La pregunta más frecuente de quien decide tomarse en serio la gobernanza de IA no es «¿qué exige la ley?» — es «¿por dónde empiezo?». Y las respuestas que circulan suelen fallar por los dos extremos: el proyecto transformacional de doce meses que nunca arranca, o el checklist de una tarde que no resiste la primera pregunta seria. La verdad operativa está en medio: un mes bien secuenciado deja a una pyme con los cimientos puestos y evidencia real en la mano. Esta es la hoja de ruta, semana a semana, sin promesas de llegada — con promesa de método.
Semana 1 — Saber qué tienes
Todo empieza donde llevamos meses insistiendo: el inventario. Reúne a los responsables de área una hora y haz la pregunta incómoda: ¿qué herramientas con IA usa cada equipo — incluidas las que nadie autorizó formalmente? El módulo que se activó con la última actualización del CRM, el asistente que alguien usa por su cuenta, el chatbot del software de citas. Para cada sistema, la ficha mínima: qué hace, quién lo usa, qué datos toca, quién es el proveedor.
Cierra la semana con una foto de situación honesta. Si quieres un atajo estructurado para esa primera foto, el diagnóstico gratuito te la da en unos minutos: qué obligaciones te aplican según lo que ya usas. La foto no es la evidencia — pero te dice dónde mirar primero.
Semana 2 — Saber qué te exige cada cosa
Con la lista delante, clasifica. No hace falta doctorado: la mayoría de sistemas de una pyme caen con claridad en riesgo mínimo (ofimática asistida, forecasting, herramientas internas), unos pocos activan transparencia (todo lo que conversa con clientes o genera contenido), y la señal de alarma es siempre la misma: sistemas que evalúan o deciden sobre personas — candidatos, empleados, clientes. Esos son los que piden rigor inmediato: evaluación de impacto de datos, garantías de intervención humana, y su casilla en el calendario de alto riesgo.
El entregable de la semana no es la clasificación a secas: es la clasificación con su porqué escrito. «Este sistema es X porque hace Y» — una frase por sistema. Es la diferencia entre una opinión y una evidencia.
Semana 3 — Poner reglas y formar (con registro)
Dos piezas que se hacen juntas porque se alimentan mutuamente. La política de uso de IA: una o dos páginas con lo que importa — qué sistemas están autorizados, qué está prohibido (empezando por pegar datos confidenciales en herramientas no evaluadas), qué hacer ante un resultado anómalo, cómo se incorpora una herramienta nueva. Y la formación del Art. 4, que no exige comprar nada: un recurso base gratuito más una sesión interna sobre vuestros sistemas y vuestra política recién escrita. Todo con registro: quién, qué, cuándo. La formación sin registro, a efectos de diligencia, no existe.
Semana 4 — Transparencia y primeras evidencias
La última semana convierte lo construido en cumplimiento visible: verificación del aviso del chatbot (con su reparto de papeles), criterio de etiquetado del contenido generado, flujo editorial para el texto publicado, y las diez preguntas de due diligence enviadas a tus dos o tres proveedores principales. Y el gesto final que lo ordena todo: una carpeta de evidencia —física o digital, da igual— donde vive cada registro generado este mes, con fecha.
El día 31
Seamos honestos con lo que tienes al acabar: no «cumplimiento total» — esa expresión no significa nada y quien la prometa te está vendiendo humo. Tienes algo mejor y real: inventario vivo, clasificación razonada, política operativa, formación registrada, transparencia verificada y una carpeta que lo demuestra. Es decir: la capacidad de responder con solvencia a cualquiera que pregunte, y los cimientos sobre los que todo lo demás —las evaluaciones profundas, el alto riesgo cuando llegue su calendario, los agentes cuando entren— se construye sin empezar de cero.
El día 31 la gobernanza no está terminada; está en marcha y bajo control, que es el único estado en el que la gobernanza existe de verdad. Y alguien la coordina con nombre y encargo — porque el mes que viene habrá una herramienta nueva, un proveedor que cambia de modelo y una fecha regulatoria más cerca. Método sobre heroísmo. Siempre.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.