Una política global de IA debe ofrecer criterios comunes sin ignorar las diferencias de cada país, entidad y caso de uso. El reto es asignar decisiones, proveedores y evidencia de forma que el grupo pueda crecer sin perder control.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
Las empresas con operaciones en varios países necesitan conectar estrategia, tecnología y cumplimiento. El servicio de abogados de inteligencia artificial y AI Act para empresas permite revisar el alcance europeo, los contratos y el despliegue en España dentro de un programa corporativo más amplio.
¿Por qué falla una política global de IA?
El documento suele fracasar cuando se redacta de forma centralizada, pero no se integra en compras, desarrollo, seguridad, recursos humanos y operaciones. Las filiales siguen contratando herramientas; los equipos prueban modelos con datos reales; y las decisiones se dispersan entre negocio y tecnología.
También falla el extremo contrario: cada país crea un proceso completamente diferente. Esto impide comparar riesgos, reutilizar controles y saber qué sistemas operan dentro del grupo. El diseño útil combina un estándar global con anexos locales y responsables claramente identificados.
El inventario debe describir el caso de uso, no solo la herramienta
Una misma plataforma puede utilizarse para traducción, atención al cliente, selección, fraude o creación de contenidos. La clasificación jurídica depende de la finalidad, los datos, las personas afectadas, el nivel de autonomía y las consecuencias. Por eso el inventario debe registrar cada uso material.
Identidad
Entidad usuaria, país, proveedor, versión, propietario de negocio y responsable técnico.
Finalidad
Proceso apoyado, decisión o resultado, usuarios internos y personas afectadas.
Datos
Entradas, salidas, categorías personales, secretos, ubicación, retención y entrenamiento.
Control
Clasificación, validación humana, pruebas, restricciones, incidencias y próxima revisión.
Modelo central y responsabilidades locales
| Nivel | Decisiones principales | Evidencia |
|---|---|---|
| Grupo | Principios, taxonomía, umbrales de riesgo, proveedores estratégicos y reporting. | Política, metodología, catálogo y cuadro de mando. |
| Entidad o país | Requisitos locales, autoridades, relaciones laborales, idioma y adaptación contractual. | Anexo local, responsables y matriz normativa. |
| Producto o proceso | Finalidad, datos, controles, pruebas, supervisión e información a usuarios. | Ficha del caso de uso, evaluación y decisión de aprobación. |
| Proveedor | Seguridad, subcontratación, cambios, propiedad intelectual, auditoría y salida. | Contrato, anexos, evaluación y seguimiento. |
Cómo aplicar el AI Act en un grupo internacional
El Reglamento (UE) 2024/1689 tiene un alcance territorial que puede afectar a operadores establecidos fuera de la Unión cuando concurren los supuestos previstos en su artículo 2. La empresa debe identificar el rol de cada entidad: proveedor, responsable del despliegue, importador o distribuidor. Un grupo puede tener roles diferentes para sistemas distintos.
El calendario es progresivo y ha sufrido ajustes. La Comisión Europea mantiene el calendario oficial. La matriz interna debe recoger la disposición aplicable, fecha, entidad obligada y evidencia, evitando una sola fecha genérica para todos los sistemas.
Datos personales y transferencias internacionales
Cuando el sistema trata datos personales, la gobernanza de IA debe conectarse con el RGPD. No basta con clasificar el riesgo de IA: hay que determinar responsable y encargado, base jurídica, información, minimización, seguridad, conservación, derechos y, cuando proceda, evaluación de impacto.
Si los datos se transfieren fuera del Espacio Económico Europeo, debe identificarse el mecanismo aplicable y las garantías necesarias. La ubicación del proveedor no resuelve por sí sola el análisis: importan accesos remotos, subencargados, soporte y arquitectura del servicio.
Contratos y gestión de cambios
Los servicios de IA evolucionan con rapidez. El contrato debe regular notificación de cambios relevantes, subproveedores, usos de entradas y salidas, seguridad, propiedad intelectual, niveles de servicio, incidentes y terminación. La empresa debe definir qué cambios requieren una nueva evaluación antes de aceptar condiciones o activar funciones.
Conviene evitar que la aprobación sea indefinida. Un caso puede revisarse por fecha, cambio de modelo, nueva finalidad, incorporación de datos sensibles, expansión a otro país, aumento de autonomía o incidente significativo.
Qué debería recibir la dirección
- Número de casos inventariados, aprobados, condicionados y rechazados.
- Usos sin propietario o sin evaluación vigente.
- Sistemas de mayor riesgo y medidas pendientes.
- Proveedores críticos y cambios contractuales relevantes.
- Incidentes, reclamaciones y resultados de pruebas.
- Filiales con desviaciones respecto del estándar global.
- Definir patrocinador ejecutivo y comité de decisión.
- Aprobar una taxonomía común de casos de uso y riesgos.
- Nombrar coordinadores por país, entidad y producto.
- Integrar el alta de IA en compras y desarrollo.
- Conectar AI Act, RGPD, seguridad y propiedad intelectual.
- Crear anexos locales y un registro común de evidencias.
- Revisar el programa cuando cambien normas, proveedores o usos.
Preguntas frecuentes
¿Una política europea sirve para todas las filiales?
Puede fijar mínimos comunes, pero debe comprobarse la regulación y operativa local. Los anexos permiten adaptar sin fragmentar todo el programa.
¿Quién debe ser propietario del inventario de IA?
Debe existir un responsable claro del programa, con aportaciones de negocio, tecnología, seguridad, privacidad, compras y asesoría jurídica. El propietario del caso de uso conserva responsabilidad operativa.
¿Debe registrarse cualquier uso experimental?
El modelo puede aplicar umbrales proporcionales, pero las pruebas con datos reales, efectos sobre personas o acceso externo requieren control temprano y trazabilidad.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.