Gobernanza de IA 2026: Nivel Sistémico en lugar de Cumplimiento en Excel

La conformidad manual con la IA funciona para un piloto, quizás para dos, pero con tres casos de uso productivos se viene abajo. Los directivos que en 2026 sean responsables de una docena de aplicaciones de IA necesitan una gobernanza a nivel de sistema: supervisión continua basada en plataformas con líneas claras de propiedad entre TI y negocio. Quien siga utilizando hojas de cálculo de conformidad durante el trimestre, perderá el control mucho antes de que llegue la primera auditoría.

¿Qué es la gobernanza a nivel de sistema?

¿Qué es la gobernanza a nivel de sistema? La gobernanza a nivel de sistema se refiere a una supervisión basada en plataformas de todos los sistemas de IA de una organización, en la que los controles, registros y reportes se capturan automáticamente durante toda la vida útil del modelo. A diferencia de la observación manual de la conformidad relacionada con el caso de uso, que a menudo se lleva a cabo mediante una lista de Excel con revisiones semestrales, la gobernanza a nivel de sistema se integra en las herramientas de IA mismas y proporciona a la junta directiva y al consejo de supervisión una visión general continua del riesgo.

En la práctica, esto significa: un inventario centralizado de todas las aplicaciones de IA productivas, registro automático de flujos de datos de solicitud, salida y entrenamiento, clasificación clara de riesgo por sistema (similar a la lógica de la Ley de IA de la UE) y una capa de panel que informa de infracciones de conformidad en un plazo de 24 horas, no en el próximo informe trimestral.

Por qué la conformidad con Excel perderá el ritmo en 2026

La práctica en muchas juntas directivas de DACH en 2026 será la siguiente: se aprueba un caso de uso de IA, se coloca una evaluación de riesgo en PDF en la sala de datos, se convoca una revisión trimestral. Con tres o cuatro aplicaciones, funciona. Con doce sistemas de IA productivos en reclutamiento, ventas, operaciones de servicio e ingeniería, el modelo se viene abajo porque el tiempo de vida media de la evaluación es más corto que el ritmo de revisión. Un modelo que en enero fue clasificado como nivel de riesgo 2 puede, tras una actualización en marzo, pasar en la práctica al nivel 3 sin que nadie se dé cuenta hasta la revisión semestral.

Este no es un problema teórico. El análisis de Deloitte State of AI 2026 muestra que el 47 por ciento de las juntas directivas de los grandes grupos empresariales de DACH no tienen una visión general completa de los sistemas de IA productivos dentro de su propia empresa. Esto no es una cuestión de tamaño, sino de lógica de supervisión. Quien utiliza la conformidad manual solo ve los sistemas que se le notifican conscientemente, no la IA en la sombra en los departamentos especializados.

Fuente: Deloitte State of AI 2026, análisis DACH

Las cuatro etapas de madurez de la gobernanza de la IA

La gobernanza a nivel de sistema no se construye en un trimestre. Quien pasa de la lista de Excel a una plataforma, atraviesa cuatro etapas de madurez que se basan unas en otras. Cada etapa se puede saltar, pero solo a costa de carecer de base de datos para la siguiente. En la práctica, cuesta menos tiempo seguir un orden secuencial.

La mayoría de los grandes grupos empresariales de la región DACH se encuentran a mediados de 2026 entre la etapa 1 y 2. Quien establece correctamente el inventario una vez, gana semanas porque la clasificación de riesgos se puede derivar mecánicamente de él. Sin inventario, la clasificación de riesgos es estocástica. Quien ya tiene una clasificación de riesgos robusta, llega en dos meses a la capa de monitorización porque los puntos finales de medición se derivan de la definición de nivel.

Un ejemplo práctico de una aseguradora alemana ilustra la diferencia. El equipo de cumplimiento tenía en 2025 siete casos de uso de IA en una lista de Excel, y la junta directiva recibía actualizaciones semestrales. Una auditoría interna a principios de 2026 encontró doce funciones de IA productivas adicionales en herramientas SaaS estándar, desde la integración de Microsoft Copilot hasta la puntuación de leads de Salesforce. La lista era casi el doble de larga de lo que se pensaba. Solo la inventariación basada en plataforma a través del módulo OneTrust existente hizo visible la brecha. Tres de los doce sistemas ocultos pasaron a la clasificación de alto riesgo, algo que las revisiones trimestrales no habían detectado.

Quien se encuentra en la etapa 2 no debe posponer el paso a la etapa 3. El error más común es tener una tabla de clasificación de riesgos madura sin captura automática de las salidas del modelo. Un sistema de nivel 2 puede pasar a nivel 3 debido a una deriva en los prompts o a un nuevo modelo de base en el backend sin que nadie se dé cuenta. La capa de monitorización no es opcional, es la única capa que detecta cambios de nivel en tiempo real. Quien opera en la etapa 3 sin la etapa 4 tiene los datos, pero no tiene lógica de escalada en la junta directiva. Este orden es un camino obligatorio en la arquitectura.

En sectores regulados como la banca, los seguros y la farmacéutica, el nivel de madurez 3 no es suficiente porque las autoridades de supervisión ya esperan en 2026 una documentación detallada para la junta directiva. Las consultas de BaFin del primer trimestre de 2026 indican que no solo se esperan registros de modelos, sino también decisiones explícitas de la junta directiva sobre cambios de nivel en los archivos de supervisión. Quien en el tercer trimestre todavía trabaja sin informes de la etapa 4, documenta la falta de supervisión.

Qué herramientas ayudan, qué herramientas frenan

En el mercado hay tres categorías de herramientas en 2026: plataformas de confianza en IA (Credo AI, Holistic AI, IBM watsonx.governance), herramientas de riesgo de modelo (Robust Intelligence, Arthur AI) y suites GRC con módulo de IA (ServiceNow, OneTrust, Drata). La categoría adecuada no depende del alcance funcional, sino del panorama de herramientas existente. Quien tenga una implementación de ServiceNow en casa debería comprobar el módulo de IA allí antes de comprar una plataforma de confianza independiente.

La decisión de selección en 2026 es menos una cuestión de proveedor que de arquitectura. Los directivos que lideran la discusión sobre CAIO a menudo ya tienen varias soluciones puntuales de departamentos individuales en casa que no se comunican entre sí. Una consolidación en una plataforma de confianza integrada en la capa GRC supera cualquier solución independiente a lo largo de su vida útil.

Redefinir las líneas de propiedad

El segundo factor clave además de las herramientas es la estructura de propiedad. En las salas de juntas de 2026, se encuentra una y otra vez la misma brecha: hay un responsable de TI para la plataforma, a menudo también un responsable de protección de datos, pero no un propietario de riesgo claro por caso de uso. Si un sistema de IA de reclutamiento toma decisiones sesgadas, la responsabilidad se difumina entre RRHH, TI y cumplimiento. En la auditoría, esta difusividad no se resuelve.

La variante limpia consiste en dos roles claramente asignados: un propietario del negocio del departamento correspondiente que responde por el resultado empresarial. Junto a él, un propietario del riesgo del departamento de gestión de riesgos que se encarga de la evaluación, el seguimiento y la escalada. La TI sigue siendo proveedora de la plataforma, no responsable del caso de uso. Esta división no se puede introducir en un taller; requiere una decisión del consejo de administración con su inclusión en los estatutos de cumplimiento.

La gobernanza de la IA rara vez falla debido a la herramienta y casi siempre debido a la falta de claridad en la división de propiedad entre el departamento, la TI y el riesgo. Quien no separa los tres, acaba teniendo la responsabilidad de tres vías que nadie asume.

Lo que los consejos de administración deben decidir hasta el tercer trimestre de 2026

El plazo principal de la Ley de IA de la UE el 2 de agosto de 2026 obliga a los consejos de administración a establecer una estructura de gobernanza documentada. Quien en la segunda mitad de 2026 todavía trabaje sin una capa de nivel de sistema, documenta una ficción de cumplimiento. Tres decisiones deberían incluirse en cada reunión del consejo de administración del segundo o tercer trimestre: categoría de herramienta (plataforma de confianza, suite GRC, ambas), modelo de propiedad (división de riesgos empresariales) y cadencia de informes (al menos mensual, idealmente semanal para sistemas de nivel 3).

El debate sobre IA soberana después de la Feria de Hannover ya ha consolidado la parte de la arquitectura en los niveles del consejo de administración. La parte de gobernanza se queda atrás, aunque se evalúa primero en las auditorías. Quien conduce la soberanía de la arquitectura sin una estructura de gobernanza, tiene una pila soberana con lagunas de cumplimiento no soberanas, lo que en la fecha de cierre del balance parece peor que el caso contrario.

En los próximos doce meses, también cambiará la expectativa de la auditoría. Los auditores que en 2025 todavía aceptaron una lista de inventario en Excel, en 2026 preguntarán por registros automatizados. Las primeras indicaciones del IDW de la primavera de 2026 apuntan a una obligación de examen ampliada para los casos de uso de IA, que entrará en vigor en el cierre del ejercicio 2026. Quien no pueda proporcionar pistas de auditoría legibles por máquina, arriesga notas de examen que se incluirán en el informe de gestión.

Una última recomendación para los consejos de administración que ahora comienzan con la hoja de ruta: anclen la presentación de informes trimestrales como un punto fijo del orden del día en el comité de riesgos, no en el comité de TI. Los riesgos de IA ya no son una disciplina técnica, son un riesgo empresarial global y pertenecen al comité que también se responsabiliza de los riesgos operativos o las cuestiones de reputación. Este anclaje organizativo es el paso que la mayoría de los grupos subestiman en 2026, aunque es posible sin esfuerzo de herramientas y tiene un efecto inmediato en la cadena de supervisión.

Igualmente efectivo es un segundo cambio estructural pequeño: cada nueva decisión del consejo de administración sobre un caso de uso de IA recibe un punto fijo del orden del día para la reevaluación del nivel después de seis meses. De esta manera, una aprobación única se convierte en un contacto visual recurrente que utiliza directamente la calidad de la plataforma de gobernanza y al mismo tiempo documenta al consejo de administración como instancia de supervisión activa. Esta pequeña regla de cadencia es implementable en el contexto del grupo sin nuevos puestos y reduce la brecha de auditoría de manera notable. Varios aseguradores de DACH ya han anclado el formato en su comité de riesgos y lo utilizan como palanca para examinar operativamente la definición de nivel cada medio año, en lugar de dejar que se quede en un documento de cumplimiento. En la práctica, basta con una plantilla sencilla de dos páginas por caso de uso, el consejo de supervisión la lee, el consejo de administración la aprueba, el propietario del riesgo la comenta.

Conclusión

La gobernanza a nivel de sistema no es una opción en 2026, sino el estándar para cualquier consejo de administración con más de tres sistemas de IA productivos. La lista de Excel ha tenido su momento, la capa de plataforma de confianza es la siguiente lógica de supervisión. Más importante que la elección de la herramienta es la separación de la propiedad: propietario empresarial para el resultado, propietario de riesgo para la supervisión, TI como plataforma. Quien separa claramente estos tres roles y los combina en un panel, no tendrá problemas de auditoría en 2027. Quien espera hasta que el primer cambio de nivel en el sistema operativo pase desapercibido, aprenderá la gobernanza a nivel de sistema de la manera difícil.

Preguntas frecuentes

Más del MBF Media Netzwerk

Fuente imagen de título: Pexels / Mikhail Nilov (px:8847198)

Más información

• El piloto de IA está en marcha, pero no el servicio regular
• Deuda técnica: Por qué la dirección debe actuar ahora
• Transformación digital sin explosión repentina: una evolución por etapas

Fuente de la imagen: generada por IA (Juni 2026), certificado C2PA incrustado