Se entra una sola vez, para toda la organización, cuando la letra de tu organización es E o A (esta área no tiene controles Baseline). Llega hasta donde alcance la letra de tu organización, e implántalo en tu modo.
Por qué existe
Dale a la IA un único órgano que la supervise en toda la organización. Las decisiones sobre IA cruzan funciones —una herramienta de selección de personal es a la vez una elección tecnológica, una exposición jurídica, una cuestión de privacidad y un asunto de plantilla— y las decisiones que cruzan funciones, tomadas dentro de una sola función, se toman con puntos ciegos. El comité existe para eliminarlos. Si tu organización es pequeña y no tiene cultura de consejo ni de comité, no te lo inventes: una vía de escalado definida hasta la persona propietaria-gerente cumple con esta área, y fingir lo contrario produce teatro, no supervisión. Esa exención es deliberada y solo vale mientras sigas siendo pequeña.
Qué hacer
Compón el comité con varias funciones, y no olvides a recursos humanos ni a protección de datos. Reúne a tecnología, seguridad, asesoría jurídica, privacidad, recursos humanos, el negocio y a quien lidere la IA. Los equipos invitan sin falta a la jefatura de seguridad y a los abogados, y con la misma fiabilidad se olvidan de recursos humanos y de la persona responsable de protección de datos; y resulta que la selección de personal, las decisiones sobre la plantilla y el tratamiento de datos personales son precisamente donde la IA toca más a menudo a las personas de forma directa, y donde este marco concentra su clasificación de riesgo más alta. Un comité al que le faltan esos dos asientos tiene sus puntos ciegos exactamente donde está el peligro.
Pon el impacto en la plantilla como punto fijo del orden del día del comité. Allí donde la IA toca a empleados o a candidaturas —selección, evaluación, asignación de tareas, monitorización—, el comité, junto con recursos humanos, es dueño de la pregunta de si ese uso es justo, no discriminatorio y compatible con tus obligaciones como empleador. No lo dejes en manos del equipo que despliega la herramienta: ese equipo está midiendo comodidad, no equidad.
Vigila tu dependencia de los proveedores, no solo tus despliegues. La concentración en un único proveedor de IA es un riesgo estratégico que corresponde a esta mesa: si ese proveedor falla, cambia sus condiciones o retira un modelo, cae con él todo proceso que dependa de él. Exige que el comité sepa, en todo momento, qué capacidades descansan en un solo suministrador y cuánto costaría la salida, y conecta esto con las disciplinas de salida que fija el área de aprovisionamiento.
Dale al comité la autoridad de puesta en marcha de los sistemas de alto riesgo. El comité —no el equipo que despliega, no compras— autoriza o bloquea el lanzamiento de una IA de alto riesgo, en función del riesgo que queda después de las mitigaciones. Autoridad sin compuerta es consejo; haz del comité una compuerta.
Controles
Enhanced5 controles
Control 15
Constituye el comité con un mandato escrito.
EnhancedPreventivotodos los rolestoda la organización
Qué es
El mandato establece su autoridad (incluida la compuerta de puesta en producción), su composición y su alcance.
Cómo implantarlo · Estructura mínima
Propósito y alcance: todo uso de IA en la organización
Autoridad: paso obligatorio para la puesta en producción de sistemas de alto riesgo, con poder para bloquear o suspender
Composición: tecnología, seguridad, jurídico, privacidad, RR. HH., negocio y quien lidera la IA; presidencia designada
Quórum y regla de decisión
Orden del día fijo: aprobaciones de alto riesgo, impacto en la plantilla, concentración de proveedores, incidentes
Línea de reporte y frecuencia de informes al consejo
Aprobación por el consejo y revisión anual del mandato
Cómo arrancar
Redacta un mandato de dos páginas con estas secciones y haz que lo apruebe el consejo o la máxima autoridad disponible.
Evidencia
El mandato aprobado y su historial de versiones.
Modo: ligero / estándar / completo
ligero
No se constituye comité; lo sustituye una vía de escalado escrita hacia el propietario-gerente, que firma cada puesta en producción de un uso que afecta a personas.
estándar
Un comité reducido de directivos existentes trabaja según el mandato e informa a la dirección.
completo
Un comité formal con secretaría, reglamento aprobado por el consejo e informes periódicos a este.
Control 16
Fija una periodicidad de reuniones y respétala.
EnhancedPreventivotodos los rolestoda la organización
Qué es
Un comité que se reúne cuando le conviene no gobierna nada; la periodicidad es fija y se controla la asistencia.
Cómo implantarlo · Reglas mínimas
Frecuencia fija establecida en el mandato (p. ej. mensual o trimestral), con fechas publicadas para todo el año
Vía de reunión extraordinaria para decisiones urgentes de puesta en producción o incidentes
Orden del día enviado con antelación; acta con decisiones y acciones emitida en un plazo fijo (p. ej. una semana)
Asistencia registrada por puesto, con suplentes designados
Las reuniones canceladas y las ausencias reiteradas se comunican a la presidencia y al consejo
Cómo arrancar
Publica el calendario de reuniones de los próximos 12 meses y envía ya las convocatorias.
Evidencia
El calendario, las actas y los registros de asistencia.
Modo: ligero / estándar / completo
ligero
No se constituye comité; el propietario-gerente revisa los asuntos de IA en un punto fijo de una reunión de dirección existente y anota las decisiones.
estándar
El comité se reúne con un ciclo fijo y una secretaría rotatoria levanta acta y registra la asistencia.
completo
Una secretaría gestiona el calendario, las actas, el seguimiento de acciones y el informe de asistencia al consejo.
Control 17
Mantén una composición multidisciplinar, que incluya a Recursos Humanos y al delegado de protección de datos.
EnhancedPreventivotodos los rolestoda la organización
Qué es
Las ausencias en esos dos puestos se tratan como carencias que hay que cerrar, no como accidentes de agenda.
Cómo implantarlo · Contenido mínimo
Puestos: tecnología, seguridad, jurídico, privacidad (el delegado de protección de datos), RR. HH., negocio y quien lidera la IA
Para cada puesto: titular y suplente designados
Asistencia por puesto en cada reunión
Registro de carencias: toda ausencia de RR. HH. o del delegado de protección de datos se anota con una acción y fecha para cerrarla
Revisión anual de la composición frente a los sistemas que supervisa el comité
Cómo arrancar
Contrasta la composición actual con la lista de puestos e invita a RR. HH. y al delegado de protección de datos, con suplentes, si alguno de esos puestos está vacío.
Evidencia
La lista de miembros con suplentes, los registros de asistencia y el registro de carencias.
Modo: ligero / estándar / completo
ligero
No se constituye comité; el propietario-gerente consulta a quien lleve RR. HH. y protección de datos, interno o externo, antes de cada puesta en producción que afecte a personas.
estándar
Cada puesto lo ocupa un directivo existente, con suplentes designados y seguimiento de ausencias por la presidencia.
completo
Los puestos se asignan formalmente en el mandato, la asistencia se informa al consejo y las carencias persistentes se escalan.
Control 18
Revisa el impacto en la plantilla de cualquier IA que afecte a empleados o candidatos.
EnhancedPreventivotodos los rolestoda la organización
Qué es
Una revisión permanente, compartida con Recursos Humanos, antes del lanzamiento de esos sistemas y periódicamente después.
Cómo implantarlo · Pasos
Disparador: cualquier IA usada para seleccionar, evaluar, asignar tareas o supervisar a empleados o candidatos
Describe el uso, las decisiones en las que influye y a quién afecta
Evalúa la equidad, el riesgo de discriminación, la proporcionalidad de cualquier supervisión y su encaje con las obligaciones como empleador
Concluye junto con RR. HH.: aprobar, aprobar con condiciones o rechazar, antes de la puesta en producción
Revisa de nuevo periódicamente (p. ej. cada año) y ante cualquier cambio de uso
Cómo arrancar
Enumera toda IA que afecte a empleados o candidatos, incluidas las funciones del software de RR. HH., y programa la primera revisión con RR. HH.
Evidencia
Los registros de revisión del impacto en la plantilla y sus conclusiones.
Modo: ligero / estándar / completo
ligero
No se constituye comité; el propietario-gerente y quien lleve RR. HH. completan una lista de comprobación breve antes de la puesta en producción y una vez al año.
estándar
El comité realiza la revisión con el responsable de RR. HH. y recoge la conclusión en el acta.
completo
Una revisión estructurada dirigida conjuntamente por el comité y RR. HH., con aportaciones de la representación de los trabajadores donde exista.
Control 19
Sigue la concentración de proveedores y la preparación para la salida.
EnhancedDetectivotodos los rolestoda la organización
Qué es
El comité mantiene una visión actualizada de las dependencias de un único proveedor y de su coste de salida.
Cómo implantarlo · Contenido mínimo
Capacidad o proceso, y el proveedor o proveedores de los que depende
Indicador de proveedor único
Impacto si el proveedor falla, cambia condiciones o retira un modelo
Opción de salida (proveedor alternativo, solución propia, alternativa manual) con tiempo y coste estimados
Condiciones contractuales de salida: preaviso, devolución de datos, portabilidad
Fecha de revisión; la visión se presenta al comité al menos cada trimestre
Cómo arrancar
A partir del inventario, enumera cada proveedor de IA y cuenta cuántos procesos dependen solo de él.
Evidencia
La visión de concentración y preparación para la salida y las actas en que se revisó.
Modo: ligero / estándar / completo
ligero
No se constituye comité; la persona responsable mantiene una lista breve de proveedores con una alternativa manual anotada para cada proceso crítico.
estándar
Compras y quien lidera la IA mantienen la visión y la presentan al comité.
completo
La visión forma parte de la gestión de riesgos de terceros, con planes de salida probados para las dependencias más críticas.
Advanced1 controles
Control 20
Mantén una vigilancia regulatoria.
AdvancedDetectivotodos los rolestoda la organización
Qué es
El comité sigue las normas sobre IA aplicables en cada jurisdicción en la que operas y convierte los cambios en acciones.
Cómo implantarlo · Contenido mínimo
Jurisdicciones donde opera la organización o donde su IA llega a personas
Fuentes por jurisdicción: boletines oficiales, publicaciones de los reguladores, asociaciones sectoriales, asesores jurídicos
Por norma: qué exige, desde cuándo se aplica y a qué sistemas afecta (vinculado al mapa de aplicabilidad)
Por cada cambio: acción, responsable, plazo y estado
Cadencia: revisión mensual, resumen trimestral al comité
Cómo arrancar
Enumera las jurisdicciones en las que operas y asigna a una persona concreta la revisión mensual de las fuentes oficiales.
Evidencia
El registro normativo con enlaces a las fuentes y las acciones derivadas de él.
Modo: ligero / estándar / completo
ligero
No se constituye comité; la persona responsable mantiene la vigilancia y el mapa de aplicabilidad, si es preciso mediante un servicio de actualización contratado.
estándar
Jurídico o cumplimiento mantiene el registro e informa de los cambios al comité.
completo
Una función normativa dedicada mantiene el registro para todas las jurisdicciones, con seguimiento de las acciones hasta su cierre.
Evidencia
El mandato; las actas y la asistencia; las revisiones del impacto en la plantilla; la visión de la concentración de proveedores y de la preparación para la salida; los registros de decisiones y acciones; las autorizaciones y las negativas a la puesta en marcha. El mapa de aplicabilidad por sistema (dominio 10, área 3). Un seguimiento normativo mantenido y con enlaces a sus fuentes es un medio aceptable para operar la vigilancia normativa.
Modo ligero
Cómo lo cumple una organización pequeña.
La persona propietaria nombrada mantiene el mapa de aplicabilidad y la vigilancia normativa; no se constituye comité, y la persona propietaria-gerente firma cada decisión de puesta en marcha de un uso que afecte a personas.