Matriz de responsabilidades de IA en la empresa: legal, IT, negocio y dirección
Muchas empresas ya tienen alguna política interna sobre inteligencia artificial. El problema es que una política, por sí sola, no decide quién revisa un proveedor, quién valida un caso de uso, quién controla los datos personales, quién conserva evidencias o quién puede bloquear una herramienta si el riesgo es demasiado alto.
La gobernanza de IA empieza a ser útil cuando baja del documento general a una matriz de responsabilidades clara. No hace falta crear burocracia pesada. Sí hace falta que legal, IT, negocio, compliance, recursos humanos y dirección sepan qué tienen que hacer antes de activar una herramienta, conectarla a datos internos o utilizar sus resultados en procesos relevantes.
Esta guía propone una matriz práctica para empresas que quieren ordenar el uso de ChatGPT, Copilot, asistentes internos, automatizaciones, chatbots, herramientas de análisis documental o soluciones sectoriales de IA sin convertir el cumplimiento en un freno innecesario.
No es una matriz universal cerrada. La respuesta cambia según la finalidad, los datos tratados, el proveedor, el sector, el impacto sobre personas y el grado de automatización. Pero sí sirve como punto de partida para pasar de usos dispersos a un circuito operativo y trazable.
Por qué una política de IA sin responsables se queda corta
Una política interna puede decir qué usos están permitidos, qué datos no deben introducirse o cuándo hace falta revisión humana. Pero, si no asigna responsables, suele quedarse en una declaración de buenas intenciones.
En la práctica aparecen preguntas muy concretas:
- ¿Quién autoriza que un departamento use una nueva herramienta de IA?
- ¿Quién comprueba si se tratan datos personales?
- ¿Quién revisa el contrato, los subencargados y las condiciones del proveedor?
- ¿Quién valida que los permisos de acceso no son excesivos?
- ¿Quién decide si un uso puede afectar a trabajadores, candidatos, clientes o usuarios?
- ¿Quién conserva evidencias de la evaluación realizada?
- ¿Quién revisa los resultados antes de usarlos?
- ¿Quién puede parar un uso si aparecen incidentes o dudas razonables?
Si estas decisiones no tienen dueño, cada área presupone que otra las ha revisado. Legal piensa que IT ha controlado permisos. IT piensa que negocio ha validado el caso de uso. Negocio piensa que compliance ha autorizado el riesgo. Y dirección solo ve el problema cuando ya hay una herramienta extendida, conectada a datos internos y sin documentación suficiente.
Por eso la matriz de responsabilidades debe conectarse con el [inventario de herramientas de IA](/inventario-herramientas-ia-empresa-ai-act-rgpd/), la [política interna de uso de ChatGPT y Copilot](/politica-interna-chatgpt-copilot-empresa/), la [evaluación de proveedores de IA](/evaluacion-proveedores-ia-rgpd-ai-act/) y el [registro de evidencias](/registro-evidencias-uso-ia-empresa/). No son piezas separadas: forman el mismo circuito.
Qué decisiones deben tener dueño
Antes de repartir funciones por departamentos, conviene identificar qué decisiones son críticas. La empresa no necesita un comité para cada prompt, pero sí responsables para los puntos en los que puede aparecer riesgo jurídico, técnico o reputacional.
Como mínimo, cada uso de IA debería tener dueño en estas decisiones:
- la finalidad del uso;
- la herramienta o proveedor elegido;
- los datos que se introducen o conectan;
- los permisos de acceso;
- la configuración de privacidad y seguridad;
- la revisión contractual y RGPD;
- la posible aplicación del AI Act u otras normas sectoriales;
- el nivel de revisión humana;
- las evidencias que se conservan;
- el canal de incidencias o dudas;
- la decisión de aprobar, limitar, escalar o bloquear el uso.
Esta lista evita un error habitual: revisar la IA solo desde la tecnología. Muchas herramientas parecen inocuas cuando se miran como software, pero cambian de perfil si se conectan a correo, CRM, expedientes, documentos de clientes, bases de conocimiento internas o procesos de recursos humanos.
También evita el error contrario: tratar cualquier IA como si tuviera el mismo riesgo. No es lo mismo resumir un documento público que usar un sistema para priorizar candidatos, evaluar rendimiento, clasificar clientes, detectar fraude o apoyar decisiones con efectos relevantes sobre personas.
Dirección: criterio de riesgo, recursos y prioridades
La dirección no tiene que revisar cada herramienta en detalle, pero sí debe fijar el marco de riesgo aceptable. Si la empresa quiere usar IA de forma seria, alguien con capacidad de decisión debe establecer prioridades, recursos y límites.
Sus responsabilidades mínimas deberían ser:
- aprobar la política general de uso de IA;
- decidir qué tipos de uso requieren revisión reforzada;
- asignar responsables internos por área;
- dotar recursos para formación, inventario y revisión de proveedores;
- resolver conflictos entre productividad, riesgo y cumplimiento;
- exigir evidencias proporcionadas, no meras declaraciones informales;
- impulsar revisiones periódicas cuando el uso de IA crezca.
Sin dirección, la gobernanza de IA se convierte en una tarea lateral de legal o IT. Eso suele fallar porque las decisiones reales se toman en compras, operaciones, marketing, ventas, recursos humanos o departamentos técnicos.
La dirección debería pedir una foto simple: qué herramientas se usan, para qué, con qué datos, por quién, con qué proveedor, con qué nivel de revisión humana y con qué evidencias. Esa foto es más valiosa que un documento largo que nadie aplica.
Legal y compliance: RGPD, AI Act, contratos y evidencias
Legal y compliance deben traducir el riesgo normativo a criterios operativos. No se trata de decir “sí” o “no” a la IA en abstracto, sino de revisar usos concretos.
Sus tareas principales son:
- identificar si hay datos personales y qué rol RGPD tiene cada parte;
- revisar base jurídica, información a interesados y contratos de encargo cuando proceda;
- comprobar transferencias internacionales, subencargados y garantías relevantes;
- valorar si el caso puede entrar en categorías especialmente sensibles o de mayor riesgo;
- revisar obligaciones de transparencia, información o supervisión cuando apliquen;
- definir qué evidencias debe conservar la empresa;
- preparar cláusulas, anexos o instrucciones internas para proveedores y empleados;
- escalar a dirección los usos con impacto relevante.
Desde agosto de 2026, el marco del AI Act ya no es una referencia futura en todos sus aspectos: la Comisión Europea ha comenzado a aplicar determinadas reglas y obligaciones de transparencia. Esto no significa que todos los usos empresariales tengan la misma carga, pero sí refuerza la necesidad de documentar finalidad, roles, proveedores, supervisión y evidencias.
En paralelo, el RGPD sigue siendo central cuando la IA trata datos personales. Una empresa puede tener un uso de IA que no sea de alto riesgo bajo el AI Act y, aun así, tenga obligaciones relevantes de privacidad, seguridad, información, minimización, limitación de finalidad o evaluación del proveedor.
Si la empresa necesita una revisión más completa, puede apoyarse en una [auditoría legal de IA](/auditoria-legal-ia-empresa-2/) o en asesoramiento específico sobre [AI Act compliance](/ai-act-compliance-zaragoza/) y [RGPD](/consultor-rgpd-zaragoza/).
IT y seguridad: accesos, integraciones, configuración y logs
IT y seguridad tienen una función clave porque muchos riesgos aparecen en la configuración, no en el contrato. Una herramienta puede parecer aceptable jurídicamente y, aun así, estar mal desplegada si accede a más datos de los necesarios o si no deja trazabilidad suficiente.
Sus responsabilidades mínimas son:
- revisar integraciones con correo, documentos, CRM, ERP, tickets o repositorios;
- aplicar mínimo privilegio en permisos y conectores;
- separar cuentas personales de cuentas profesionales;
- controlar autenticación, roles y grupos de usuarios;
- revisar opciones de retención, entrenamiento, auditoría y privacidad;
- conservar logs proporcionados cuando sean necesarios;
- validar medidas de seguridad del proveedor;
- preparar un procedimiento de baja o desconexión de la herramienta.
El punto crítico es que una IA integrada puede ampliar el efecto de permisos antiguos. Si un empleado tiene acceso a demasiadas carpetas, una herramienta conectada puede facilitar consultas sobre información que, formalmente, ya estaba mal expuesta. La IA no crea siempre el problema, pero puede hacerlo visible y más difícil de controlar.
Por eso conviene coordinar la matriz de responsabilidades con revisiones de permisos, clasificación de información y gobierno documental.
Negocio y departamentos: caso de uso, límites y validación funcional
El área de negocio conoce el proceso real. Legal e IT pueden revisar riesgos, pero normalmente no saben con detalle cómo se usará la herramienta en ventas, marketing, operaciones, atención al cliente, recursos humanos, administración o producción.
Cada departamento debería ser responsable de:
- describir el caso de uso concreto;
- justificar la necesidad de la herramienta;
- indicar qué datos necesita y cuáles no;
- definir qué decisiones no puede tomar la IA por sí sola;
- validar funcionalmente los resultados;
- informar de errores, sesgos, respuestas inventadas o usos desviados;
- nombrar una persona responsable del uso en su área.
Esta responsabilidad es importante porque muchos riesgos nacen después de la aprobación inicial. Una herramienta se autoriza para redactar borradores y termina evaluando clientes. Se prueba para resumir documentación interna y acaba conectada a expedientes sensibles. Se aprueba para productividad personal y después se usa en comunicaciones externas sin revisión.
La matriz debe obligar a que cada cambio relevante de uso vuelva al circuito de revisión.
Recursos humanos y formación: alfabetización y conducta interna
El AI Act incorpora obligaciones de alfabetización en IA para determinados actores, y más allá de la norma, la formación es una medida práctica de control. Si los empleados no entienden los límites, la política interna será difícil de aplicar.
Recursos humanos, formación o el área equivalente deberían encargarse de:
- organizar formación proporcional al uso real de IA;
- explicar qué datos no deben introducirse en herramientas no aprobadas;
- diferenciar usos personales, profesionales y corporativos;
- reforzar criterios sobre confidencialidad, propiedad intelectual y revisión humana;
- incorporar reglas de IA en onboarding y formación periódica;
- canalizar dudas frecuentes hacia legal, compliance o IT.
La formación no debe ser solo una sesión genérica sobre “qué es la IA”. Debe aterrizar ejemplos de la empresa: prompts con datos personales, documentos de clientes, conexión a carpetas internas, generación de respuestas para clientes, revisión de CV, análisis de empleados o automatizaciones que producen efectos sobre terceros.
Una matriz práctica: aprobar, limitar, escalar o bloquear
La matriz puede ser sencilla. Lo importante es que cada caso termine en una de cuatro decisiones: aprobar, limitar, escalar o bloquear.
Un esquema práctico sería:
- negocio propone el caso de uso y nombra responsable;
- IT revisa accesos, configuración, seguridad e integraciones;
- legal/compliance revisa datos personales, contrato, AI Act, RGPD y evidencias;
- dirección decide o valida los casos de mayor impacto;
- recursos humanos incorpora formación si afecta a empleados o uso generalizado;
- el responsable del área conserva la ficha y revisa el uso periódicamente.
La decisión puede ser:
- aprobar el uso si el riesgo es bajo y las medidas son suficientes;
- limitarlo si hace falta restringir datos, usuarios, funcionalidades o comunicaciones externas;
- escalarlo si puede afectar a derechos, trabajadores, clientes, decisiones relevantes o datos sensibles;
- bloquearlo si el proveedor, los permisos, la finalidad o la falta de supervisión hacen inviable el uso con garantías razonables.
Este enfoque evita dos extremos: aprobar herramientas por inercia o bloquear cualquier innovación por miedo. La clave es documentar por qué se permite un uso, bajo qué condiciones y con qué responsable.
Señales de alerta que obligan a revisar mejor
No todos los usos de IA requieren el mismo nivel de control. Pero hay señales que deberían activar una revisión reforzada antes de desplegar la herramienta.
Algunas de las más relevantes son:
- impacto sobre candidatos, empleados, clientes, pacientes, alumnos o usuarios vulnerables;
- tratamiento de categorías especiales de datos o información especialmente sensible;
- uso en selección de personal, evaluación, scoring, fraude, crédito o decisiones relevantes;
- conectores amplios a correo, documentos, CRM, expedientes o repositorios internos;
- proveedor opaco sobre datos, subencargados, retención o entrenamiento;
- ausencia de revisión humana real;
- resultados que se comunican a terceros como si fueran definitivos;
- imposibilidad de conservar evidencias de configuración, evaluación o decisión;
- uso de cuentas personales o herramientas gratuitas para información corporativa;
- cambios de finalidad después de la aprobación inicial.
Cuando aparezcan estas señales, la empresa debería parar y revisar. No necesariamente para prohibir el uso, sino para ajustar permisos, contrato, datos, finalidad, revisión humana y evidencias.
Cómo empezar en pequeño
La matriz de responsabilidades no tiene que nacer como un proyecto enorme. Para muchas empresas basta con una primera sesión de 60 a 90 minutos con dirección, legal o compliance, IT y dos o tres áreas usuarias.
El objetivo de esa sesión inicial puede ser muy concreto:
- listar las herramientas de IA ya utilizadas;
- identificar las que acceden a datos internos o personales;
- elegir tres casos de uso prioritarios;
- asignar responsable por herramienta y departamento;
- revisar proveedores críticos;
- definir qué usos quedan prohibidos o sujetos a autorización;
- crear una ficha mínima por cada uso;
- decidir qué evidencias se guardarán.
A partir de ahí, la empresa puede construir un circuito ligero:
- inventario vivo de herramientas;
- ficha de proveedor;
- ficha de caso de uso;
- matriz de responsables;
- registro de evidencias;
- formación mínima;
- revisión periódica.
Lo importante es empezar por lo que ya existe. Muchas empresas descubren que la IA ya está más extendida de lo que pensaban: extensiones del navegador, asistentes de reuniones, chatbots, generadores de texto, herramientas de análisis, copilotos, automatizaciones y funciones integradas en software que ya estaba contratado.
Conclusión: la IA necesita dueños claros, no solo normas internas
La gobernanza de IA no consiste en llenar carpetas de documentos. Consiste en saber quién decide, quién revisa, quién configura, quién usa, quién supervisa y quién responde si algo falla.
Una matriz de responsabilidades permite que la empresa avance con más orden: conecta inventario, proveedores, RGPD, AI Act, seguridad, formación, revisión humana y evidencias. También reduce el riesgo de que legal, IT y negocio se pasen el problema unos a otros cuando ya es tarde.
Si tu empresa ya utiliza IA en varios departamentos y no está claro quién aprueba herramientas, quién revisa proveedores o qué evidencias quedan, conviene preparar una matriz sencilla antes de que el uso crezca sin mapa.
Puedes solicitar una [revisión inicial](/contacto/) o plantear una [auditoría legal de IA](/auditoria-legal-ia-empresa-2/) para ordenar inventario, responsabilidades, proveedores, evidencias y uso seguro de herramientas como ChatGPT, Copilot o asistentes internos.