La gobernanza de la Inteligencia Artificial se ha convertido en una responsabilidad del consejo de administración. No del departamento técnico, no de un proveedor, no de un comité creado para firmar documentos. La tesis de este artículo es sencilla: un consejo puede delegar la ejecución, pero no puede delegar la comprensión. Y hoy la distancia entre lo que los consejos firman y lo que los consejos comprenden es el primer riesgo sin gestionar de las organizaciones europeas.
La responsabilidad ya está en vigor
El Reglamento europeo de Inteligencia Artificial no es un horizonte futuro: es un texto en aplicación progresiva. Las prohibiciones sobre las prácticas inaceptables y la obligación de alfabetización rigen desde 2025. Las obligaciones de transparencia del artículo 50 — declarar cuándo un contenido es sintético, cuándo se interactúa con un sistema de IA — se aplican desde agosto de 2026. El paquete de simplificación aprobado por el Consejo de la Unión Europea en junio de 2026 aplazó a diciembre de 2027 las obligaciones sobre los sistemas de alto riesgo del anexo III, sin tocar el resto del edificio (Consejo de la UE, 2026).
En España, además, el marco tiene nombre propio: la AESIA, con sede en A Coruña, actúa como autoridad de vigilancia del mercado para la mayor parte del Reglamento, y el proyecto de ley orgánica para el buen uso y la gobernanza de la IA — en tramitación parlamentaria desde mayo de 2026 — sitúa la supervisión humana en el centro del régimen sancionador previsto (La Moncloa, 2026).
Para el consejo, la cuestión no es memorizar fechas. Es entender que el Reglamento asigna responsabilidades por rol: el proveedor y el responsable del despliegue — quien desarrolla y quien utiliza — tienen obligaciones distintas, y la mayoría de las empresas europeas es responsable del despliegue sin saberlo. Cada sistema adoptado en la empresa, incluso bajo licencia de uso, activa deberes de supervisión que recaen sobre la organización. Y la responsabilidad de la organización, en el gobierno corporativo, sube hasta el vértice.
La brecha entre uso y gobierno
Los datos dibujan una brecha que debería inquietar a cualquier presidente. Según el informe “Tecnología y Gobierno Corporativo en España 2026”, presentado en Esade, el 78% de los consejeros señala la IA como la tecnología de mayor impacto en la estrategia; las comisiones de tecnología han pasado del 4% al 19% de los consejos, pero el 56% carece todavía de un perfil experto en tecnología (El Economista, 2026). El impacto se reconoce; la capacidad de supervisarlo llega tarde.
La misma fotografía, a escala global, aparece en la encuesta State of AI de McKinsey (2025): solo el 28% de las organizaciones que usan IA encomienda al CEO la supervisión de la gobernanza, y precisamente esa decisión figura entre los factores más correlacionados con el impacto económico positivo (McKinsey, 2025). Traducido: donde el vértice supervisa, la IA produce valor; donde el vértice firma en blanco, produce experimentos.
La pregunta correcta en el consejo no es «¿estamos usando la IA?». Es «¿quién responde de las decisiones en las que la IA ya está influyendo?».
Tres preguntas que un consejo debe saber plantear
¿Dónde entra la IA en nuestras decisiones? No en el inventario de sistemas: en el mapa de las decisiones. Precios, crédito, contratación, evaluaciones, prioridades de inversión. Si un modelo contribuye a una decisión, esa decisión tiene un eslabón nuevo en la cadena de responsabilidad. Ese límite es el tema de nuestro análisis sobre la delegación algorítmica.
¿Quién responde, con nombre y apellidos? La gobernanza de la IA fracasa cuando es de todos, es decir, de nadie. Hace falta una función con mandato explícito: roles, umbrales de escalado, criterios de revisión. Los marcos genéricos descargados de internet no superan la primera verificación seria — ni de una autoridad, ni de un cliente corporativo, ni de un juez.
¿Qué sabemos de verdad, como consejo? La obligación de alfabetización del artículo 4 del Reglamento alcanza también a quien gobierna, no solo a quien opera. Un consejo que aprueba una estrategia de IA sin saber interrogarla está firmando un cheque en blanco. El tema merece un tratamiento aparte, que dedicamos a la alfabetización como obligación de la dirección.
El contexto encarece el retraso
Hay quien objeta que el asunto es prematuro, al menos en Europa. Los datos dicen lo contrario. Según Eurostat, en 2025 aproximadamente una de cada cinco empresas europeas utiliza al menos una tecnología de IA, con un salto de seis puntos y medio en un solo año (Eurostat, 2025). En España, la encuesta del INE sobre el uso de TIC en las empresas registra un salto del 11,4% en 2024 al 21,1% en el primer trimestre de 2025 (INE, 2025).
Casi duplicar la adopción en un año significa que el perímetro por gobernar crece más deprisa que cualquier ciclo de planificación. El consejo que aplaza la cuestión hasta la próxima revisión estratégica está aceptando, de hecho, que durante un año entero la organización adopte sistemas sin supervisión. En las grandes empresas la adopción supera la mitad de la muestra europea: para quien se sienta en esos consejos, el tema no es prospectivo en ningún sentido de la palabra.
Y el retraso tampoco es neutro en el plano competitivo. Las organizaciones que construyen la gobernanza después de la adopción pagan dos veces: la primera para corregir lo decidido sin criterio, la segunda por el tiempo perdido frente a quien pudo escalar rápido precisamente porque tenía reglas claras. La gobernanza bien hecha no frena la adopción: la hace defendible y, por tanto, acelerable.
Los instrumentos de la supervisión
¿Cómo se organiza, en la práctica? Las estructuras varían con la dimensión, pero tres elementos se repiten en las organizaciones que funcionan.
Una sede. La cuestión IA necesita un lugar en el calendario del consejo: dentro de la comisión de riesgos, dentro de la de auditoría o — en las realidades más expuestas — en una comisión de tecnología con al menos un miembro competente. Lo que no tiene sede no tiene cadencia; lo que no tiene cadencia vive de urgencias.
Un flujo de información diseñado. El consejo no puede supervisar lo que le llega filtrado por el entusiasmo de los proyectos. Hacen falta informes periódicos con una estructura decidida por el consejo, no por la dirección ejecutiva: sistemas en uso y decisiones que tocan, incidentes y cuasi incidentes, desviaciones de las políticas, evaluación de proveedores. Pocos indicadores, pero elegidos por quien supervisa.
Un diálogo con quien sabe. La competencia interna debe integrarse, no sustituirse, con voces externas cualificadas — con una advertencia que lleva al punto siguiente: la procedencia de esas voces determina la calidad de la supervisión.
Un rastro escrito. Las deliberaciones sobre la IA deben documentarse con el mismo cuidado que las financieras: qué información recibió el consejo, qué preguntas planteó, sobre qué bases decidió. No es formalismo — es la diferencia, el día en que algo falle, entre un consejo que ejerció la supervisión y un consejo que solo la puso en el orden del día. Documentar la diligencia es, en sí mismo, diligencia.
La independencia como requisito estructural
Hay un obstáculo que los consejos subestiman: casi todo su conocimiento sobre la IA les llega de quien vende IA. Proveedores tecnológicos, integradores, consultoras con alianzas comerciales que defender. No es mala fe: es un conflicto de intereses estructural. Quien gana con la adopción tiende a recomendar la adopción.
Por eso la función de supervisión necesita al menos una voz sin nada que vender. El papel de un asesor independiente no es frenar la adopción: es garantizar que cada «sí» y cada «no» del consejo se apoye en un análisis que ningún incentivo comercial ha torcido. Es el principio sobre el que está construido el método de nuestro instituto y el perímetro del trabajo de AI Governance con los consejos de administración.
Qué significa para el consejo
La responsabilidad sobre la IA no va a llegar: ha llegado. Quien se sienta en un consejo debería salir de la próxima reunión con tres compromisos.
Primero: un mapa de las decisiones de la empresa en las que la IA ya entra, con un responsable designado para cada una. Segundo: un plan de alfabetización del propio consejo, con verificación, no con certificado de asistencia. Tercero: una fuente de análisis independiente de los proveedores, que responda ante el consejo y no ante la función de compras.
El marco europeo ha hecho explícito lo que el buen gobierno corporativo ya implicaba: la dirección no se automatiza. Se ejerce — con más instrumentos, más datos y más responsabilidad que antes.