La IA ya está dentro de tu empresa: ahora toca gestionarla
La inteligencia artificial ha dejado de ser un proyecto piloto del departamento de innovación. Asistentes conversacionales, funciones de IA integradas en el ERP o el CRM, herramientas de análisis de datos, automatizaciones o aplicaciones generativas forman ya parte del trabajo diario de muchas organizaciones.
Eso tiene una consecuencia bastante concreta: cada vez es más difícil gestionar correctamente la IA si la empresa no sabe qué herramientas utiliza, para qué las utiliza, qué información manejan y quién responde de cada uso.
Además, el contexto regulatorio ha cambiado. El Reglamento Europeo de Inteligencia Artificial (AI Act) se está aplicando de forma progresiva desde 2025, pero no todas sus obligaciones tienen la misma fecha. Tras la modificación introducida por el Reglamento (UE) 2026/1744, las principales obligaciones para determinados sistemas de alto riesgo se han aplazado a diciembre de 2027 y al agosto de 2028, según su clasificación.
No todas las obligaciones afectan a todas las empresas ni a todos los sistemas por igual. Precisamente por eso, el primer paso es saber qué IA se está utilizando realmente dentro de la organización.
Cuando la IA llega antes que las normas de uso
En la práctica es fácil que la tecnología llegue antes que las reglas internas.
Un comercial puede utilizar una herramienta generativa para redactar una propuesta e introducir información de un cliente. Un departamento puede activar una función de IA incorporada a un programa que ya utilizaba. O varias áreas pueden trabajar con soluciones diferentes sin que exista un inventario común ni un criterio previo de aprobación.
El AI Act utiliza un enfoque basado en el riesgo y diferencia, de forma general, entre prácticas prohibidas, sistemas de alto riesgo, sistemas sujetos a obligaciones de transparencia y sistemas de riesgo mínimo o limitado. Las obligaciones dependen tanto del tipo de sistema como del uso concreto que se haga de él.
Cuatro riesgos que conviene vigilar
1. IA en la sombra. Cualquier empleado puede empezar a utilizar una herramienta de IA en pocos minutos sin que la organización tenga conocimiento de ello. Si no existe un inventario, resulta difícil saber qué información se está compartiendo, qué condiciones ha establecido el proveedor o si el uso encaja con las políticas internas.
Un inventario básico debería responder al menos a cinco preguntas: qué herramienta se utiliza, para qué, quién la utiliza, qué datos maneja y quién es responsable de ese uso.
2. La información que entra en la herramienta. Resumir un documento, revisar un contrato o preparar una oferta puede implicar introducir datos personales, información comercial, documentación de clientes, propiedad intelectual o información interna.
Ante esto es necesario definir criterios claros sobre qué información puede introducirse, en qué herramientas y bajo qué condiciones.
3. Responsabilidades difusas. Cuando estas responsabilidades no están definidas, la gestión acaba repartida entre IT, seguridad, calidad, legal y RR. HH. sin que nadie tenga una visión completa.
ISO/IEC 42001 aborda precisamente este punto al exigir que la organización establezca responsabilidades y autoridades relacionadas con su Sistema de Gestión de Inteligencia Artificial.
4. Seguridad y fraude. La capacidad de la IA para generar textos, voces e imágenes cada vez más realistas ha aumentado el riesgo de suplantación de identidad, fraude e ingeniería social. Una herramienta puede producir información incorrecta o generar resultados poco transparentes.
El control debe incluir criterios sobre cuándo debe intervenir una persona, cómo se comprueban los resultados y qué hacer cuando el funcionamiento falla.
La formación es parte del control, no un extra
El artículo 4 del AI Act, aplicable desde el 2 de febrero de 2025, establece que los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y de otras personas que utilicen estos sistemas en su nombre.
Tras la modificación introducida por el Reglamento (UE) 2026/1744, la obligación ya no consiste en garantizar un nivel concreto de alfabetización. La propia norma indica que deben tenerse en cuenta los conocimientos técnicos, la experiencia, la educación, la formación y el contexto previsto de uso de los sistemas.
Por tanto, no se exige que toda la plantilla realice el mismo curso ni que exista un número determinado de horas. La Comisión Europea señala que las medidas deben adaptarse a las personas y a las herramientas que realmente utiliza la organización.
En la práctica, tiene sentido diferenciar al menos tres niveles:
- Toda la plantilla: uso responsable, herramientas autorizadas, datos que pueden o no compartirse, principales riesgos y revisión de resultados.
- Responsables de aprobar o gestionar herramientas: evaluación de riesgos, proveedores, tratamiento de datos y supervisión.
- Dirección y cumplimiento: responsabilidades, requisitos regulatorios y funcionamiento del sistema de gestión.
De usar la IA a gobernarla
Aquí es donde conviene pasar de una política general a acciones muy concretas.
Un primer punto de partida puede ser:
1. Inventariar las herramientas de IA.
Identificar qué soluciones se utilizan, para qué procesos y por qué personas, incluyendo herramientas contratadas oficialmente y funciones de IA incorporadas a otras aplicaciones.
2. Definir qué información no puede introducirse.
Establecer criterios claros para datos personales, documentación de clientes, información comercial, información confidencial o propiedad intelectual.
3. Asignar responsables.
Determinar quién puede aprobar nuevas herramientas, quién evalúa sus riesgos y quién supervisa los usos más relevantes.
4. Revisar los proveedores.
Comprobar las condiciones de uso, el tratamiento de los datos y las garantías que ofrece cada solución antes de incorporarla.
5. Establecer controles de revisión.
Definir qué resultados generados por IA deben ser validados por una persona antes de utilizarse o producir efectos.
6. Formar a las personas que las utilizan.
Adaptar la formación al puesto, al tipo de herramienta y al riesgo asociado a cada uso.
Estos primeros pasos permiten pasar de usos dispersos de IA a una base sobre la que desarrollar políticas, controles, registros y mecanismos de seguimiento.
ISO/IEC 42001 e ISO/IEC 23894
ISO/IEC 42001:2023 es la primera norma internacional de sistemas de gestión específicamente dedicada a la inteligencia artificial. Establece requisitos para desarrollar, implantar, mantener y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial (SGIA).
Su estructura sigue el mismo esquema de alto nivel que otras normas de sistemas de gestión ya conocidas, como ISO 9001 (calidad), ISO 14001 (medio ambiente) o ISO/IEC 27001 (seguridad de la información), lo que facilita integrar la gestión de la IA dentro de un sistema de gestión ya existente en lugar de crear uno nuevo desde cero. La diferencia está en el objeto que regula cada una: mientras esas normas se centran en procesos de calidad, impacto ambiental o seguridad de la información, ISO/IEC 42001 aporta un marco propio para los riesgos específicos de la inteligencia artificial, como los sesgos, la falta de transparencia en los resultados, la calidad de los datos de entrenamiento o el impacto de las decisiones automatizadas en las personas.
No es una norma solo para empresas tecnológicas: aplica a cualquier organización, de cualquier tamaño y sector, que desarrolle, suministre o utilice productos y servicios basados en IA.
Para gestionar esos riesgos, ISO/IEC 42001 se apoya en otro estándar: ISO/IEC 23894:2023. Se trata de una guía técnica, no certificable, que adapta a la inteligencia artificial los principios generales de gestión de riesgos de la norma ISO 31000. Su función es ayudar a identificar, evaluar y tratar los riesgos propios de los sistemas de IA (desviaciones del modelo, sesgos, resultados poco explicables o vulnerabilidades ante entradas manipuladas) a lo largo de todo su ciclo de vida, desde el diseño hasta el despliegue y la monitorización continua.
La regulación es una parte, pero no todo
El AI Act establece un marco común para el uso de la IA en la Unión Europea, con obligaciones diferentes según el tipo de sistema y su nivel de riesgo.
Pero cumplir la regulación no resuelve por sí solo cómo gestionar la IA dentro de una organización. También hay que revisar qué herramientas se utilizan, qué datos manejan, qué proveedores intervienen, quién supervisa los resultados y cómo se actúa ante una incidencia.
En este punto, ISO/IEC 42001 aporta una estructura para organizar responsabilidades, riesgos, controles y mejora continua. No sustituye al cumplimiento del AI Act, pero ayuda a integrar la gobernanza de la IA dentro del sistema de gestión de la organización.
Cómo os acompañamos desde URS SPAIN
A medida que la IA gana peso en las organizaciones, también aumenta la necesidad de demostrar que su uso se gestiona de forma estructurada y verificable. Incorporar estas tecnologías no consiste únicamente en aprovechar sus posibilidades, sino también en definir responsabilidades, establecer criterios de uso y mantener controles que permitan gestionar los riesgos asociados.
La certificación según ISO/IEC 42001 permite evaluar de manera independiente el Sistema de Gestión de Inteligencia Artificial y comprobar su conformidad con los requisitos de la norma. Esta evaluación pone el foco en cómo la organización planifica, supervisa y mejora la gestión de la IA, más allá del funcionamiento de una herramienta o aplicación concreta.
En URS Spain estamos actualmente en proceso de acreditación para ISO/IEC 42001, con el objetivo de incorporar la certificación de sistemas de gestión de inteligencia artificial a nuestro alcance acreditado. Este paso responde a nuestro compromiso con el rigor, la independencia y la confianza en los procesos de certificación, así como a la creciente necesidad de las organizaciones de demostrar una gestión responsable y estructurada de la IA.
Con este proceso, buscamos ofrecer a nuestros clientes un respaldo adicional a la evaluación de su sistema de gestión. La acreditación implica que un organismo de acreditación evalúa nuestra competencia técnica e imparcialidad para realizar estas certificaciones. Esa evaluación se centra en nuestra capacidad como entidad certificadora para desarrollar esta actividad con los conocimientos, los procedimientos y las garantías de independencia necesarios.
Es decir, la certificación evalúa el sistema de gestión de vuestra organización, mientras que la acreditación evalúa nuestra competencia para certificarlo. Una vez obtenida, esta acreditación aportará a nuestros clientes la confianza adicional de que nuestra capacidad para realizar esa evaluación ha sido comprobada externamente para este ámbito específico. Ese es el reconocimiento que estamos trabajando para obtener en ISO/IEC 42001.
Desde URS Spain acompañamos a las organizaciones que están implantando un SGIA o valorando su certificación, proporcionando información sobre los requisitos, el alcance y las distintas fases del proceso. Asimismo, explicamos el estado de nuestra acreditación y sus implicaciones para la certificación, de modo que cada organización pueda planificar los siguientes pasos con claridad y conocer qué se evalúa y qué respaldo tendrá su certificado.
