ISO 42001, NIST y gobernanza de la IA: guía para pequeñas empresas

La gobernanza de la IA empieza con 5 controles: un inventario de usos, reglas sobre los datos, revisión humana, evaluación de proveedores y un procedimiento de respuesta a incidentes. Para una empresa sin equipo de cumplimiento, el mínimo útil es que cada control tenga un responsable y pruebas de que funciona. Así se puede responder al cuestionario de un cliente sin prometer controles que no se pueden demostrar. A partir de esa base, esta guía explica dónde encajan NIST, ISO 42001 y el Reglamento de IA de la Unión Europea.

Utiliza el marco de gestión de riesgos de IA del National Institute of Standards and Technology, conocido como NIST AI RMF, para organizar el trabajo. Considera ISO/IEC 42001, la norma internacional de sistemas de gestión de IA, cuando una certificación externa tenga sentido para el negocio. Revisa por separado el Reglamento de IA de la Unión Europea para identificar las obligaciones legales que corresponden a tu función y a tu caso de uso. Cada uno responde a una necesidad distinta.

Las descripciones de los marcos y las fechas de la UE que aparecen a continuación se verificaron en las páginas oficiales de NIST, ISO y la Comisión Europea el 20 de octubre de 2026. Esta es una guía operativa, no asesoramiento jurídico; consulta con un profesional cualificado las obligaciones legales de tu caso.

¿Qué es la gobernanza de la IA?

La gobernanza de la IA determina quién puede utilizarla, para qué tareas, con qué datos y quién responde cuando el sistema genera una respuesta o ejecuta una acción. Las políticas fijan las reglas; las aprobaciones, las restricciones técnicas y los registros permiten aplicarlas.

Piensa en un jardín compartido. Una lista de plantas autorizadas no indica quién puede abrir la puerta, modificar el riego o hacerse cargo de un parterre dañado. Hacen falta límites, una persona responsable y una forma de detectar y solucionar problemas. Comprar mejores herramientas de jardinería no resuelve esas cuestiones.

En una empresa, la diferencia se hace evidente cuando un asistente de atención al cliente pasa de redactar respuestas a emitir reembolsos. Quizá el modelo sea el mismo, pero sus facultades han cambiado. La gobernanza debe detectar ese cambio antes de que el nuevo permiso afecte a los clientes.

La gobernanza de datos se ocupa de la información: acceso, calidad, usos permitidos y conservación. La gobernanza de la IA añade el comportamiento: qué puede inferir, recomendar o hacer el sistema, cómo se comprueba y quién se hace cargo de las consecuencias.

Un marco de gobernanza de la IA en una página

En una empresa de 20 a 500 personas, ajusta el proceso a las consecuencias de cada uso. Asigna a cada control un responsable, una regla y un registro. La siguiente es una plantilla operativa original para una empresa pequeña; no es una lista de requisitos de certificación ni sustituye la evaluación de cada sistema.

Alcance: Uso de IA por parte del personal y funciones de IA en ventas, atención al cliente e ingeniería, incluidas las integradas en el software que ya se utiliza.
Responsable ejecutivo: La dirección de operaciones —COO— o la persona fundadora. Cada responsable de área se hace cargo de sus procesos; quien dirige TI o seguridad se ocupa de los accesos y los controles técnicos.
Cuándo exigir aprobación: Un nuevo propósito, una fuente de datos sensibles, un público externo o un permiso para ejecutar acciones requieren una revisión antes de su uso.

Frecuencia de revisión: Revisar el registro cada trimestre y cuando cambien el propósito, los permisos, el comportamiento del proveedor o los datos. Es una frecuencia inicial sugerida; aumentarla cuando las consecuencias lo justifiquen.
Excepciones: Indicar quién las aprueba, el motivo, las restricciones y la fecha de vencimiento. Una excepción sin documentar es una exposición al riesgo que se desconoce.
Información al consejo de administración o al cliente: Mostrar qué entra en el alcance, qué está controlado, qué sigue pendiente y quién debe tomar la siguiente decisión.

Mantén esta página breve. El inventario y las pruebas deben servirle de respaldo, con acceso restringido cuando los registros contengan información de clientes o empleados. La página es el índice de un proceso en funcionamiento.

Buenas prácticas de gobernanza de la IA en ventas, atención al cliente y desarrollo

Empieza por el proceso con mayor capacidad de exponer datos o afectar a un cliente. Contar suscripciones no basta para detectar los permisos que importan.

Registra los usos, además de las herramientas

Crea una entrada independiente cuando un mismo producto se utilice con otro propósito o con permisos distintos. Un asistente que redacta textos comerciales y un proceso que enriquece fichas de clientes merecen entradas separadas, aunque utilicen el mismo proveedor.

En cada entrada, registra el objetivo de negocio; el responsable; el servicio y la cuenta; las categorías de datos; los sistemas conectados; los accesos de lectura y escritura; las personas afectadas; el método de revisión; el estado de aprobación; y la fecha de la última revisión. Si es un sistema desarrollado por la empresa, añade el modelo desplegado o la configuración del servicio y un enlace a su historial de cambios.

Pide a los responsables de área que incluyan extensiones del navegador, asistentes de reuniones, asistentes de programación, automatizaciones y funciones de IA activadas en el software existente. Contrasta sus respuestas con los registros de facturación y acceso disponibles. Describe la cobertura con precisión: una encuesta al personal y una revisión de cuentas son un método de detección, no una prueba de que se hayan descubierto todos los usos no autorizados.

En una empresa hipotética de 30 personas, quien la fundó puede mantener el registro mientras los responsables de ventas, atención al cliente e ingeniería confirman sus entradas. La ventaja es saber a quién acudir cuando surge un problema, sin crear un comité permanente.

Política de gobernanza de la IA: define los límites de los datos

Redacta la regla de forma que un empleado pueda seguirla: qué cuenta, qué datos y qué tarea. «Utiliza la IA de forma responsable» no le aclara a una persona de ventas si puede pegar el contrato de un cliente en un chat.

Adopta un criterio prudente por defecto: el material público puede introducirse en herramientas aprobadas; los registros de clientes, el código confidencial y la información comercial interna requieren un servicio y un caso de uso aprobados expresamente. No incluyas credenciales ni secretos en los prompts. Somete la información personal sensible a una evaluación explícita, en lugar de admitirla como una excepción informal.

Documenta de qué depende la aprobación: ajustes de conservación, permisos de acceso, uso contractual de los datos y la integración correspondiente. Lo que un proveedor afirme sobre el entrenamiento de modelos no aclara, por sí solo, dónde se almacenan los prompts ni quién puede acceder a ellos. Son comprobaciones distintas.

Utiliza la plantilla de política de uso aceptable de la IA publicada en el sitio para las reglas dirigidas al personal. Vincúlala a este proceso de gobernanza para que cada excepción tenga un responsable y una fecha de revisión.

Revisa antes de que la respuesta tenga consecuencias

Quien revisa necesita la información de origen, criterios claros, tiempo suficiente y autoridad para rechazar el resultado. Pulsar un botón de aprobación sin esas condiciones aporta poca protección.

En ventas, exige que una persona compruebe las promesas sobre precios, seguridad y condiciones contractuales antes de enviarlas a un posible cliente. En atención al cliente, permite que el asistente redacte a partir de material aprobado y encarga a una persona designada la revisión de reembolsos, cambios de cuenta y divulgaciones de información sensible. En ingeniería, somete los cambios generados a los mismos controles de revisión de código, pruebas y publicación que se exigen a cualquier otra contribución.

Para cada proceso, define por escrito qué fallos impiden que el resultado se utilice o se publique. Una respuesta de atención al cliente que revela datos de otro cliente no es aceptable, por muy bien redactada que esté. Un cambio de código que supera una prueba unitaria pero elude la autorización sigue siendo inaceptable.

Un agente de IA, es decir, un programa que puede utilizar herramientas para ejecutar acciones, necesita límites de permisos además de revisión de resultados. Restringe las cuentas, los registros y las acciones a los que puede acceder. Pon a prueba esos límites antes de conceder acceso de escritura y conserva la capacidad de revocarlo.

Evalúa al proveedor y la configuración concreta que utilizas

Evalúa el servicio que vas a contratar, incluidos el plan, el tipo de cuenta y la integración. Una página general sobre seguridad sirve de apoyo, pero no describe tu configuración.

Conserva un registro breve de estas comprobaciones:

• Tratamiento de datos: ¿Qué entradas, salidas y metadatos se conservan? ¿Se utilizan para entrenamiento? ¿Qué controles de eliminación existen?
• Contrato y tratamiento: ¿Qué permite el acuerdo, qué otros proveedores procesan los datos y qué compromisos se aplican en caso de incidente?
• Identidad y permisos: ¿Se puede controlar el acceso, dar de baja a un empleado que se marcha y restringir los sistemas conectados?
• Evidencia operativa: ¿Qué registros, avisos de cambios y canales de soporte se pueden obtener para este proceso?
• Salida y fallos: ¿Se puede desactivar la función, revocar las credenciales y continuar la tarea esencial sin ella?

Marca como pendiente cualquier pregunta sin respuesta. Si afecta a datos de clientes o a una acción irreversible, reduce el alcance o mantén ese uso suspendido hasta que alguien acepte un riesgo concreto y documentado.

Utiliza el procedimiento de incidentes que ya tienes

Ofrece al personal un canal claro para informar de una respuesta insegura, una exposición de datos, una acción no autorizada o una sospecha de uso indebido. Quien atienda el aviso debe saber quién puede desactivar la integración y quién decide si puede volver a funcionar.

Registra el proceso afectado, el momento, los datos implicados, el resultado o la acción relevante, los permisos y los registros disponibles. Restringe el acceso a esas pruebas. Contén el problema, determina quién se vio afectado y asigna un responsable para las obligaciones de notificación que correspondan según tus contratos y la normativa aplicable.

Después corrige el control que falló. Si un asistente de atención al cliente expuso un documento restringido, borrar la respuesta no corrige su acceso a los documentos. Comprueba el cambio de permisos, vuelve a probar el caso que provocó el fallo y registra la decisión de reanudar el servicio.

En una empresa hipotética de 150 personas, el responsable habitual de incidentes de seguridad puede coordinarse con el responsable de atención al cliente. Si no existe un puesto específico de seguridad, designa a la persona capaz de revocar accesos y al ejecutivo que pueda decidir cuándo elevar el incidente a otra instancia.

NIST, ISO 42001 y el Reglamento de IA: qué aporta cada uno

Utiliza NIST para estructurar las decisiones sobre riesgos, ISO para organizar un sistema de gestión y el Reglamento de IA de la UE para determinar las obligaciones legales aplicables. Tratarlos como si fueran intercambiables lleva a dar respuestas engañosas en los cuestionarios.

Aplica NIST a un proceso que puedas examinar

Las funciones de NIST forman un proceso continuo; no son cuatro casillas que se marcan una sola vez. El documento oficial AI RMF Core permite expresamente adaptar el marco y describe la gobernanza como una función que atraviesa las demás.

En un asistente de atención al cliente, la aplicación podría ser esta:

• Govern — gobernar: El responsable de atención al cliente se hace cargo del uso; el COO aprueba los límites del riesgo aceptado; TI controla los accesos.
• Map — contextualizar: Documentar qué información de clientes lee el asistente, quién recibe sus respuestas y qué daño podría causar una respuesta incorrecta.
• Measure — medir: Probar casos representativos y difíciles, incluidos intentos de recuperar información restringida. Registrar los resultados y las limitaciones pendientes.
• Manage — gestionar: Restringir accesos, exigir revisión donde haga falta, vigilar los fallos y desactivar el proceso si se rebasan sus límites.

Es un ejemplo de aplicación. Si eso es lo que has hecho, descríbelo como «utilizar NIST AI RMF para estructurar la gestión de riesgos». Conserva las pruebas que respaldan esa afirmación.

Certificación de gobernanza de la IA: decide para qué y con qué alcance

ISO/IEC 42001 se ocupa del sistema de gestión de IA de la organización. Su descripción pública sigue el ciclo Plan-Do-Check-Act: establecer el proceso, ponerlo en marcha, evaluarlo y mejorarlo. Una política de una página es solo una pequeña parte de ese trabajo. Descripción de la norma por ISO.

La certificación es una evaluación externa independiente. ISO desarrolla normas, pero no certifica organizaciones: ese trabajo lo realizan entidades de certificación externas. Orientación de ISO sobre certificación.

Considera la certificación cuando la exija un cliente, la valore el mercado al que vendes o tus operaciones con IA justifiquen un sistema de gestión formal. Confirma qué entidades, ubicaciones y actividades cubre el certificado. Que un empleado tenga un certificado de un curso no demuestra que los procesos de la empresa funcionen dentro de un sistema de gestión evaluado.

Fechas del Reglamento de IA: obligaciones vigentes y plazos posteriores

El calendario de alto riesgo ha cambiado, pero eso no aplaza todo el Reglamento. Según la Comisión, el AI Omnibus entró en vigor el 27 de julio de 2026, amplió las principales fechas de aplicación para sistemas de alto riesgo y simplificó el requisito anterior de alfabetización en IA para las empresas. Anuncio de la Comisión.

El calendario oficial de aplicación recoge estos hitos:

• 2 de febrero de 2025: Empezaron a aplicarse las prohibiciones y las disposiciones originales sobre alfabetización en IA.
• 2 de agosto de 2025: Empezaron a aplicarse las obligaciones de los modelos de IA de uso general y las disposiciones de gobernanza.
• 2 de agosto de 2026: Aplicación general, incluidas las reglas de transparencia del artículo 50.
• 2 de diciembre de 2026: Transición específica del artículo 50(2) para determinados proveedores de sistemas de contenido sintético ya presentes en el mercado antes del 2 de agosto de 2026; no es una prórroga general de las obligaciones de transparencia.
• 2 de diciembre de 2027: Sistemas de alto riesgo del anexo III.
• 2 de agosto de 2028: IA de alto riesgo integrada en productos regulados del anexo I.

Esta es una selección de hitos; el calendario de aplicación de la Comisión identifica las disposiciones y los períodos de transición correspondientes.

Para quien funda una empresa, lo primero es determinar su función y el uso previsto. La Comisión describe un ámbito que alcanza a actores públicos y privados de dentro y fuera de la UE cuando introducen IA en el mercado de la UE, la ponen en servicio o la utilizan en la UE. También señala determinados usos laborales y de evaluación de solvencia crediticia como ejemplos de alto riesgo. El número de empleados, por sí solo, no resuelve ninguna de las dos cuestiones. Preguntas frecuentes de la Comisión sobre ámbito y clasificación.

Si gestionas un chatbot de atención al cliente, revisa ya los requisitos de información al usuario que correspondan. Si desarrollas una automatización relacionada con la contratación de personal, evalúa su uso previsto antes de tratarla como un asistente de redacción corriente. Incluye en el inventario la fecha y la fuente de esa evaluación.

La guía de herramientas para el Reglamento de IA de la UE del sitio sirve de apoyo para las decisiones de compra relacionadas. Para las fechas y los requisitos resumidos aquí, utiliza las fuentes oficiales citadas arriba.

Qué adjuntar al cuestionario de seguridad de un cliente

Envía pruebas que respondan a la pregunta del cliente y al servicio que prestas. No existe un paquete mínimo universal que garantice la aprobación: quien evalúa la redacción interna tiene preocupaciones distintas de quien compra un sistema autónomo con acceso a datos de producción.

Para una primera revisión de usos habituales de IA en la empresa, reúne estos seis elementos de evidencia:

1. Política aprobada y responsable: Una política vigente, su fecha de aprobación, el alcance y el ejecutivo responsable.
2. Extracto pertinente del inventario: Los usos de IA que intervienen en el servicio al cliente, incluidos proveedores, categorías de datos, permisos y responsables.
3. Evidencia de proveedores: La evaluación y las condiciones o configuraciones que respaldan esos usos. Comparte lo que tus acuerdos te permitan compartir.
4. Muestra de revisión y pruebas: Un registro con los datos sensibles ocultos que demuestre que se comprobó un resultado o cambio real frente a criterios definidos, incluido lo que ocurrió cuando no los cumplió.
5. Registro de información al personal: Quién recibió las reglas aplicables y cómo se le explicó el procedimiento para informar de problemas y solicitar aprobaciones.
6. Respuesta a incidentes y ejercicio: Contactos, autoridad para detener el proceso y el registro de un incidente ya atendido o de un simulacro claramente identificado como tal.

No envíes prompts sensibles ni datos de clientes solo para que la documentación parezca más completa. Proporciona un resumen con un alcance definido y ofrece acceso restringido a los registros de respaldo adecuados.

Una respuesta útil a un cuestionario deja claros sus límites. Solo si estos controles están implantados, sería defendible una redacción como esta:

La redacción de respuestas de atención al cliente con ayuda de IA figura en nuestro registro de usos de IA. El responsable de atención al cliente se hace cargo del proceso. El personal autorizado revisa las respuestas antes de enviarlas, la integración no puede emitir reembolsos y los incidentes se gestionan mediante nuestro procedimiento habitual de seguridad. Podemos facilitar la política correspondiente, la evaluación del proveedor y un registro de revisión con los datos sensibles ocultos.

Si un control está previsto, indícalo como tal y señala el responsable y la fecha objetivo. Si solo has evaluado atención al cliente, no des a entender que la afirmación también cubre ventas e ingeniería. Sustituye declaraciones generales como «toda nuestra IA cumple la normativa» por el alcance concreto y las pruebas que puedas respaldar.

Al consejo de administración le interesan las decisiones más que el volumen de documentos: qué usos están aprobados, cuáles pueden actuar sobre sistemas externos, qué fallos importantes se produjeron, qué excepciones siguen abiertas y qué requiere aprobación ejecutiva. Utiliza cifras de tu propio registro; si el inventario está incompleto, indícalo.

¿Quién debe actuar ya y qué puede esperar?

Actúa ya allí donde la IA maneje información de clientes, asuma compromisos o pueda modificar un sistema en funcionamiento. Empieza por los permisos y los responsables antes de ampliar sus facultades.

Fundadores: Designa al ejecutivo responsable y deja de aprobar usos únicamente mediante conversaciones informales por chat. En una empresa pequeña, una persona puede desempeñar varias funciones, pero cada decisión sigue necesitando un registro.

Responsables de operaciones: Separa la redacción de las acciones con consecuencias en ventas y atención al cliente. Un responsable sénior de operaciones de una empresa hipotética de 400 personas debería poder identificar quién se hace cargo de cada proceso sin reconstruir una cadena de mensajes reenviados.

Desarrolladores: Vuelve a evaluar el proceso cuando conectes una herramienta, cambies el acceso a datos o despliegues una configuración sustancialmente distinta. Una aprobación para generar texto no autoriza a escribir en sistemas de producción.

Responsables de compras: Pide pruebas al proveedor antes de conceder acceso a información o sistemas sensibles. Considera un software de gobernanza cuando los registros y las aprobaciones manuales dejen de ser fiables para el conjunto real de usos. La comparativa de plataformas de gobernanza de agentes de IA aborda esa decisión de compra.

La certificación formal y una plataforma específica de gobernanza pueden esperar si ninguna es obligatoria y los controles actuales siguen siendo manejables. Un borrador interno inocuo no necesita el mismo procedimiento de aprobación que un agente capaz de modificar cuentas. Los controles existentes pueden mantenerse si no cambian el propósito, los datos, los permisos ni el riesgo, siempre sujetos a la revisión programada.

Formación en gobernanza de la IA adaptada a cada puesto

Forma a las personas para las decisiones que deben tomar. Una presentación genérica de sensibilización no enseña a un empleado de atención al cliente a detener una integración insegura.

Entrega al equipo de ventas un borrador con una promesa sobre el producto que no esté respaldada. Al equipo de atención al cliente, una respuesta que mezcle información de distintos clientes. A los desarrolladores, un cambio que parezca razonable pero debilite un control de acceso. Pídeles que detecten el problema, rechacen el resultado y utilicen el canal de aviso correcto.

Registra la sesión, la asistencia y el seguimiento. Repite la parte pertinente cuando cambie el proceso o un incidente revele una carencia. Es una recomendación operativa, no una afirmación de que todas las empresas deban comprar un curso concreto o completar un número fijo de horas de formación.

¿Qué se exagera sobre la gobernanza de la IA?

El error más caro es confundir un documento o recurso de gobernanza con un control que funciona.

Una política no puede restringir una credencial. Si el asistente tiene amplios permisos de escritura, una frase que diga «solicitar aprobación» no elimina ese acceso. Alinea la regla con el permiso técnico.

La revisión humana no garantiza nada por sí sola. Necesita criterios, material de origen, autoridad y una respuesta cuando el revisor detecta un problema. Registra los fallos que se pasan por alto y corrige el proceso.

Las garantías de un proveedor no describen tu proceso. Comprueba qué servicio y alcance cubren; después evalúa tus propios accesos a datos, integraciones y decisiones operativas.

Una certificación no hace que todos los resultados sean correctos. Utilízala como prueba sobre el sistema de gestión evaluado. Sigue comprobando los comportamientos que pueden afectar a tus clientes.

Un panel de control no toma decisiones. Alguien sigue teniendo que aceptar un riesgo, acotar el uso o detenerlo. Si no está claro quién es esa persona, comprar otra capa de informes no resolverá el problema.

Preguntas frecuentes

¿La IA sustituirá a la gobernanza de datos?

La IA puede ayudar en tareas de gobernanza, pero la calidad de los datos, el acceso, los usos permitidos y la conservación siguen necesitando un responsable. Mantén esos controles y añade reglas sobre cómo utiliza la IA los datos y cómo actúa a partir de sus resultados.

¿A qué se dedica GovAI?

GovAI es un centro de estudios que apoya a quienes toman decisiones en gobiernos y empresas mediante investigación sobre IA avanzada y programas de desarrollo de talento en gobernanza. Es una organización concreta, no el nombre de una norma de cumplimiento empresarial. Misión de GovAI.

¿Cuál es uno de los principales retos de la gobernanza de la IA?

Mantener alineados el uso aprobado y el uso real. Un sistema puede incorporar una nueva fuente de datos o un permiso para actuar mientras una evaluación antigua sigue describiéndolo como asistente de redacción. Exige una revisión cuando se produzcan esos cambios.

¿Qué es la gobernanza de la seguridad de la IA?

Consiste en asignar responsabilidades y supervisar las decisiones de seguridad de la IA: tratamiento de información, acceso, pruebas, despliegue y respuesta a incidentes. Vincúlala al proceso de seguridad que ya utilizas e identifica quién puede desactivar cada proceso con IA.

¿Cuál sería un ejemplo de gobernanza de la IA?

Un asistente de atención al cliente redacta respuestas a partir de documentos aprobados y un empleado designado las revisa antes de enviarlas. El asistente no puede emitir reembolsos. La empresa registra la evaluación del proveedor, comprueba que no haya accesos indebidos a datos y ofrece al personal un canal para informar de fallos.

¿Es una buena opción profesional trabajar en gobernanza de la IA?

Puede interesarte si te gusta conectar el comportamiento técnico con las políticas, las decisiones sobre riesgos y las pruebas que las sustentan. Evalúa cada puesto por sus responsabilidades y las competencias que exige; el título del cargo, por sí solo, dice poco sobre el trabajo.

¿Cuánto se gana en gobernanza de la IA?

No hay un salario único que resulte útil para esa etiqueta. Compara los rangos publicados actualmente para la misma ubicación, nivel de experiencia y alcance del puesto, distinguiendo entre riesgo operativo, verificación técnica e investigación sobre políticas. Una cifra que mezcle esos trabajos ocultaría sus diferencias.

¿Qué 5 empleos sobrevivirán a la IA?

No se puede garantizar que una lista fija de cinco empleos vaya a sobrevivir sin cambios. Para una carrera en gobernanza, céntrate en competencias útiles en distintos puestos: investigar fallos, comprobar pruebas, entender permisos y explicar decisiones a quienes responden por el resultado.

¿Cómo empezar a trabajar en gobernanza de la IA?

Empieza con un proceso acotado que tengas permiso para evaluar. Crea su entrada en el inventario, identifica posibles fallos, propón controles y genera pruebas a partir de una revisión o de un ejercicio claramente identificado como tal. Así muestras la conexión entre una política y su aplicación.

Por dónde empezar el lunes

Pide a ventas, atención al cliente e ingeniería que lleven sus usos activos de IA a una breve sesión de trabajo. Designa al ejecutivo responsable, completa el registro y elige el proceso con mayores consecuencias para los clientes o los datos.

Recorre ese proceso desde los datos aprobados hasta el resultado, la revisión y cualquier acción posterior. Confirma quién puede detenerlo. Simula un fallo, registra las carencias y asigna cada corrección a una persona. Utiliza los hallazgos en la siguiente respuesta a un cliente o actualización al consejo de administración.

Para recibir orientación práctica sobre cómo utilizar IA dentro de una empresa, suscríbete al boletín.