Jorge Juárez

Gobernanza de la IA: lo que tu empresa necesita (y no es un comité)

· 9 min de lectura

En 30 segundos

  • Qué es: gobernar la IA es decidir qué herramientas se usan, con qué datos y quién responde del resultado.
  • Por qué ahora: tu equipo ya la usa, con o sin permiso, y desde agosto de 2026 la ley europea exige transparencia en varios casos.
  • Qué hacer: escribe una política de una página con cinco decisiones y repásala cada tres meses. Aquí tienes la plantilla.

Pregunta en tu próxima reunión de equipo quién ha usado ChatGPT, Claude o Gemini esta semana para algo de trabajo. Levantarán la mano casi todos.

Ahora pregunta quién sabe qué datos se pueden pegar ahí y cuáles no. Silencio.

Esa distancia entre lo que tu equipo hace y lo que tu empresa ha decidido es el problema que resuelve la gobernanza de la IA.

No es un problema teórico. Los informes publicados en 2026 coinciden en lo esencial: entre la mitad y cuatro de cada cinco empleados usan herramientas de IA que su empresa no ha aprobado, y muchos de ellos les pasan datos sensibles. Lo llaman IA en la sombra. No lo hacen por mala fe, sino porque la herramienta les ahorra horas y nadie les ha dicho cómo usarla bien.

Desde Pictulab lo vemos a diario: la IA entra en las empresas por abajo, empleado a empleado, mucho antes de que la dirección decida nada. La buena noticia es que ponerle orden es mucho más sencillo de lo que parece.

Qué es gobernar la IA, en una frase

Gobernar la IA es decidir, por escrito, qué herramientas se usan, con qué datos, y quién responde cuando se equivoca.

Nada más. No hace falta un comité de ética, ni una consultora, ni un manual de cuarenta páginas que nadie va a leer. En una pyme cabe en un folio.

Piensa en ello como en las normas de uso del coche de empresa: nadie prohíbe conducir, pero está claro quién puede llevarlo, para qué y qué pasa si hay un golpe.

Por qué ahora: lo que dice la ley

Durante dos años, la gobernanza de la IA fue una buena práctica. Desde este año empieza a ser también una obligación. Este es el calendario del Reglamento Europeo de IA (el AI Act), con los cambios que se aprobaron este verano:

Fecha Qué pasa
Febrero 2025 Se prohíben los usos de IA considerados inaceptables y las empresas deben formar a su equipo en IA.
Julio 2026 Una reforma (el Digital Omnibus) suaviza esa formación: ya no hay que garantizar un nivel, sino tomar medidas para apoyarla. Y retrasa las normas de alto riesgo.
Agosto 2026 Entran las obligaciones de transparencia: avisar cuando alguien habla con una IA y cuando se publica contenido falso realista (deepfakes).
Diciembre 2027 Normas estrictas para la IA de alto riesgo: selección de personal, concesión de créditos, educación…

En España, la ley que fija las sanciones y la supervisión está en el Congreso desde junio de 2026. La Agencia Española de Supervisión de la IA (AESIA) será quien vigile.

Para la mayoría de pymes, esto se traduce en tres cosas: formar al equipo, ser transparente cuando toca y tener mucho cuidado si usas IA para decidir sobre personas. No es asesoramiento legal, pero sí el mapa para saber qué preguntarle a tu abogado.

La política de una página: cinco decisiones

Boceto a mano en una libreta: "Política de IA — 1 página" con cinco puntos: qué herramientas, qué datos, quién revisa, cuándo avisar y formación

📄 Plantilla gratuita. He preparado la política de una página lista para rellenar, con un ejemplo completo, la encuesta para tu equipo y una lista de control para conectar la IA a tus herramientas.

1. Qué herramientas están aprobadas

Haz una lista corta: qué asistentes y aplicaciones de IA puede usar el equipo y con qué cuenta. La diferencia importa mucho más de lo que parece: la versión gratuita de muchas herramientas puede usar lo que escribes para entrenar sus modelos; las versiones de empresa, normalmente, no.

Una regla sencilla: si la empresa no paga la cuenta, no es una herramienta aprobada.

2. Qué datos pueden entrar

Es la decisión más importante, y funciona mejor como un semáforo:

Boceto a mano: un semáforo dibujado en una libreta. Verde: público, sí. Ámbar: interno, con herramienta aprobada. Rojo: clientes y personal, nunca

  • 🟢 Verde, sin problema: información pública. Tu web, un artículo, una nota de prensa.
  • 🟡 Ámbar, solo con herramientas aprobadas: documentos internos, estrategia, cifras de negocio.
  • 🔴 Rojo, nunca: datos personales de clientes y empleados, contraseñas, contratos confidenciales.

Un semáforo se recuerda. Un anexo de protección de datos, no.

3. Quién revisa lo que hace la IA

La IA se equivoca con total seguridad, y eso es lo peligroso. Decide qué resultados necesitan que una persona los revise antes de salir: todo lo que llegue a un cliente, todo lo que tenga cifras y todo lo que tenga consecuencias legales.

Y deja claro que quien firma es responsable, lo haya escrito él o una máquina. “Lo dijo la IA” no es una excusa válida, ni ante un cliente ni ante un juez.

4. Cuándo hay que avisar de que es IA

Desde agosto de 2026, la ley lo concreta en los casos más claros:

  • Si pones un chatbot de cara a clientes, tiene que quedar claro que hablan con una IA.
  • Si publicas imágenes, vídeo o audio realistas creados o alterados con IA que puedan pasar por reales, hay que decirlo.
  • Los textos sobre temas de interés público generados con IA también, salvo que una persona los revise y firme como responsable. Este artículo, por ejemplo, entra en esa excepción.

Más allá de la ley, mi consejo es avisar siempre que el cliente pueda sentirse engañado si se entera después. La confianza tarda años en ganarse y un minuto en perderse.

5. Cómo se forma al equipo

No hace falta un máster. Basta una sesión de una hora al año que explique la política, enseñe a usar bien las herramientas aprobadas y muestre dos o tres errores reales. Guarda quién asistió: es tu forma de demostrar que has tomado medidas.

Y un nombre

Por último, una persona responsable. No un comité: una persona que mantenga la lista de herramientas al día y a la que el equipo pueda preguntar “¿esto se puede?”. En una empresa pequeña, muchas veces será el propio director general.

Cuando la IA ya no solo escribe, sino que actúa

Todo lo anterior vale para la IA que redacta y resume. Pero, como conté en mi artículo sobre qué es MCP, los asistentes ya pueden actuar dentro de tus herramientas: crear documentos, enviar correos, mover archivos.

Ahí la gobernanza sube un nivel, y hay que añadir tres preguntas por cada conexión:

  • ¿Puede solo leer, o también crear y borrar? Empieza siempre por lo mínimo.
  • ¿Pide confirmación antes de hacer algo importante? Gastar dinero, enviar algo a un cliente o borrar no debería pasar sin un “sí” humano.
  • ¿Se puede desconectar en un clic? Si una persona deja la empresa o algo falla, retirar el acceso tiene que ser inmediato.

Al construir el conector de Pictulab, estas tres preguntas guiaron el diseño: se entra con tu cuenta, el acceso se puede retirar cuando quieras y puedes consultar el saldo antes de gastar nada.

Los tres errores más comunes

  1. Prohibir la IA. No funciona. El equipo la seguirá usando, pero desde el móvil y con su cuenta personal, que es justo el peor escenario: sin control y con tus datos fuera.
  2. Copiar la política de una multinacional. Cuarenta páginas pensadas para un banco no sirven para una empresa de veinte personas. Nadie las leerá y nadie las cumplirá.
  3. Escribirla y olvidarla. Las herramientas cambian cada pocos meses. Una política que no se revisa se queda obsoleta antes de que acabe el año.

Tu plan para los próximos 30 días

  1. Semana 1. Pregunta. Haz una encuesta anónima de tres preguntas: qué herramientas de IA usa cada uno, para qué y con qué cuenta. Te sorprenderá. (La encuesta está en la plantilla.)
  2. Semana 2. Decide. Con esa información, rellena la política de una página: herramientas, semáforo de datos, revisión, transparencia y responsable.
  3. Semana 3. Contrata. Da de alta las cuentas de empresa de las herramientas aprobadas. Es la forma más barata de sacar los datos de las cuentas personales.
  4. Semana 4. Explica. Una hora con todo el equipo. Presenta la política, resuelve dudas y guarda la lista de asistentes.

Y pon en el calendario una revisión cada tres meses.

Preguntas frecuentes

¿Esto me afecta si soy una pyme o autónomo? Sí. El reglamento se aplica por usar IA, no por el tamaño de la empresa. La buena noticia es que, para una pyme, cumplir lo básico cabe en una página y una hora de formación.

¿Tengo que avisar cada vez que uso IA? No. Usarla para preparar un borrador, resumir una reunión o revisar un texto no obliga a nada. La obligación aparece en los casos concretos del punto 4: chatbots, contenido realista que puede pasar por real y textos de interés público que nadie revisa.

¿Hay multas? El reglamento prevé multas importantes, y para las pymes se aplica la cantidad más baja de las posibles. En España, el régimen de sanciones se está tramitando en el Congreso. Pero el riesgo real hoy no es la multa: es una fuga de datos de un cliente o una respuesta equivocada que nadie revisó.

¿Y si uso IA para seleccionar personal? Ten especial cuidado. Es uno de los usos de alto riesgo, con obligaciones mucho más estrictas desde diciembre de 2027. Si es tu caso, consúltalo ya con un especialista.

En resumen

La IA ya está dentro de tu empresa. La única pregunta es si entra con normas o sin ellas.

Gobernarla no es frenarla: es lo que permite usarla más y con más tranquilidad. Un equipo que sabe qué puede hacer se atreve a hacer más. Un equipo que no lo sabe, o se paraliza o se arriesga a ciegas.

Una página, cinco decisiones y una persona responsable. Con la plantilla, puedes tenerlo listo antes de fin de mes.

¿Y en tu empresa? ¿Sabes qué herramientas de IA está usando tu equipo ahora mismo?

Fuentes