Glosario de AI Act, AI Governance y Data Governance

La autoridad independiente que vela por el cumplimiento del RGPD en España, incluido el uso de datos personales en sistemas de IA.

La agencia pública española, con sede en A Coruña, encargada de supervisar la inteligencia artificial y de aplicar el AI Act en España.

Un sistema de IA que no solo responde, sino que actúa: planifica pasos y usa herramientas (correo, bases de datos, pagos) para cumplir un objetivo con poca intervención humana.

El Reglamento (UE) 2024/1689, la primera ley integral del mundo que regula la inteligencia artificial según el riesgo que genera.

La capacidad de las personas para leer, entender, cuestionar y comunicar datos en su trabajo diario, desde un gráfico hasta un indicador.

Las capacidades, conocimientos y comprensión que necesitan las personas para usar la IA de forma informada y conocer sus riesgos. El AI Act exige fomentarla.

Cuando un modelo de IA generativa produce una respuesta que suena convincente pero es falsa o inventada, como datos, citas o referencias que no existen.

La lista de ámbitos en los que un sistema de IA se considera de alto riesgo: biometría, empleo, educación, crédito, servicios esenciales, justicia y más.

Dos técnicas para proteger datos personales: la anonimización impide identificar a la persona de forma irreversible; la seudonimización solo oculta su identidad.

La autoridad nacional que comprueba que los sistemas de IA en el mercado cumplen el AI Act y que puede inspeccionar, ordenar retiradas y sancionar.

El registro público europeo en el que deben inscribirse los sistemas de IA de alto riesgo antes de comercializarse o usarse.

La justificación legal que necesita todo tratamiento de datos personales: consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo.

Las fechas en las que entra en aplicación cada parte del AI Act, de febrero de 2025 a agosto de 2028, ya actualizadas con el Ómnibus Digital.

Hasta qué punto los datos sirven para lo que se usan: si son exactos, completos, coherentes, actuales, válidos y sin duplicados.

El inventario organizado de los datos de una empresa: qué conjuntos existen, qué significan, dónde están, quién es responsable y quién puede usarlos.

Asignar a cada conjunto de datos un nivel de sensibilidad (público, interno, confidencial, restringido) que determina cómo se protege, se comparte y se conserva.

El órgano que toma las decisiones de gobierno del dato que afectan a varias áreas: prioridades, políticas, conflictos y seguimiento.

El órgano que reúne a un representante de cada Estado miembro para coordinar la aplicación coherente del AI Act en toda la UE.

Las capacidades concretas que una persona necesita para trabajar con datos en su puesto, de leer un indicador a definir reglas de calidad.

Dimensión de la calidad del dato que mide si están todos los datos que deberían estar: campos obligatorios informados y registros sin huecos.

Dimensión de la calidad del dato que mide si un mismo dato dice lo mismo en todos los sitios donde aparece, y si no se contradice con otros.

Un acuerdo explícito entre quien produce unos datos y quien los consume sobre su estructura, significado, calidad y plazos de entrega.

Un modelo de permisos en el que el acceso a los datos se concede según el puesto (rol) de cada persona, no persona a persona.

El primer tratado internacional jurídicamente vinculante sobre IA, centrado en derechos humanos, democracia y Estado de derecho, abierto a países de todo el mundo.

Cuando en una organización lo normal es decidir con datos, preguntar de dónde viene una cifra y avisar cuando un dato parece mal.

El cuerpo de conocimiento de referencia en gestión de datos, publicado por DAMA International, que organiza la disciplina en áreas como gobierno, calidad o metadatos.

El rol técnico (normalmente de IT) que guarda y protege los datos: almacenamiento, copias, accesos y seguridad, según las reglas del Data Owner.

El conjunto de roles, reglas y procesos que deciden quién es responsable de cada dato, cómo debe ser su calidad y quién puede usarlo.

Un enfoque que reparte la responsabilidad de los datos entre las áreas de negocio, que los ofrecen a los demás como «productos» con calidad garantizada.

La persona de negocio que responde de un conjunto de datos: decide quién puede usarlo, qué calidad debe tener y aprueba las reglas que lo afectan.

Analizar un conjunto de datos para ver cómo es en realidad: valores vacíos, formatos, duplicados, rangos y anomalías, antes de usarlo o fijar reglas.

La persona que cuida el día a día de un conjunto de datos: define términos, vigila la calidad, documenta y coordina la corrección de errores.

Un dato del que dependen decisiones importantes, informes regulatorios o procesos clave, y que por eso merece reglas y vigilancia propias.

La gestión de los datos clave que comparten muchos procesos (clientes, productos, proveedores, empleados) para que exista una única versión fiable.

El derecho de las personas a no ser objeto de decisiones basadas solo en un tratamiento automatizado que les afecten de forma importante, salvo excepciones y con garantías.

El documento firmado por el proveedor que asume la responsabilidad del cumplimiento, y la marca CE que lo acompaña en la IA de alto riesgo.

La persona que asesora y supervisa el cumplimiento del RGPD en una organización; es obligatoria en ciertos casos.

La pérdida de precisión de un modelo de IA con el tiempo porque los datos reales cambian respecto a los datos con los que se entrenó.

El expediente que el proveedor de una IA de alto riesgo debe preparar antes de comercializarla para demostrar que cumple el AI Act.

El reglamento europeo que obliga a bancos, aseguradoras y otras entidades financieras a gestionar sus riesgos tecnológicos y a sus proveedores TIC.

El análisis obligatorio según el RGPD antes de un tratamiento de datos personales que pueda suponer un alto riesgo para las personas, como muchos usos de IA.

Una persona de un equipo de negocio que hace de referencia en temas de datos: resuelve dudas, detecta problemas y conecta con el equipo de datos.

El proveedor que trata datos personales por cuenta de tu empresa (como un servicio de IA en la nube) y el contrato obligatorio que regula esa relación.

Un entorno supervisado por la autoridad en el que las empresas pueden desarrollar y probar IA innovadora con orientación sobre cómo cumplir el AI Act.

Un análisis que ciertos usuarios de IA de alto riesgo deben hacer antes de usarla para ver cómo puede afectar a los derechos de las personas.

El procedimiento con el que el proveedor demuestra que su IA de alto riesgo cumple los requisitos del AI Act antes de comercializarla.

Dimensión de la calidad del dato que mide si los datos reflejan la realidad: el valor guardado coincide con el valor verdadero.

La capacidad de entender y explicar por qué un sistema de IA ha dado un resultado concreto, de forma comprensible para quien lo usa o se ve afectado.

El documento que fija una única definición, aprobada, de cada término de negocio (cliente activo, venta, margen…) para que toda la empresa hable el mismo idioma.

Los requisitos de calidad, representatividad y control de sesgos que deben cumplir los datos con los que se entrena, valida y prueba una IA de alto riesgo.

Un modelo de IA de uso general tan potente que podría causar daños a gran escala; se presume cuando su entrenamiento supera 10^25 FLOPs.

Las empresas que traen a la UE sistemas de IA de proveedores de fuera (importadores) o que los revenden (distribuidores), con deberes de comprobación.

Un fallo de una IA que causa la muerte o daños graves a la salud, a infraestructuras críticas, a bienes o al medio ambiente, o vulnera derechos fundamentales.

La norma internacional certificable para crear un sistema de gestión de la inteligencia artificial en una organización, publicada en diciembre de 2023.

Una métrica de calidad del dato que se sigue en el tiempo, con un objetivo y un responsable, para saber si la calidad mejora o empeora.

La ley coreana de IA, aplicable desde el 22 de enero de 2026 también a empresas extranjeras: avisos, etiquetado y reglas para la IA de alto impacto.

La ley vietnamita de IA por niveles de riesgo, en vigor desde el 1 de marzo de 2026 con un año de gracia, con evaluación previa para la IA de alto riesgo.

La ley japonesa de 2025 que impulsa la IA con principios y un plan nacional, sin obligaciones generales ni multas para las empresas.

La ley brasileña de protección de datos personales, muy inspirada en el RGPD, en vigor desde 2020 y supervisada por la ANPD.

Corregir, completar, normalizar o eliminar datos erróneos, incompletos o duplicados para que sirvan para su uso.

El mapa del recorrido de un dato: de dónde viene, por qué sistemas pasa, qué transformaciones sufre y dónde acaba (informes, modelos de IA).

Modelo de IA entrenado con enormes cantidades de texto para entender y generar lenguaje; es la base de los asistentes conversacionales.

Las guías voluntarias de Singapur para una IA responsable, incluido el primer marco para IA agéntica (enero de 2026) y la herramienta de pruebas AI Verify.

Una tabla que deja claro, para cada tarea, quién la hace (R), quién responde de ella (A), a quién se consulta (C) y a quién se informa (I).

Los «datos sobre los datos»: qué significa cada campo, de dónde viene, quién es responsable, cuándo se actualizó y quién puede usarlo.

Un documento breve y estandarizado que describe un modelo de IA: para qué sirve, con qué datos se entrenó, cómo rinde y cuáles son sus límites.

Un modelo de IA entrenado con grandes cantidades de datos que puede realizar muchas tareas distintas, como los grandes modelos de lenguaje.

La directiva europea de ciberseguridad que obliga a empresas de sectores esenciales e importantes a gestionar riesgos de seguridad y notificar incidentes.

El marco voluntario de gestión de riesgos de IA del instituto de normalización de EE. UU., organizado en cuatro funciones: gobernar, mapear, medir y gestionar.

Normas técnicas europeas que, si se cumplen, permiten presumir que un sistema de IA de alto riesgo cumple los requisitos del AI Act.

Las reglas que obligan a avisar cuando una persona habla con una IA o ve contenido generado por IA, como chatbots, deepfakes o textos sintéticos.

Vigilar de forma continua y automática el estado de los datos y de los procesos que los mueven, para detectar problemas antes de que lleguen al usuario.

El organismo de la Comisión Europea que supervisa los modelos de IA de uso general y coordina la aplicación del AI Act en toda la UE.

El reglamento europeo de 2026 que simplificó el AI Act y retrasó las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028.

Dimensión de la calidad del dato que mide si los datos están disponibles y al día en el momento en que se necesitan.

Entidad independiente autorizada por un Estado miembro para evaluar si ciertos sistemas de IA de alto riesgo cumplen el AI Act antes de comercializarse.

Usos de la IA que el AI Act prohíbe por completo desde el 2 de febrero de 2025, como la puntuación social o el reconocimiento de emociones en el trabajo.

Los primeros principios intergubernamentales sobre IA (2019, actualizados en 2024), cuya definición de sistema de IA inspira el AI Act y otras leyes.

Quien desarrolla un sistema o modelo de IA (o lo encarga) y lo comercializa o pone en servicio con su propio nombre o marca.

El proyecto de ley brasileño de IA basado en el riesgo, inspirado en el AI Act; aprobado por el Senado en 2024 y pendiente en la Cámara de Diputados.

Técnica que hace que un modelo de IA responda basándose en documentos de la propia empresa que busca en el momento, en lugar de solo en lo que aprendió.

El inventario obligatorio del RGPD que describe qué datos personales trata la empresa, para qué, de quién, con quién los comparte y cuánto tiempo los guarda.

Una condición que un dato debe cumplir para considerarse bueno, escrita de forma que se pueda comprobar automáticamente.

Canadá no tiene ley federal de IA tras caducar la AIDA en 2025; se aplican la ley de privacidad PIPEDA, la Ley 25 de Quebec y un código voluntario.

China regula la IA con normas específicas: IA generativa de cara al público, registro de algoritmos y etiquetado obligatorio del contenido generado desde 2025.

El Reino Unido no tiene ley de IA: aplica cinco principios a través de los reguladores de cada sector (ICO, CMA, FCA, Ofcom) y prepara sandboxes.

EE. UU. no tiene una ley federal de IA: se aplican leyes estatales (Colorado, California, Texas, Illinois…), las agencias sectoriales y el marco voluntario del NIST.

La India no tiene ley de IA, pero desde febrero de 2026 sus reglas de TI exigen etiquetar el contenido sintético y retirar contenidos ilegales en 3 horas.

La región avanza a distinto ritmo: Perú tiene reglamento de su ley de IA, Brasil, Chile y México tramitan proyectos y el resto se apoya en sus leyes de datos.

La persona o empresa establecida en la UE que un proveedor de IA de fuera de la UE debe nombrar para que responda ante las autoridades europeas.

La persona que coordina el uso y el gobierno de la IA en una organización: inventario, riesgos, políticas, formación y relación con las autoridades.

La empresa u organismo que usa un sistema de IA bajo su autoridad en su actividad profesional. Es el rol de la mayoría de empresas.

Las multas por incumplir el AI Act: hasta 35 millones de euros o el 7 % de la facturación mundial anual por usar prácticas prohibidas.

La vigilancia que el proveedor debe hacer de su IA de alto riesgo una vez en uso, recogiendo datos sobre su funcionamiento real para detectar problemas.

Cuando un sistema de IA trata de forma sistemáticamente distinta e injusta a ciertos grupos de personas, normalmente por los datos con los que aprendió.

El uso de herramientas de IA por parte de los empleados sin que la empresa lo sepa ni lo haya autorizado.

El conjunto de políticas, procedimientos e instrucciones escritas con el que el proveedor de IA de alto riesgo garantiza que cumple el AI Act de forma sistemática.

Un proceso continuo, durante toda la vida del sistema de IA de alto riesgo, para identificar, evaluar y reducir sus riesgos.

Un sistema basado en una máquina que, con cierta autonomía, infiere de los datos que recibe cómo generar predicciones, contenidos, recomendaciones o decisiones.

Un sistema de IA que puede afectar de forma importante a la salud, la seguridad o los derechos de las personas y que, por eso, tiene las obligaciones más exigentes.

Explicar una conclusión basada en datos de forma clara: qué dicen los datos, qué no dicen y qué decisión se propone.

La obligación de que personas capacitadas puedan vigilar, entender, corregir y, si hace falta, detener un sistema de IA de alto riesgo.

Enviar datos personales fuera del Espacio Económico Europeo; solo se permite con garantías como una decisión de adecuación o cláusulas contractuales tipo.

Imagen, audio o vídeo generado o manipulado con IA que imita a personas, lugares o hechos reales y podría parecer auténtico.

El nivel mínimo aceptable de una métrica de calidad: por debajo, hay que actuar. Lo fija quien usa el dato, no el equipo técnico.

Dimensión de la calidad del dato que mide si cada cosa del mundo real aparece una sola vez: sin clientes, productos o proveedores duplicados.

Dimensión de la calidad del dato que mide si los valores cumplen el formato, el rango y las reglas definidas para ese dato.