Dónde colgar la función de gobierno de IA: Compliance para empezar, y la señal para mudarse

Cuando una organización decide que necesita gobernar sus sistemas de IA, la primera pregunta que aparece casi nunca es qué marco adoptar. Es de quién depende esto. Y la respuesta que se da por defecto, colgarlo de Compliance, se usa más veces de las que se reconoce.

Lo que casi nadie explica es que esa respuesta tiene fecha de caducidad en el caso de ai governance, y que la caducidad se anuncia con señales concretas.

Hay tres fases. En la primera, Compliance puede entenderse como la ubicación correcta y se sostiene con lo que Compliance hace bien. En la segunda, la función empieza a pedir aire propio, y eso se detecta por cuatro señales que se comprueban mirando actas. En la tercera, la organización construye ese espacio conservando la infraestructura de control que ya tenía. Las tres son legítimas. Lo que hace daño es estar en la segunda y creerse en la primera.

Este texto describe las tres, las señales que marcan el paso de una a otra, y qué hay que dejar escrito cuando se mueve el mandato.

La fase inicial se sostiene en lo que Compliance ya sabe hacer

Cuando una organización empieza a preguntarse cómo gobernar sus sistemas de IA, mira a su alrededor y busca el área con la cultura más cercana. Compliance la tiene. Procesos de control maduros, interlocución con reguladores, disciplina de evidencia, comités que funcionan. Una infraestructura que ha costado años construir y que ya sabe operar bajo escrutinio.

Ampliar esa función con gobierno de IA, en la fase inicial, es una decisión sensata. Debería dar velocidad. Puede dar legitimidad interna. Usa un lenguaje que el resto de la organización ya entiende.

Y da algo que en los primeros dieciocho meses vale más que un organigrama elegante: un responsable real que responde cuando se le pregunta. Quien haya visto arrancar un programa sin esa figura sabe lo que cuesta. Las iniciativas transversales sin dueño nominal se disuelven en la agenda de todos.

Esa fase importa y conviene defenderla. Buena parte del ruido que hay hoy en el sector empuja a montar estructuras propias desde el día uno, y eso crea funciones sin peso interno que tardan dos años en conseguir que alguien les envíe un caso de uso antes de desplegarlo.

Las cuatro señales de que la función pide aire propio

Hay un momento en el que el trabajo cambia de naturaleza. Rara vez se anuncia en una reunión. Se detecta así:

Las preguntas dejan de tener respuesta en el marco existente. Llega un caso de uso y la pregunta que trae no se resuelve consultando la política, porque la política se escribió para un supuesto que ese caso no cumple. Si en los últimos tres meses han llegado varias de estas y todas se han resuelto por criterio personal de alguien, la señal está activa.

La conversación se desplaza desde “¿esto cumple?” hacia “¿esto es lo que queremos hacer?”. La primera pregunta tiene respuesta documental. La segunda pide una posición de la compañía, y esa posición alguien la tiene que sostener ante un comité de dirección. Son ejercicios distintos y piden interlocutores distintos.

El riesgo más relevante aparece fuera de la documentación. Está en decisiones que todavía se están tomando, en un piloto que alguien lanzó sin registrar, en un proveedor que cambió el modelo por debajo sin avisar. La revisión documental llega cuando ese riesgo ya se materializó.

El ciclo de la conversación se acorta más que la cadencia del comité. Cuando las decisiones sobre sistemas de IA se toman cada dos semanas y el comité se reúne cada tres meses, el comité deja de gobernar y pasa a ratificar. Es el mismo defecto de diseño que describo en el comité que decide en vez de reunirse, y aquí se manifiesta como un problema de dependencia jerárquica, además de como un problema de agenda.

Ninguna de las cuatro es una impresión. Las cuatro se comprueban con dos documentos: el acta del último comité y la lista de decisiones sobre IA que se tomaron en el trimestre. Si la mayoría de las decisiones de la lista no aparecen en el acta, o aparecen con fecha posterior a su ejecución, tienes la respuesta.

Escribo esto desde dentro del recorrido, y por eso insisto en la parte de las señales. He visto el paso de una fase a otra llegar sin anuncio, y reconocerse tarde, cuando alguien mira el acta y ve que las decisiones que de verdad importaban no estaban en ella. En los próximos años va a haber movimientos en muchas organizaciones, empujados por las fechas del reglamento y por el volumen de sistemas que entran en producción. Conviene tener esa conversación antes de que la abra un incidente.

El desplazamiento ocurre, y casi nunca se planifica

Lo interesante de este cambio es que rara vez se decide. Ocurre. Lo notas cuando las reuniones cambian de tono, cuando aparecen interlocutores nuevos que antes no estaban en la lista, cuando las decisiones que se resolvían en una revisión formal ahora necesitan una conversación previa entre cuatro áreas.

El riesgo de no nombrarlo es que la función sigue midiéndose con los indicadores de la fase anterior. Documentos emitidos, revisiones cerradas, formaciones impartidas. Todos suben mientras la capacidad real de influir en decisiones baja, y nadie lo ve hasta que aparece un incidente cuya decisión de origen nunca pasó por el comité. Es el patrón que conté en el KPI que mentía.

Lo que hay que dejar escrito cuando cambia el mandato

Mover la función es una decisión de diseño organizativo, y como toda decisión de diseño se degrada si se deja implícita. Tres cosas hay que dejar escritas.

Qué mandato se amplía. La pregunta operativa es sobre qué decisiones la función puede detener, y no solo opinar. Una función que informa y una función que bloquea son dos figuras distintas en el organigrama y en el presupuesto. Sin esa línea escrita, la ampliación es nominal.

Qué perfiles se incorporan. La fase nueva pide tres capacidades que la fase inicial no necesitaba: coordinar áreas que hablan idiomas distintos, anticipar escenarios que todavía son borradores regulatorios, y sostener criterio cuando la norma sigue en consulta pública. Son complementarias a las de Compliance, con un tempo distinto y una lógica distinta.

Qué conversaciones pasan a tener su propio espacio. El ciclo de cumplimiento es anual o trimestral por buenas razones. El ciclo de las decisiones sobre IA es quincenal. Meter el segundo dentro del primero fuerza a uno de los dos a romperse, y normalmente se rompe el que carece de obligación regulatoria de existir.

En un sector regulado, la casa ya existe y tiene nombre

En una entidad financiera la pregunta cambia de forma, porque los marcos que podrían alojar la función ya existen y además son obligatorios.

Una aseguradora tiene un sistema de gobernanza definido por Solvencia II, con cuatro funciones clave escritas en la Directiva 2009/138/CE: gestión de riesgos en el artículo 44, verificación del cumplimiento en el 46, auditoría interna en el 47 y función actuarial en el 48. Tiene además, desde el 17 de enero de 2025, el marco de DORA, cuyo artículo 5 atribuye al órgano de dirección definir, aprobar y supervisar el marco de gestión del riesgo relacionado con las TIC, y responder de su aplicación.

Sobre ese terreno, EIOPA cerró el debate de la ubicación para el sector asegurador. Su Opinion sobre gobernanza y gestión de riesgos de la IA, de 6 de agosto de 2025, dirigida a las autoridades competentes, sitúa la IA dentro del sistema de gobernanza existente y la trata como un riesgo tecnológico más dentro de él. No crea reglas nuevas: interpreta Solvencia II, la IDD, DORA y el RGPD para los sistemas de IA que el reglamento europeo no prohíbe ni categoriza como de alto riesgo, con un enfoque basado en riesgo y proporcionalidad.

El propio reglamento apunta en la misma dirección para estas entidades. Su artículo 17(4) da por cumplida la obligación de sistema de gestión de calidad a las entidades financieras sujetas a requisitos de gobierno interno por derecho de la Unión, con la excepción de tres letras, y ese detalle lo desgloso en el alcance real de la presunción de conformidad.

Hasta aquí, la conclusión parece que en un sector regulado no hay nada que mover. Conviene leerla con cuidado, porque dice menos de lo que parece.

EIOPA resuelve dónde se gestiona el riesgo. Deja abiertas las dos cosas que miden las cuatro señales: quién tiene mandato para detener un despliegue, y con qué cadencia se toma esa decisión. El modelo de tres líneas, que el IIA actualizó en julio de 2020 y del que retiró la palabra defensa para dejar de leerlo solo como protección, reparte responsabilidades entre quien construye, quien supervisa y quien audita. Ninguna de las tres líneas dice quién dice que no un martes sobre un sistema que entra en producción el jueves.

Por eso en una entidad regulada la segunda fase tiene otro remedio. Lo que se mueve rara vez es la función de sitio, porque el sitio lo fija el supervisor. Lo que se mueve es el mandato dentro del sistema de gobernanza que ya existe: qué órgano decide, con qué frecuencia se reúne, y sobre qué decisiones puede parar en vez de opinar. Las señales son las mismas. La respuesta es distinta, y suele ser más barata.

La tercera fase construye aire propio sin romper lo anterior

Hay organizaciones en la fase inicial que han acertado colgándolo de Compliance. Hay otras que llevan tiempo operando y empiezan a notar que la función pide aire propio. Y hay algunas, las más avanzadas, que ya están construyendo ese aire sin romper lo que funcionaba antes.

Esa última parte es la que más se falla. La tentación al independizar la función consiste en construirla de cero, con su propio comité, su propia plantilla de evaluación y su propio repositorio, dejando atrás la disciplina de evidencia que Compliance había levantado en años. El resultado habitual es una función con más autonomía y menos capacidad de demostrar nada ante una autoridad de vigilancia del mercado.

La tercera fase se reconoce por lo que conserva: el rigor documental de la primera, con la velocidad de decisión de la segunda.

Quién lidera es otra pregunta, con otra respuesta

Dónde cuelga la función y quién la lidera se confunden a menudo, y responder bien a una deja la otra abierta.

Las tres respuestas habituales a la segunda son el CISO, el responsable de Compliance y el perfil con más conocimiento técnico de IA de la casa. Las tres comparten el mismo límite. El CISO lidera desde el output. El responsable de Compliance lidera desde el riesgo jurídico. El tecnólogo lidera desde la novedad. Cada uno ve el problema desde dentro de su disciplina, y gobernar la IA es un problema de coordinación entre todas ellas.

Lo que el puesto pide es capacidad de mover una iniciativa transversal sin autoridad formal sobre las áreas implicadas, algo que se aprende operando. Ese argumento lo desarrollo entero en el gobierno de IA como sistema adaptativo, y la capa de criterio que ningún manual recoge está en el conocimiento que no aparece en ningún framework.

Cómo saber en qué fase estás

Cuatro comprobaciones que se hacen en una mañana, sin entrevistar a nadie:

1. Coge la lista de sistemas de IA desplegados en los últimos seis meses y marca cuáles pasaron por revisión antes del despliegue. Si es menos de la mitad, la función todavía no gobierna, con independencia de dónde cuelgue.
2. Coge el acta del último comité y cuenta cuántos puntos eran decisiones y cuántos eran informes de estado. La proporción dice en qué fase estás mejor que el organigrama.
3. Busca la última vez que la función detuvo algo. Si no la encuentras, el mandato es de opinión.
4. Pregunta quién responde cuando el regulador escribe. Si la respuesta tarda más de tres segundos, falta un dueño.

Si al terminar el ejercicio la respuesta resulta incómoda, hay cinco preguntas más que ayudan a leer el estado real de una organización antes de comprometerse con ella, y las dejé escritas en las preguntas que cambian todo antes de aceptar un rol de gobierno de IA.

Las tres fases son legítimas. Lo importante es saber en cuál estás, porque de ahí sale el siguiente paso: qué mandato se amplía, qué perfiles se incorporan, y qué conversaciones empiezan a tener su propio espacio. Elegir la casa es la parte fácil. Revisar la elección a tiempo es lo que separa una función que gobierna de una que documenta. Periodo.

Preguntas frecuentes

¿De quién debe depender la función de gobierno de IA? Depende de la fase en la que esté la organización, y las tres fases habituales son legítimas. En la fase inicial, colgarla de Compliance es acertado: aporta procesos de control maduros, interlocución con reguladores, disciplina de evidencia y comités que ya funcionan. En una fase intermedia la función empieza a pedir mandato propio, porque las preguntas dejan de tener respuesta dentro del marco de cumplimiento. En la fase avanzada la organización construye ese espacio propio conservando la infraestructura de control que ya tenía. El error frecuente está en no revisar la elección cuando las señales aparecen, más que en elegir mal la casa inicial.

¿Es un error colgar el gobierno de IA de Compliance? En la fase inicial es una de las mejores decisiones disponibles. Compliance tiene la cultura más cercana al problema y una infraestructura que ha costado años construir: sabe operar bajo escrutinio, sabe documentar, sabe sostener un comité. Ampliar su función con gobierno de IA da velocidad, da legitimidad interna, y usa un lenguaje que el resto de la organización ya entiende. Da además algo que en los primeros dieciocho meses vale más que un organigrama elegante: un responsable real que responde cuando se le pregunta. El problema aparece cuando esa dependencia se mantiene intacta después de que el trabajo haya cambiado de naturaleza.

¿Cuándo deja de funcionar la dependencia de Compliance? Hay cuatro señales observables. Las preguntas que llegan dejan de tener respuesta dentro del marco existente. La conversación se desplaza desde si esto cumple hacia si esto es lo que queremos hacer. El riesgo más relevante aparece fuera de la documentación, en decisiones que todavía se están tomando. Y el ciclo de la conversación se acorta tanto que un comité trimestral llega siempre después de que la decisión se haya tomado. Las cuatro se comprueban mirando el acta del último comité y la fecha de las decisiones que revisó, así que ninguna depende de la impresión de nadie.

¿Qué cambia en la organización cuando la función pasa a tener mandato propio? Cambian tres cosas concretas y conviene decidirlas por escrito. Qué mandato se amplía, es decir, sobre qué decisiones tiene la función capacidad de detener y no solo de opinar. Qué perfiles se incorporan, porque la fase nueva pide coordinar áreas que hablan idiomas distintos, anticipar escenarios que todavía son borradores regulatorios y sostener criterio cuando la norma sigue en consulta pública. Y qué conversaciones pasan a tener su propio espacio, con una cadencia distinta de la del ciclo de cumplimiento. La disciplina de evidencia que Compliance ya tenía se conserva intacta.

¿Puede el gobierno de IA depender de IT o de ciberseguridad? Puede, y en muchas organizaciones ocurre por la vía de los hechos, porque el primer inventario de sistemas lo levanta quien tiene acceso a los sistemas. Como casa estable tiene un problema de alcance: las decisiones que más pesan en gobierno de IA son decisiones de negocio sobre qué errores está dispuesta a cometer la organización, y esas se resuelven fuera de una disciplina técnica. La consecuencia práctica es que la función acaba con visibilidad sobre el despliegue y sin capacidad de intervenir antes de que el caso de uso se haya aprobado.

¿Dónde se coloca la función de gobierno de IA en una aseguradora o una entidad financiera? En el sistema de gobernanza que ya existe, y en el sector asegurador esa respuesta está escrita. La Opinion de EIOPA sobre gobernanza y gestión de riesgos de la IA, de 6 de agosto de 2025, sitúa la IA dentro del sistema de gobernanza de Solvencia II y la trata como un riesgo tecnológico más dentro de él, interpretando también la IDD, DORA y el RGPD sin crear reglas nuevas. El reglamento europeo apunta igual en su artículo 17(4) para las entidades sujetas a gobierno interno por derecho de la Unión. Lo que esa respuesta deja abierto es quién tiene mandato para detener un despliegue y con qué cadencia se decide, que es justo lo que miden las cuatro señales. En una entidad regulada lo que se mueve es el mandato dentro del sistema de gobernanza, y rara vez la función de sitio.

¿Quién debería liderar el programa de gobierno de IA? La pregunta de quién lidera es distinta de la de dónde cuelga la función, y responder bien a una deja la otra abierta. Las tres respuestas habituales, el CISO, el responsable de Compliance y el perfil con más conocimiento técnico de IA, comparten el mismo límite: cada uno mira el problema desde dentro de su disciplina, y gobernar la IA es un problema de coordinación entre todas ellas. Lo que el puesto pide es capacidad de mover una iniciativa transversal sin autoridad formal sobre las áreas implicadas, una habilidad que se aprende operando.