quién Es Dueño de la Gobernanza de la IA Si No Tienes Departamento de Cumplimiento
El fallo más habitual que veo no es la política que falta. Es una política en manos de jurídico, un registro en manos de TI, la formación en manos de RR. HH. y nadie que lo conecte todo. Una empresa mediana necesita una persona — normalmente el 20–40% de un rol sénior, no una contratación nueva — que sea dueña del marco de principio a fin. Los mejores candidatos son un CTO o un responsable de datos que conoce los sistemas, o un director de operaciones que conoce los procesos. El peor es alguien júnior con el título pero sin autoridad para parar un sistema.
- Patrocinador ejecutivo (CEO, COO o CFO): fija el apetito de riesgo y preside o asiste al comité de IA.
- Responsable de gobernanza de la IA: dueño del registro, la clasificación, el calendario y el dosier de evidencias.
- Responsables de sistema: uno por sistema, responsables de sus resultados, su supervisión y sus métricas.
- Jurídico / DPD: decisiones de clasificación, evaluaciones de impacto, cláusulas con proveedores.
- Seguridad: controles de acceso, respuesta a incidentes, vigilancia de herramientas no autorizadas.
- Ingeniería: registro, puntos de supervisión y evaluación integrados en los propios sistemas.
“Si nadie en la empresa puede apagar un sistema de IA, no tienes gobernanza. Tienes documentación.”
— Michele Cimmino · Fractional CTO & Digital Transformation Advisor
Los Primeros 90 Días
- Semanas 1–2 — nombrar y anunciar. Nombra al patrocinador ejecutivo y al responsable de gobernanza de la IA, forma el comité de IA de cinco personas y anuncia un inventario en clave de amnistía: declara lo que usas, nadie es sancionado.
- Semanas 2–5 — construir el registro. Datos de compras, gastos, SSO y navegador, más la encuesta. Incluye las funciones de IA dentro de los SaaS existentes. Anota el rol de proveedor o responsable del despliegue en cada fila.
- Semanas 5–6 — clasificar y priorizar. Clasifica cada sistema según el AI Act y la criticidad de negocio. Retira o bloquea de inmediato lo prohibido o indefendible; casi siempre hay al menos un caso.
- Semanas 6–8 — publicar la política de una página con herramientas aprobadas, clases de datos y una vía de aprobación en cinco días para herramientas nuevas. Lanza la formación por rol y registra la asistencia.
- Semanas 8–10 — ordenar el lado de los proveedores. Envía el cuestionario de IA a los proveedores de tus sistemas de nivel alto y programa las modificaciones contractuales en la próxima renovación.
- Semanas 10–12 — instrumentar los sistemas de nivel alto. Define puntos de supervisión y registro de decisiones para cada uno, empezando por todo lo que entre en el Anexo III. Reúne el dosier de evidencias y celebra la primera revisión trimestral.
Errores que Conviene Evitar
- Comprar una plataforma de gobernanza de la IA antes de tener un registro. Las herramientas automatizan un proceso; no lo inventan. Casi todas las empresas medianas pueden gestionar el primer año con una hoja de cálculo bien estructurada y su herramienta GRC o de tickets actual.
- Escribir primero una carta ética. Principios sin inventario producen un documento que nadie sabe aplicar. Escribe los principios cuando sepas qué van a gobernar.
- Tratar la gobernanza como un proyecto de jurídico. La mitad de los controles son ingeniería — registro, accesos, puntos de supervisión — y ninguna política los entrega.
- Ignorar la IA dentro del software que ya pagas. Es la parte más grande y menos visible del registro, y cambia con cada versión del proveedor. Es la misma dinámica que hay detrás del coste creciente del SaaS enterprise que describí en el fin de la era SaaS.
- Prohibir herramientas sin una vía de aprobación. No frena el uso. Te impide verlo.
- Leer el Omnibus como un permiso para esperar. Prohibiciones, alfabetización y transparencia ya se aplican, y la diligencia debida de tus clientes no sigue el calendario del AI Act.
En Resumen
La gobernanza de la IA en una empresa mediana no es la versión reducida de la de un banco global. Es un problema distinto: pocos sistemas propios, muchos más alquilados, muy poco personal dedicado y el mismo regulador. La respuesta es un marco lo bastante pequeño para gestionarlo con la gente que ya tienes — un inventario, una clasificación, responsables con nombre, una política de una página, registro donde importa, cláusulas con proveedores y una revisión trimestral. El Digital Omnibus dio a los responsables del despliegue del Anexo III hasta diciembre de 2027. Usa la ventana para construir las evidencias, no para aplazar la conversación. Las empresas que puedan enseñar su registro de IA en una reunión de due diligence descubrirán que la gobernanza no es solo un coste. Es un motivo para ser elegidas.
Si quieres una segunda opinión
Ayudo a empresas medianas de finanzas, seguros, sanidad y energía a montar exactamente esto: el primer inventario, las decisiones proveedor-o-responsable del despliegue, el diseño de supervisión y registro para los sistemas que lo necesitan, y las preguntas que hay que hacer a los proveedores antes de renovar. Con Lasting Dynamics también construimos los propios sistemas de IA, y por eso me importa una gobernanza que los ingenieros puedan implementar de verdad.