AI Governance y Data Governance
en español —
guías, plantillas y diagnóstico gratuito.

Reglamento (UE) 2024/1689, primera normativa integral de inteligencia artificial del mundo. Clasifica los sistemas de IA según su nivel de riesgo y establece obligaciones proporcionales para proveedores y responsables del despliegue.

Sistemas de IA listados en el Anexo III del AI Act que afectan a ámbitos críticos: infraestructuras, educación, empleo, servicios esenciales, seguridad pública o justicia. Sujetos a los requisitos más estrictos: evaluación de conformidad, documentación técnica, supervisión humana y registro.

General Purpose AI Model. Modelo de IA entrenado con gran cantidad de datos que puede realizar múltiples tareas distintas (texto, código, imágenes…). GPT-4, Claude o Gemini son ejemplos. El AI Act les impone obligaciones de transparencia y documentación desde agosto de 2025.

Proceso obligatorio para proveedores de sistemas de alto riesgo antes de poner el sistema en el mercado. Puede ser autoevaluación o evaluación por organismo notificado, según el tipo de sistema. Acredita que el sistema cumple los requisitos del Capítulo III del AI Act.

Obligación del Art. 14 del AI Act para sistemas de alto riesgo. Los sistemas deben diseñarse para que personas físicas puedan supervisar, comprender, intervenir y detener el sistema. Implica interfaces de monitoreo, logs de decisiones y formación de usuarios.

Los sistemas de IA de alto riesgo que superen la evaluación de conformidad deben llevar el marcado CE antes de comercializarse en la UE. Requiere declaración de conformidad UE y registro en la base de datos europea de sistemas de IA de la Comisión.

Categoría especial para modelos GPAI de muy alta capacidad (entrenados con más de 10²⁵ FLOPs). Sujetos a obligaciones adicionales: evaluación de riesgos adversariales, notificación a la Comisión Europea, planes de respuesta ante incidentes y medidas de ciberseguridad.

Marco organizativo de políticas, procesos, roles y estándares que garantiza que los datos de una organización son precisos, accesibles, seguros y usados de forma responsable. Define quién puede hacer qué con qué datos y bajo qué condiciones.

Responsable operativo de la calidad, metadatos y linaje de los datos en un dominio concreto. Actúa como puente entre los equipos técnicos y el negocio. Rol más frecuente en programas de Data Governance y exigido implícitamente por el Art. 10 del AI Act.

Responsable de negocio de un dominio o activo de datos. Define quién puede acceder, bajo qué condiciones y con qué finalidad. A diferencia del Data Steward, toma decisiones estratégicas sobre el dato, no operativas. Figura clave para el cumplimiento del GDPR y el AI Act.

Trazabilidad completa del ciclo de vida de un dato: origen, transformaciones aplicadas, sistemas por los que ha pasado y destinos. El Art. 10 del AI Act lo exige para los datos de entrenamiento de sistemas de alto riesgo.

Medida en que los datos son aptos para el uso previsto. Se evalúa en seis dimensiones: completitud, exactitud, consistencia, oportunidad, validez y unicidad. El Art. 10 del AI Act establece requisitos de calidad de datos de entrenamiento para sistemas de alto riesgo.

Inventario centralizado de los activos de datos de una organización: qué datos existen, dónde están, quién los gestiona, qué significan y cómo se relacionan. Herramienta fundamental para implementar Data Governance a escala y para cumplir las obligaciones de documentación del AI Act.

Paradigma arquitectónico que descentraliza la propiedad de los datos hacia los equipos de dominio. Cada dominio es responsable de producir datos como producto. Alternativa al data lake centralizado para organizaciones grandes con equipos autónomos. Requiere una capa de Data Governance federada.

Gestión de los datos maestros de una organización: clientes, productos, proveedores, empleados. Garantiza que existe una única versión de la verdad (golden record) compartida entre sistemas. Crítico para la calidad de datos que alimentan sistemas de IA de alto riesgo.

Estándar internacional ISO/IEC 42001:2023. El primer sistema de gestión de IA certificable por terceros. Define requisitos para que las organizaciones desarrollen, provean o usen sistemas de IA de forma responsable. Puede acreditar presunción de conformidad con el AI Act cuando los estándares armonizados CEN-CENELEC lo adopten.

AI Risk Management Framework del NIST (Instituto Nacional de Estándares de EE.UU.). Marco voluntario estructurado en cuatro funciones: GOVERN, MAP, MEASURE y MANAGE. Muy usado como guía operativa interna de gestión de riesgos de IA, complementario al AI Act y a ISO 42001.

Data Management Body of Knowledge. El estándar de referencia para la gestión de datos, publicado por DAMA International. Define 11 áreas de conocimiento (Data Governance, Data Quality, Data Architecture, etc.) y es la base conceptual de la mayoría de programas de Data Governance.

Agencia Española de Protección de Datos. Actúa como autoridad de supervisión del AI Act en España para sistemas que traten datos personales. Ha publicado guías sobre IA generativa, biometría y sistemas de decisión automatizada. Coordina con la AESIA en los casos de solape regulatorio.

Agencia Española de Supervisión de la Inteligencia Artificial. Organismo creado para supervisar el cumplimiento del AI Act en España. Coordina con la AEPD en los casos donde los sistemas de IA traten datos personales.

Reglamento (UE) 2022/868, operativo desde septiembre de 2023. Crea el marco para la reutilización de datos del sector público, regula los servicios de intermediación de datos y establece el concepto de altruismo de datos. Complementa al AI Act facilitando el acceso a datos para entrenar sistemas de IA.

Reglamento (UE) 2023/2854, aplicable desde septiembre de 2025. Regula quién puede acceder y usar los datos generados por productos conectados (IoT) e interoperabilidad entre servicios de datos. Exige que los fabricantes diseñen productos que permitan a los usuarios acceder a los datos que generan.

Reglamento General de Protección de Datos (UE) 2016/679. Base normativa de la privacidad en Europa. Los sistemas de IA que traten datos personales deben cumplir el GDPR en paralelo al AI Act. Los conceptos de minimización de datos y privacidad por diseño son especialmente relevantes para sistemas de alto riesgo.

Capacidad de un sistema de IA de hacer comprensibles sus decisiones. El Art. 13 del AI Act exige transparencia e interpretabilidad para sistemas de alto riesgo, de forma que los usuarios puedan entender cómo y por qué el sistema llega a sus resultados.

Perfil emergente responsable de diseñar e implementar el marco de gobernanza de IA de una organización. Combina conocimiento regulatorio (AI Act, GDPR), capacidad técnica para entender los sistemas y habilidades de gestión para coordinar equipos legales, técnicos y de negocio.