Gobernanza de IA en empresas: Cómo cumplir el EU AI Act sin "cajas negras"

(Actualizado Octubre 2026) - Muchas empresas medianas ya usan IA en algún proceso: un chatbot de soporte, un clasificador de correos, un asistente que resume contratos. Lo que toca ahora es tenerlo bajo control, porque el EU AI Act ya tiene obligaciones en vigor y los clientes empiezan a pedir garantías. Buena parte de ese control depende de cómo se diseña el sistema, así que es un asunto tan técnico como legal.

A esto lo llamamos gobernanza de IA en empresas: saber qué hace cada sistema, con qué datos trabaja y quién responde por lo que produce.

Se suele hablar de la IA como de una caja negra. Entran datos, sale una respuesta y nadie sabe explicar qué ha pasado en medio. En una empresa, eso equivale a tener un riesgo sin documentar.

La gobernanza de IA es el conjunto de procesos, decisiones de arquitectura y controles que permiten entender y documentar cómo se comportan los sistemas automatizados. En la práctica, para cada sistema hay que poder contestar a estas preguntas:

• ¿Qué datos usa el modelo y a qué servicios se envían?
• ¿Por qué ha dado esta respuesta o ha tomado esta decisión?
• ¿Quién valida el resultado?

Si un agente atiende a clientes o procesa documentación interna, la empresa tiene que poder revisar lo que ha hecho y justificarlo cuando alguien lo pregunte.

El reglamento europeo de inteligencia artificial se aplica por fases desde 2024. En España, el organismo de referencia es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). El EU AI Act en España clasifica los sistemas según su nivel de riesgo:

• Riesgo inaceptable. Prácticas prohibidas desde febrero de 2025, como la puntuación social o la manipulación subliminal.
• Alto riesgo. Sistemas que afectan a derechos fundamentales o a infraestructuras críticas, por ejemplo la IA que filtra currículums o evalúa la solvencia de un cliente. Exigen documentación técnica, gestión de riesgos, registros y supervisión humana.
• Riesgo limitado. Chatbots y generación de contenido sintético. Aquí la obligación principal es la transparencia, es decir, que el usuario sepa que habla con una máquina y que el contenido generado vaya marcado.
• Riesgo mínimo. Filtros de spam o IA en videojuegos, sin obligaciones adicionales.

Las obligaciones de transparencia se aplican desde agosto de 2026. Para los sistemas de alto riesgo la fecha prevista también era agosto de 2026, pero el paquete Digital Omnibus, en vigor desde julio de 2026, la retrasó al 2 de diciembre de 2027 para los sistemas del anexo III (empleo, crédito, educación o acceso a servicios esenciales) y al 2 de agosto de 2028 para la IA integrada en productos regulados.

Ese margen conviene aprovecharlo, porque es probable que los clientes B2B pidan garantías sobre el uso de IA antes de firmar con un proveedor, sin esperar a 2027. Para los CTO y los responsables de producto, el cumplimiento normativo de la inteligencia artificial empieza por hacer inventario de los sistemas de IA que hay en la empresa, para qué se usa cada uno y en qué nivel de riesgo cae.

Para cumplir hace falta algo más que un documento de compliance. Hay que documentar la arquitectura y controlar las integraciones con proveedores externos como OpenAI, Gemini o Claude. En una auditoría de IA con enfoque técnico revisamos tres frentes.

1. Inventario y mapeo de dependencias

Se revisa el código y las integraciones para localizar todas las llamadas a modelos de lenguaje externos y qué información de la empresa viaja en ellas. Si esas llamadas pasan por un único punto, es más fácil controlar qué sale, registrar el uso y cambiar de proveedor cuando haga falta.

2. Control de datos y alucinaciones

Los modelos generativos se inventan respuestas cuando no tienen la información o cuando no se les acota bien. La forma habitual de limitarlo es una arquitectura RAG (Retrieval-Augmented Generation), en la que el modelo responde a partir de documentación validada de la empresa. En la auditoría comprobamos si el sistema se ciñe a esas fuentes o tiene margen para improvisar, y qué hace cuando no encuentra la respuesta.

3. Trazabilidad y registros

Cada decisión que la IA toma o sugiere tiene que quedar registrada. Si un cliente reclama por algo que inició un sistema automático, el equipo técnico debe poder ver qué prompt, qué contexto y qué versión del modelo produjeron ese resultado.

En Softspring trabajamos con lo que llamamos ingeniería responsable de IA. La IA propone y una persona decide, sobre todo cuando la decisión afecta a clientes, a dinero o a los derechos de alguien.

Este enfoque, conocido como human-in-the-loop, mejora la seguridad y también la calidad del resultado. Hay casos conocidos de lo que pasa sin él. En 2024, un tribunal canadiense obligó a Air Canada a compensar a un pasajero porque el chatbot de la aerolínea le había explicado una política de reembolso que no existía. La empresa alegó que el chatbot era responsable de sus propias respuestas y el tribunal no lo aceptó.

En nuestros proyectos, la IA prepara borradores, extrae datos y resume, y la aprobación queda en manos de alguien del equipo. En La Psicóloga en Casa, por ejemplo, el recomendador propone psicólogas a la coordinadora según su especialidad y disponibilidad, y es ella quien elige. También cuidamos que revisar sea rápido, porque si cuesta mucho, la gente acaba aprobando sin mirar.

Con nuestro servicio de asesoría tecnológica ayudamos a equipos de tecnología y producto a revisar los sistemas que ya tienen, hacer el inventario de IA y ordenar la arquitectura.

Si hay que construir algo nuevo o rehacer lo que no se puede auditar, lo hacemos dentro de nuestro servicio de desarrollo de IA a medida, con Symfony, Python y despliegue en Google Cloud, y con los registros y la supervisión humana previstos desde el diseño.

Llevamos más de 15 años construyendo software para empresas. Si quieres saber cómo trabajamos, puedes conocer al equipo.

Si quieres saber en qué nivel de riesgo están tus sistemas o necesitas desarrollar uno nuevo que se pueda auditar, cuéntanos qué tienes y lo vemos contigo.

Habla con nuestro equipo