Guía de método
Gobernanza de IA para pymes: la Ruta en 30 días
De no saber qué IA usas a poder demostrarlo. Siete pasos, un documento por paso.
¿Por dónde empiezo?Qué es la Ruta
La Ruta es un método de trabajo para que una pyme gobierne la IA que utiliza. No explica la norma: la norma está en la guía del AI Act. Tampoco es la herramienta: la herramienta está en las funcionalidades. La Ruta es el cómo, en orden: qué haces primero, qué decides después y qué documento queda al terminar cada paso.
El orden no es casual. Sin un responsable no hay quien decida; sin inventario no sabes a qué sistemas se aplica nada; sin el rol de tu organización en cada sistema no sabes qué obligaciones son tuyas y cuáles del proveedor; y sin clasificación no sabes cuánto trabajo pide cada uno. Las políticas, la formación y las evidencias se apoyan en todo lo anterior.
Los 30 días son el plan de trabajo, no un plazo legal. Están pensados para una pyme que dedica unas horas a la semana, con los pasos solapados donde se puede: mientras esperas la documentación de un proveedor, redactas la política. Las obligaciones tienen sus propias fechas, y cada capítulo dice cuál es la suya.
Si prefieres leerla por semanas, aquí tienes la misma Ruta contada semana a semana.
Para quién es
- Pymes que usan IA de terceros: un asistente de redacción, un chatbot en la web, un software de gestión que trae funciones de IA.
- Quien ha recibido de un cliente grande un cuestionario sobre el uso de IA y necesita responderlo con documentos, no con intenciones.
- La persona a la que le ha tocado responder de la IA sin un equipo legal detrás.
- Empresas que parten de cero y quieren un orden claro antes de comprar nada.
Para quién no es
- Quien desarrolla y comercializa sistemas de IA de alto riesgo: las obligaciones del proveedor son otras, y esta guía no las cubre.
- Quien busca un sello que diga que su empresa está en regla. La Ruta produce documentos fechados y revisables, no sellos.
- Quien necesita una opinión jurídica sobre un caso concreto. La guía ordena el trabajo; no sustituye al asesoramiento.
Qué tendrás al acabar
Un nombre por escrito y siete documentos, cada uno con su fecha y su autor. Juntos son lo que puedes enseñar cuando alguien pregunta cómo gobiernas la IA.
- Paso 0, de arranque · Un nombre por escrito: quién responde de la IA en tu empresa, con su alcance, su suplente y a quién informa.
- Paso 1 · El inventario de sistemas de IA, en su primera versión.
- Paso 2 · El rol de tu organización en cada sistema, con el criterio escrito.
- Paso 3 · El registro de clasificación: nivel, criterio, fecha y autor de cada decisión.
- Paso 4 · Un expediente por proveedor, con el cuestionario y la documentación recibida.
- Paso 5 · La política de uso de IA, aprobada y comunicada, con los acuses de lectura.
- Paso 6 · El registro de medidas de alfabetización en IA del Art. 4.
- Paso 7 · El expediente de evidencias y un informe de estado que lo resume.
La Ruta, de un vistazo
El paso 0 y los siete pasos
Empieza por el paso 0, de arranque, y sigue el orden. Cada capítulo explica qué es el paso, por qué existe, cómo se hace en tres acciones, el error típico y qué documento te llevas.
- Paso 0Quién se responsabilizaUna persona con nombre, alcance y suplente, designada por escrito.Tiempo estimado: 1–2 horas · días 1–2
- Paso 1El inventarioToda la IA que se usa en la empresa, también la que llegó sin contrato.Tiempo estimado: Primera versión en una semana · días 1–10
- Paso 2El rol por sistemaProveedor o responsable del despliegue, decidido sistema a sistema.Tiempo estimado: Un día · días 8–12
- Paso 3Clasificar el riesgoCada sistema en su nivel, con el criterio, la fecha y el autor.Tiempo estimado: Dos o tres días · días 10–15
- Paso 4Los proveedoresQué pides a cada proveedor, cuándo lo pides y dónde lo archivas.Tiempo estimado: Una semana, casi toda de espera · días 13–22
- Paso 5La política de usoReglas claras sobre qué se puede hacer con la IA, comunicadas y con acuse.Tiempo estimado: Dos o tres días · días 16–22
- Paso 6La alfabetizaciónLas medidas de alfabetización en IA del Art. 4, documentadas.Tiempo estimado: Una semana · días 20–27
- Paso 7Las evidenciasTodo lo anterior, ordenado y fechado para poder enseñarlo.Tiempo estimado: Dos o tres días, y después continuo · días 25–30
¿En qué paso estás?
Unas preguntas breves sobre cómo usa la IA tu empresa y qué tienes documentado. Al terminar sabes por qué paso empezar y qué puedes saltarte porque lo tienes hecho.
Llévatela en PDF
La Ruta completa en un solo documento, con el paso 0 de arranque, los siete pasos y la plantilla de cada uno, para trabajarla sin conexión o compartirla con quien tenga que ayudarte.
Descargar la Ruta en PDFRecíbela por correo
Un paso por correo, en el orden de la Ruta, para avanzar sin tener que acordarte de volver.
Recibe la Ruta por correo
Siete correos, uno por paso, en el orden de la guía. Cada uno resume su capítulo y enlaza la plantilla.
Preguntas frecuentes
¿Los 30 días son un plazo legal?
No. Son el plan de trabajo de la guía, pensado para una pyme que dedica unas horas a la semana. Las obligaciones del Reglamento (UE) 2024/1689 tienen sus propias fechas, que están en el calendario del AI Act; la Ruta te ordena el trabajo para llegar a ellas con los documentos hechos.
¿Qué parte de la Ruta es obligación legal y qué parte no?
Cada capítulo lo dice en su apartado «Por qué», con su naturaleza en palabras. Dos ejemplos de los extremos: el Art. 4 obliga desde el 2 de febrero de 2025 a adoptar medidas de alfabetización en IA del personal y, en su redacción vigente desde el 27 de julio de 2026, es una obligación de medios, no de resultado; el responsable de IA del paso 0, en cambio, es un control interno metodológico, porque el Reglamento no exige designarlo.
¿Necesito una herramienta para seguirla?
No. La Ruta se puede seguir con documentos y una hoja de cálculo, y cada paso trae su plantilla. Lo que cambia con una herramienta es el mantenimiento: que el inventario, las decisiones y las evidencias sigan conectados cuando algo cambia, con su fecha y su autor.
¿Y si uno de mis sistemas es de alto riesgo?
La Ruta es la base, no el final. Las obligaciones del responsable del despliegue del Art. 26 aplican desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no les alcanza. La evaluación de impacto relativa a los derechos fundamentales llega desde el 2 de diciembre de 2027 si tu organización entra en el perímetro del Art. 27.1. Por otra vía, la evaluación de impacto relativa a la protección de datos (Art. 35 del RGPD) se exige cuando el tratamiento lo requiere, sea cual sea la clasificación del sistema. Son instrumentos independientes.
¿En qué se diferencia del artículo sobre los primeros 30 días?
Es el mismo método contado de otra forma. El artículo lo cuenta semana a semana; la guía lo ordena por pasos, con un capítulo para cada uno y el documento que produce.
La norma, en detalle
La Ruta remite a los artículos cuando hace falta, pero no los explica uno a uno. Para eso está la guía del AI Act: qué es, a quién se aplica, los niveles de riesgo y las fechas.
Leer la guía del AI Act