La gobernanza de IA como marco para una innovación ética y transparente

Madrid, 16 de octubre de 2025

En el marco de su compromiso con la formación y la actualización constante, la Asociación Profesional Española de Privacidad  e Inteligencia Artificial (APEP·IA), celebró una nueva sesión organizada por el grupo de trabajo de IA, en colaboración con Bird & Bird y FYR Legal, bajo el título “La gobernanza como pilar fundamental de la IA”. La jornada, de forma híbrida, reunió a diversos profesionales para analizar los retos que plantea la aplicación del próximo Reglamento Europeo de Inteligencia Artificial y su interacción con el resto del marco regulatorio europeo.

Durante la sesión, tuvieron ocasión de intervenir expertos en IA y protección de datos como Joaquín Muñoz, socio de privacidad y protección de datos en Bird & Bird; Lucía Filgueira Piñeiro, DPD y Manager de privacidad y protección de datos de Vodafone; Carlos Fernández Hernández, co-responsable del grupo de trabajo de IA de APEP·IA; y Mariana Sucre, responsable de Compliance y Privacidad en FYR Legal

Primeros pasos para la gobernanza

En el desarrollo de la sesión, los ponentes coincidieron en que la gobernanza constituye el punto de partida para un uso responsable y sostenible de la inteligencia artificial. Como señaló Joaquín Muñoz: “Es necesario que las empresas mapeen los usos de IA existentes evalúen los riesgos asociados y establezcan estructuras de control internas”, pero las empresas no pueden limitarse solo al cumplimiento del Reglamento de IA, sino que deben mirar también a otras normativas que interactúan directamente con el uso de la IA, como normativas de propiedad intelectual, derechos de autor, datos o competencia, principalmente.

De esta manera, el experto señala que el primer paso en un proceso de gobernanza inicia por conocerse a sí mismo, “identifica y define qué riesgos son importantes, relevantes y críticos para tu negocio y el negocio de tus clientes” y, a partir de ahí, se puede empezar a tomar medidas.

Enfoque normativo y organizacional

Por su parte, Lucía Filgueira, señaló que la principal diferencia entre la RIA y el RGPD es su enfoque basado en riesgos. “En el caso del RIA, digamos, se enfoca más en el uso de la tecnología, mientras el RGPD aplica a proteger más los intereses fundamentales de la privacidad y la protección de datos personales”.

Subrayó, además, que la gobernanza no puede reducirse a un cumplimiento formal, sino que requiere de una cultura organizativa sólida y equipos interdisciplinares que integren perfiles técnicos, jurídicos y de seguridad. En este sentido, Filgueira destaca la importancia de definir roles internos claros dentro de los casos de uso de IA, así como de establecer “comités de supervisión y auditoría que garanticen la trazabilidad y actualización continua de los modelos”.

Certificación y marcos de referencia

Los ponentes analizaron los estándares y marcos que pueden servir de referencia para la implementación de sistemas de gobernanza, como la ISO/IEC 42001, el NIST AI Framework o los propios requisitos del Reglamento Europeo de IA, que establecen las bases para un sistemas de gestión de riesgos y control humano.

Según Carlos Fernández: “Estos marcos aportan coherencia y homogeneidad, pero el verdadero desafío es su aplicación práctica”.

Cumplimiento integral

Durante la sesión, también se abordó la gestión de la cadena de suministro y de los proveedores tecnológicos. Filgueira explicó que la madurez de los proveedores es desigual y, en este sentido, las organizaciones deben exigir evidencias de cumplimiento y evaluaciones de conformidad antes de integrar soluciones de IA. También advirtió sobre el riesgo de realizar pruebas piloto en entornos de producción, es una “práctica que puede comprometer la seguridad y la reputación de las empresas.

Los ponentes coincidieron en la necesidad de incorporar cláusulas contractuales específicas que delimiten las responsabiidades, regulen el acceso y uso de los datos, y aseguren la trazabilidad de los sistemas, así como en la conveniencia de contar con asesoramiento técnico y jurídico conjunto para comprender los riesgos reales de cada tecnología.

El uso no autorizado de IA en las organizaciones

La jornada exploró también el fenómeno del Shadow AI, es decir, el uso no autorizado de herramientas de inteligencia artificial dentro de las organizaciones. Los expertos destacaron la importancia de combinar controles técnicos con formación y sensibilización del personal, de modo que las empresas puedan demostrar la existencia de medidas razonables y evidencias de cumplimiento.

Un compromiso con la ética y la responsabilidad

La sesión concluyó destacando que la gobernanza no debe concebirse únicamente como una obligación legal, sino como una palanca para reforzar la confianza, la ética y la competitividad en el uso de la inteligencia artificial.

Pese a la complejidad del marco, todas las normativas comparten principios comunes de proporcionalidad, gestión del riesgo y protección de derechos, lo que permitirá avanzar hacia una gobernanza más coherente y predecible.

Para APEP·IA, la gobernanza constituye uno de los pilares de la innovación responsable. En el entorno de la privacidad y la protección de datos, este es el punto de encuentro entre la tecnología, la ética y el cumplimiento; el marco que permitirá a las organizaciones innovar con responsabilidad y transparencia.