AI Officer (responsable de IA): rol, funciones y anclaje en la empresa

Un responsable de IA (AI Officer, también llamado a veces encargado de IA o AIMS Manager) es la persona que responde de forma operativa del sistema de gestión de IA (SGIA) según la ISO/IEC 42001 y lo dirige. La ISO/IEC 42001 no impone este título, pero en el apartado 5.3 exige la asignación explícita de roles, responsabilidades y líneas de reporte relevantes para la IA. Por eso, en la práctica casi siempre se crea un rol que lo agrupa todo, ya que un sistema de gestión necesita una persona responsable de principio a fin.

• Qué es: Rol central de dirección del sistema de gestión de IA: inventario, riesgo, cumplimiento, competencia.
• ¿Obligatorio? No hay un título prescrito, pero asignar responsabilidades de IA es obligatorio según la ISO 42001, apartado 5.3.
• Delimitación: No es lo mismo que el delegado de protección de datos. Los roles se solapan en la evaluación de impacto, pero no se sustituyen.

Por qué hace falta este rol

La ISO/IEC 42001:2023 es la primera norma certificable de sistemas de gestión para la inteligencia artificial. Sigue la estructura del Anexo SL (como la ISO 27001 o la ISO 9001) y en el apartado 5.3 exige expresamente que la alta dirección asigne los roles y las líneas de reporte relevantes para la IA. La norma evita a propósito un título fijo. Por eso, en las pymes de la región DACH la función suele combinarse con la de CISO o la de delegado de protección de datos, y en los grandes grupos a menudo con la de CISO o CDO, siempre con un anclaje explícito ante la dirección general o un comité de IA del consejo de administración.

La razón práctica para un rol claramente designado: en una auditoría ISO 42001, los auditores entrevistan al AI Officer como la persona con conocimiento integral del SGIA, junto a la alta dirección, los responsables de sistemas o de agentes, los data stewards, el CISO, el DPD y el departamento de compras. Sin un rol así, la responsabilidad se diluye y las no conformidades típicas de auditoría (inventario de IA desactualizado, Declaración de aplicabilidad sin mantener, falta de evidencias de competencia) aparecen casi de forma inevitable.

Las funciones clave del responsable de IA

Las funciones del AI Officer se derivan directamente de los apartados normativos y de los controles del Anexo A de la ISO 42001. La siguiente tabla asigna cada función a su referencia normativa.

La experiencia muestra que tres funciones son los puntos débiles más frecuentes en las auditorías: el inventario de IA (a menudo los agentes nuevos no están registrados), la evaluación de impacto (demasiado superficial, sobre todo en agentes de cara al cliente o de RR. HH. y crédito) y las evidencias de competencia según el apartado 7.2, especialmente en la alfabetización en IA más allá de los equipos técnicos.

Alfabetización en IA: la obligación subestimada

El apartado 7.2 (competencia) exige evidencias documentadas de competencia para todas las personas con funciones relevantes para la IA, y el apartado 7.3, la concienciación correspondiente. Lo refuerza el art. 4 del Reglamento de IA de la UE: desde el 2 de febrero de 2025, los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas que fomenten la alfabetización en IA de su personal y de otras personas que trabajen con sistemas de IA en su nombre. Desde el Reglamento Ómnibus Digital (UE) 2026/1744, en vigor desde el 27 de julio de 2026, el art. 4 ya no prescribe un nivel de competencia concreto. La obligación de adoptar medidas se mantiene. Una organización certificada según la ISO 42001, o que quiera estarlo, necesita de todos modos las evidencias del apartado 7.2. En la norma, el art. 4 se refleja en los apartados 7.2 (competencia) y 7.3 (concienciación). Aquí el responsable de IA es el motor: define el plan de formación, gestiona las evidencias y se asegura de que desarrolladores, revisores y usuarios de outputs de IA estén formados.

Delimitación frente al delegado de protección de datos

La confusión más frecuente en la región DACH afecta a la relación con el delegado de protección de datos. Ambos roles tienen funciones propias y no coinciden.

La intersección está en la evaluación de impacto: si es probable que el tratamiento de datos personales por un sistema de IA entrañe un alto riesgo para los derechos y libertades de las personas físicas (art. 35, apdo. 1, del RGPD), se necesita además una evaluación de impacto relativa a la protección de datos. Para los responsables del despliegue conviene una única plantilla bien estructurada para la evaluación de impacto del sistema de IA (AISIA) que active subapartados específicos de EIPD y FRIA cuando sean aplicables. Sin embargo, este enfoque requiere el visto bueno jurídico, porque la EIPD tiene su propio catálogo de contenidos (art. 35, apdo. 7, del RGPD) y la evaluación de impacto relativa a los derechos fundamentales (FRIA, art. 27 del Reglamento de IA de la UE) tiene el suyo. En las pymes se admite que una misma persona sea responsable de IA y DPD, siempre que no surjan conflictos de intereses y se preserve la independencia de la función de auditoría interna (apartado 9.2).

Cualificación y anclaje organizativo

La idoneidad profesional se deriva del apartado 7.2: comprensión de los requisitos de la ISO 42001, alfabetización técnica en IA, metodología de auditoría (con la ISO 19011 como referencia) y conocimiento del marco regulatorio. La norma no exige una certificación concreta, pero sí competencia documentada.

En cuanto al anclaje organizativo, en la práctica se observan dos patrones típicos:

• Pymes de la región DACH (500-2.000 empleados): el rol de AI Officer suele combinarse con el de CISO o el de responsable del SGSI según ISO 27001, se apoya mucho en la infraestructura existente (seguridad informática, programa de RGPD, gestión de proveedores) y trabaja con una política ligera más cinco a siete procedimientos de apoyo.
• Grandes grupos de la región DACH (a partir de 2.000 empleados): el rol de AI Officer suele combinarse con el de CISO o CDO, pero con una línea de reporte explícita a un comité de IA del consejo de administración. El registro de riesgos de IA se integra en la gestión de riesgos corporativos.

El anclaje normativo en sí está en el Anexo A.3.2 (asignación de roles y responsabilidades, segregación de funciones) y en el A.3.3 (canal de notificación de inquietudes éticas relacionadas con la IA). Por tanto, el AI Officer es también el punto de contacto para las denuncias internas (whistleblowing) sobre temas de IA.

Cuándo se vuelve necesario el rol

La ISO 42001 se aplica a toda organización que desarrolle, proporcione o utilice IA. En la práctica, un responsable de IA se vuelve necesario en cuanto:

• hay varios casos de uso de IA en producción (en las pymes, típicamente 3-10 casos de uso activos),
• la IA influye en decisiones que afectan a personas o que son críticas para el negocio (los agentes de cara al cliente, de RR. HH., de crédito o de asignación activan evaluaciones de impacto y obligaciones de registro según A.6.2.8),
• los clientes o las RFP exigen una gobernanza de IA auditable (los clientes del DAX, el SMI o el ATX piden cada vez más la ISO 42001 en sus licitaciones),
• o se busca la certificación ISO 42001.

Caso práctico: el responsable de IA en una empresa de 800 personas que despliega IA

Una pyme de la región DACH con unos 800 empleados opera cinco agentes de IA: atención al cliente, asistente de conocimiento, copiloto de ventas, búsqueda interna y un agente de documentos de RR. HH. La dirección general nombra al CISO actual también responsable de IA. Su primer proyecto es el inventario de IA (A.4.2), que recoge por cada agente la finalidad, la persona responsable, el modelo y la clase de riesgo. Se fijan tres objetivos de IA medibles (apartado 6.2):

```
Cobertura: 100 % de los agentes en producción registrados y
clasificados por riesgo en 14 días tras el go-live
Competencia: 100 % de acreditación de la formación anual en
alfabetización en IA (apartado 7.2 + art. 4 Reglamento de IA)
Transparencia: 100 % de los agentes de alto riesgo con model card
actualizada y aviso de uso antes del T3
```

Con un presupuesto total de unos 100.000 EUR (datos de 2026, típico para una pyme que despliega IA, en una horquilla de 50.000-150.000 EUR), la mayor parte se destina a la creación de políticas y procesos y a la implantación operativa del Anexo A; las tasas de auditoría externa suponen alrededor del 15 por ciento. El plazo hasta obtener el certificado es de 9-12 meses. El responsable de IA coordina al DPD (evaluación de impacto), al responsable de MLOps (logging) y al departamento de compras (due diligence de proveedores).

Nota legal

Este artículo sirve como orientación profesional y no constituye asesoramiento jurídico. Las obligaciones concretas, por ejemplo sobre los contenidos de la EIPD según el art. 35 del RGPD, sobre la FRIA según el art. 27 del Reglamento de IA de la UE o sobre la acumulación de roles en una misma persona, deben aclararse en cada caso con expertos cualificados en derecho y protección de datos.

Para agencias y responsables de decisiones B2B

Si como agencia operas flujos de trabajo de IA para clientes o como empresa B2B tienes varios agentes en producción, deberías designar pronto el rol de responsable de IA, aunque no tengas intención inmediata de certificarte. Un inventario de IA bien mantenido, una clasificación de riesgos clara y una alfabetización en IA documentada son la base para superar las RFP de grandes clientes corporativos, porque el certificado ISO 42001 sustituye cada vez más partes de los cuestionarios de proveedores. Blck Alpaca ayuda a empresas de toda Europa con la integración de agentes de IA y con la creación de una gobernanza de IA auditable, desde la definición de roles y el inventario de IA hasta la preparación para la ISO 42001.