Consejo de administración e IA

Antes de aprobar un proyecto de inteligencia artificial, el consejo de administración debe conocer su finalidad, impacto empresarial, nivel de autonomía, datos utilizados y principales riesgos jurídicos. También debe comprobar quién será responsable del sistema, qué garantías ofrece el proveedor, cómo se supervisarán sus resultados y qué medidas permitirán detenerlo si falla. El consejo no necesita dominar la tecnología, pero sí disponer de información suficiente para adoptar una decisión diligente, documentada y alineada con el interés de la sociedad.

La inteligencia artificial ha pasado de utilizarse como una herramienta auxiliar a integrarse en procesos empresariales capaces de condicionar ventas, costes, contratación, atención al cliente, producción y toma de decisiones.

Esta evolución obliga a revisar quién debe autorizar determinados proyectos. Cuando la IA afecta a procesos esenciales, implica una inversión relevante, trata información estratégica o puede generar consecuencias sobre trabajadores, clientes y terceros, su aprobación no debería quedar exclusivamente en manos del departamento tecnológico.

El consejo de administración debe implicarse en la definición del marco de gobernanza y asegurarse de que la empresa dispone de controles proporcionales. Esta obligación conecta con el deber general de diligencia de los administradores y con la necesidad de adoptar decisiones contando con información adecuada y procedimientos razonables.

Cuándo debe llegar un proyecto de IA al consejo de administración

No todos los usos de inteligencia artificial necesitan aprobación directa del consejo. Resultaría desproporcionado elevar cualquier herramienta generativa utilizada para preparar borradores internos.

La intervención del órgano de administración cobra especial importancia cuando el proyecto:

• requiere una inversión significativa;
• modifica un proceso esencial del negocio;
• automatiza decisiones relevantes;
• afecta a trabajadores, clientes o consumidores;
• utiliza datos sensibles o información estratégica;
• se integra en productos o servicios ofrecidos al mercado;
• puede afectar a la reputación de la compañía;
• genera una dependencia relevante respecto de un proveedor;
• presenta riesgos regulatorios o de ciberseguridad elevados;
• puede encajar en una categoría regulada por el AI Act.

La empresa debería establecer criterios internos que determinen qué proyectos requieren aprobación del consejo, cuáles pueden aprobarse por la dirección y cuáles pueden tramitarse mediante procedimientos simplificados.

El consejo debe comprender qué problema empresarial pretende resolver la IA

La primera pregunta no debe ser qué modelo se va a utilizar, sino qué problema quiere resolver la empresa.

Todo proyecto debería presentar una finalidad concreta y verificable. Por ejemplo:

• reducir tiempos de atención;
• automatizar la clasificación documental;
• detectar fraude;
• mejorar previsiones de demanda;
• apoyar procesos de selección;
• personalizar servicios;
• asistir en decisiones comerciales.

El consejo debe evitar aprobar proyectos formulados mediante objetivos vagos como “incorporar IA” o “automatizar la empresa”. Sin una finalidad delimitada resulta imposible valorar la necesidad del sistema, medir sus resultados o identificar alternativas menos arriesgadas.

También conviene exigir indicadores que permitan comprobar posteriormente si el proyecto cumple el objetivo para el que fue aprobado.

Qué decisiones podrá adoptar el sistema y con qué autonomía

La autonomía es uno de los factores más importantes para valorar el riesgo.

No plantea los mismos problemas un sistema que redacta una propuesta sometida a revisión que otro capaz de ejecutarla directamente. Tampoco es equivalente recomendar una decisión comercial que rechazar automáticamente una solicitud, seleccionar candidatos o modificar precios.

Antes de aprobar el proyecto, el consejo debería conocer:

• qué actuaciones podrá realizar la IA;
• cuáles requerirán autorización humana;
• qué límites técnicos se establecerán;
• qué decisiones no podrán delegarse;
• qué capacidad tendrá el sistema para acceder a otras aplicaciones;
• cómo se podrá interrumpir su funcionamiento.

Esta cuestión es especialmente relevante en agentes de IA capaces de encadenar tareas, consultar información y ejecutar acciones dentro de sistemas corporativos.

La clasificación según el AI Act debe realizarse antes de aprobar el despliegue

El Reglamento Europeo de Inteligencia Artificial establece un régimen basado en el riesgo. Las obligaciones dependen del tipo de sistema, su finalidad, el sector, las personas afectadas y el papel que desempeña la empresa dentro de la cadena de suministro.

Por ello, el consejo debería exigir un análisis previo que determine:

• si la herramienta encaja en la definición de sistema de IA;
• si el uso proyectado puede estar prohibido;
• si puede considerarse de alto riesgo;
• si genera obligaciones de transparencia;
• si la empresa actúa como proveedora, responsable del despliegue, importadora o distribuidora;
• qué obligaciones concretas deberán implantarse.

No debe asumirse que la clasificación realizada por el proveedor resuelve automáticamente el análisis. La empresa debe estudiar el uso real que hará del sistema, ya que una misma herramienta puede tener consecuencias jurídicas distintas según el proceso en el que se integre. El AI Act exige controles más intensos en determinados sistemas, incluyendo gestión de riesgos, documentación, trazabilidad, supervisión humana y robustez.

Qué información y datos utilizará el proyecto

El consejo debe conocer qué información alimentará al sistema y dónde se encuentra.

Esta revisión debe distinguir entre:

• datos personales;
• categorías especiales de datos;
• información de empleados;
• datos de clientes;
• secretos empresariales;
• propiedad intelectual;
• documentación de terceros;
• información financiera;
• datos obtenidos de fuentes públicas.

También debe analizarse si el proveedor podrá utilizar esa información para entrenar o mejorar sus modelos.

Cuando haya datos personales, el proyecto deberá coordinarse con el RGPD y la LOPDGDD. Según el caso, puede ser necesario revisar la base jurídica, informar a los afectados, aplicar minimización, realizar una evaluación de impacto y controlar transferencias internacionales. La AEPD incorpora la evaluación y gestión de riesgos, la supervisión y la auditoría entre los elementos relevantes de los tratamientos que incluyen IA.

El consejo no necesita revisar personalmente cada documento de privacidad, pero sí comprobar que existe un análisis previo y que el responsable de protección de datos ha intervenido cuando resulte necesario.

El proveedor debe superar una revisión jurídica, técnica y financiera

La elección del proveedor no puede basarse únicamente en el precio o en la calidad aparente del modelo.

Antes de aprobar la contratación, el consejo debería conocer:

• la solvencia y estabilidad del proveedor;
• dónde se procesan los datos;
• qué subcontratistas intervienen;
• qué medidas de seguridad aplica;
• si utiliza los datos del cliente para entrenamiento;
• qué documentación facilita;
• cómo comunica cambios en el modelo;
• qué garantías ofrece frente a errores;
• cómo permite exportar los datos;
• qué ocurre al finalizar el contrato.

También debe analizarse si la empresa quedará excesivamente vinculada a una plataforma, una infraestructura o un modelo concreto.

La dependencia tecnológica puede convertirse en un riesgo estratégico si la compañía no puede migrar sus datos, sustituir al proveedor o mantener el servicio ante un cambio de condiciones.

El contrato debe repartir correctamente los riesgos

Los contratos estándar de proveedores de IA suelen limitar ampliamente su responsabilidad y trasladar al cliente la obligación de revisar los resultados.

Por ello, antes de autorizar el proyecto conviene comprobar que el contrato regula:

• objeto y alcance del servicio;
• niveles de disponibilidad;
• propiedad de datos, prompts y resultados;
• derechos de propiedad intelectual;
• confidencialidad;
• uso de información para entrenamiento;
• protección de datos;
• medidas de seguridad;
• subencargados;
• auditoría;
• notificación de incidentes;
• cambios relevantes del sistema;
• responsabilidad e indemnidades;
• portabilidad;
• terminación y eliminación de datos.

El consejo debe conocer especialmente aquellas cláusulas que puedan dejar a la empresa expuesta frente a clientes o autoridades sin posibilidad real de reclamar al proveedor.

La supervisión humana debe diseñarse antes de poner el sistema en producción

La revisión humana no puede añadirse al final como una formalidad.

Debe determinarse desde el diseño:

• qué resultados requieren validación;
• quién tiene competencia para revisar;
• qué formación necesita esa persona;
• qué información recibirá para decidir;
• cuándo puede apartarse de la recomendación;
• cómo quedará registrada su intervención;
• qué casos obligan a detener el sistema.

La supervisión solo es efectiva si la persona revisora dispone de tiempo, conocimiento y autoridad para intervenir. No existe control real cuando el empleado se limita a confirmar automáticamente cientos de decisiones generadas por el sistema.

El consejo debe exigir pruebas antes del despliegue

Un proyecto de IA no debería aprobarse para producción basándose únicamente en demostraciones comerciales del proveedor.

La empresa debe realizar pruebas adaptadas al caso de uso. Dependiendo del sistema, pueden incluir:

• precisión de resultados;
• tasa de errores;
• alucinaciones;
• robustez ante entradas inesperadas;
• discriminación o sesgos;
• seguridad;
• capacidad de recuperación;
• funcionamiento de la intervención humana;
• compatibilidad con los sistemas internos.

También deben definirse los umbrales mínimos que debe superar el proyecto y las condiciones que obligarán a suspenderlo.

Cuando la IA afecte a derechos, decisiones laborales, sanidad, crédito o servicios esenciales, la intensidad de las pruebas deberá ser mayor.

Cómo se controlarán los riesgos después de la aprobación

El consejo no debería considerar finalizada su intervención una vez autorizado el proyecto.

Los sistemas de IA pueden cambiar por:

• actualización del modelo;
• modificación de datos;
• incorporación de nuevas funciones;
• cambio de proveedor;
• integración con otras herramientas;
• ampliación de usuarios;
• aparición de errores no detectados.

Por eso, el proyecto debe incluir un sistema de seguimiento posterior.

El consejo debería recibir información periódica sobre:

• rendimiento;
• incidencias;
• reclamaciones;
• desviaciones;
• cambios materiales;
• riesgos emergentes;
• medidas correctoras;
• grado de cumplimiento de los objetivos.

La frecuencia y el nivel de detalle dependerán de la importancia del sistema. No todos los proyectos requieren informes continuos al consejo, pero los más críticos sí deben formar parte del sistema general de reporting de riesgos.

Quién será responsable dentro de la empresa

Todo proyecto de IA debe tener un responsable empresarial claramente identificado.

No basta con designar al departamento de tecnología de forma genérica. Debe existir una persona o función responsable de:

• coordinar el proyecto;
• mantener la documentación;
• controlar al proveedor;
• revisar los riesgos;
• comunicar incidencias;
• proponer actualizaciones;
• informar a dirección.

Además, deberían identificarse las responsabilidades de legal, compliance, protección de datos, ciberseguridad, recursos humanos y negocio.

La gobernanza de IA exige coordinación. Cuando todos participan pero nadie responde, el control termina siendo meramente formal.

Qué documentación debe recibir el consejo para adoptar la decisión

Antes de votar la aprobación, los consejeros deberían disponer de un expediente suficiente y comprensible.

Según la relevancia del proyecto, puede incluir:

• memoria del caso de uso;
• análisis económico;
• clasificación conforme al AI Act;
• mapa de riesgos;
• evaluación de protección de datos;
• informe de ciberseguridad;
• resumen del contrato;
• análisis de dependencia del proveedor;
• resultados de pruebas;
• modelo de supervisión humana;
• plan de implantación;
• indicadores de seguimiento;
• procedimiento de suspensión;
• responsables designados.

La información debe presentarse con antelación suficiente y permitir formular preguntas, pedir aclaraciones o solicitar informes adicionales.

La decisión adoptada y sus principales fundamentos deberían reflejarse adecuadamente en el acta, especialmente cuando el proyecto presente una relevancia estratégica o un riesgo elevado.

Preguntas que los consejeros deberían formular antes de votar

Un consejo informado debería poder responder, al menos, a estas cuestiones:

• ¿Qué problema concreto resuelve esta IA?
• ¿Por qué es necesaria?
• ¿Qué alternativa existe?
• ¿Qué decisiones realizará?
• ¿Qué datos utilizará?
• ¿Quién puede resultar afectado?
• ¿Cómo se ha clasificado el sistema?
• ¿Qué obligaciones genera?
• ¿Quién supervisará sus resultados?
• ¿Cómo se podrá detener?
• ¿Qué responsabilidad asume el proveedor?
• ¿Cómo recuperaremos los datos si termina el contrato?
• ¿Qué información recibirá posteriormente el consejo?
• ¿Quién responderá internamente si aparece una incidencia?

Si estas preguntas no pueden responderse, probablemente el proyecto todavía no está preparado para su aprobación.

Errores del consejo al aprobar proyectos de inteligencia artificial

Uno de los errores más frecuentes consiste en considerar la IA una cuestión exclusivamente técnica y delegar toda la decisión sin recibir información suficiente.

También resulta problemático:

• aprobar proyectos sin una finalidad concreta;
• confiar por completo en la evaluación del proveedor;
• no analizar el uso de datos;
• ignorar la clasificación según el AI Act;
• aceptar contratos estándar sin revisión;
• no establecer supervisión humana;
• no definir responsables;
• no prever la salida del proveedor;
• aprobar un piloto sin regular su posterior escalado;
• no establecer un sistema de seguimiento.

La prudencia no exige paralizar la innovación. Exige adoptar decisiones informadas y proporcionadas al riesgo.

La gobernanza de IA protege también a los administradores

Un procedimiento de aprobación bien diseñado beneficia a la sociedad y a sus administradores.

Permite demostrar que la decisión se adoptó:

• con información suficiente;
• después de identificar los riesgos;
• contando con asesoramiento especializado;
• aplicando controles razonables;
• atendiendo al interés de la empresa;
• estableciendo seguimiento posterior.

El objetivo no es eliminar todo riesgo, algo imposible en cualquier decisión empresarial, sino acreditar que el proyecto fue evaluado con la diligencia exigible.

Cómo puede ayudar RZS Abogados

En RZS Abogados ayudamos a los consejos de administración y equipos directivos a evaluar proyectos de inteligencia artificial antes de su aprobación.

Nuestro asesoramiento puede incluir:

• análisis jurídico del caso de uso;
• clasificación conforme al AI Act;
• mapa de riesgos;
• revisión de protección de datos;
• evaluación de contratos y proveedores;
• análisis de propiedad intelectual y confidencialidad;
• diseño de supervisión humana;
• elaboración de políticas internas;
• preparación del expediente para el consejo;
• definición de modelos de reporting y seguimiento.

El objetivo es facilitar decisiones informadas, proporcionadas y alineadas con la estrategia empresarial.

El consejo de administración no necesita convertirse en experto técnico para aprobar un proyecto de inteligencia artificial. Sí necesita comprender qué problema resuelve, qué decisiones podrá adoptar, qué información utilizará, qué riesgos introduce y qué controles permitirán gestionarlos.

La aprobación debe apoyarse en un expediente suficiente, una asignación clara de responsabilidades, contratos adecuados y un sistema de seguimiento posterior.

Una gobernanza sólida permite innovar con mayor seguridad y demuestra que la empresa no ha incorporado inteligencia artificial de forma improvisada.

En RZS Abogados te ayudamos a implantar la inteligencia artificial de forma segura, legal y ética. Evaluamos tus riesgos, adaptamos tus políticas internas y te acompañamos en la toma de decisiones.

Evita sanciones y gana confianza con un uso responsable de la IA.

Preguntas frecuentes sobre el consejo de administración y la IA

¿Debe el consejo aprobar todos los proyectos de inteligencia artificial?

No. La intervención debe reservarse para proyectos estratégicos, de inversión relevante o con impacto jurídico, operativo o reputacional significativo. Los usos de bajo riesgo pueden someterse a procedimientos internos simplificados.

¿Qué responsabilidad tiene el consejo si falla un sistema de IA?

Dependerá de las circunstancias. Un fallo no implica por sí mismo responsabilidad de los administradores. Será relevante comprobar si identificaron los riesgos, solicitaron información, implantaron controles y supervisaron razonablemente el proyecto.

¿Debe participar el delegado de protección de datos?

Debe intervenir cuando el proyecto implique tratamientos de datos personales dentro de sus funciones, especialmente si puede ser necesaria una evaluación de impacto o existen riesgos elevados.

¿Qué debe recibir el consejo después de aprobar el proyecto?

Debería recibir información proporcional sobre rendimiento, incidencias, reclamaciones, cambios del sistema y evolución de los riesgos.

¿Qué es la gobernanza de IA para un consejo de administración?

Es el conjunto de responsabilidades, políticas, procedimientos y controles mediante los que el órgano de administración supervisa el uso de inteligencia artificial. Incluye criterios de aprobación, asignación de responsables, gestión de riesgos y seguimiento de sistemas relevantes.