Comité de IA en la empresa: qué es, quién debe estar y cómo montarlo en una pyme (con política de uso)

Actualizado: octubre de 2026 · Por el equipo de Intelixia Lab

Un comité de IA sirve para decidir esas cosas a propósito. En una pyme bastan tres o cuatro personas, una reunión al trimestre y unas pocas reglas escritas.

Qué es un comité de IA (y qué no es)

Es un pequeño grupo interno que decide qué herramientas y usos de IA se permiten, vigila que se cumplan la ley y la política interna y deja constancia de lo decidido. No es un departamento nuevo ni ocupa más de unas horas al trimestre.

Sus funciones habituales son:

• mantener el inventario de herramientas y usos de IA;
• aprobar o rechazar nuevas herramientas o nuevos usos;
• revisar la política de uso de IA;
• organizar la formación del equipo y su registro;
• revisar la transparencia con clientes (chatbots, contenidos generados);
• atender incidentes: un error grave de la IA, una fuga de datos, una queja;
• seguir los cambios normativos.

¿Es obligatorio tener un comité de IA?

No. El Reglamento Europeo de IA (Reglamento (UE) 2024/1689) no obliga a una pyme a crear un comité ni a nombrar un «responsable de IA». La propia Comisión Europea lo dice en sus preguntas y respuestas sobre alfabetización: no se exige una estructura de gobernanza específica para cumplir el art. 4.

Pero el Reglamento sí te pide cosas que alguien tiene que organizar:

• Alfabetización (art. 4), aplicable desde el 2/2/2025. Desde el Ómnibus digital (en vigor desde el 27/7/2026), consiste en adoptar medidas para apoyar la formación en IA de quienes usan estos sistemas. No hay un nivel mínimo ni un certificado obligatorio, pero sí conviene un registro interno.
• Transparencia (art. 50), aplicable desde el 2/8/2026: avisar de que un chatbot o un asistente de voz es una IA y etiquetar los deepfakes, entre otras cosas.
• No usar prácticas prohibidas (art. 5), como inferir las emociones de los empleados en el trabajo.
• Alto riesgo (art. 26), aplicable desde el 2/12/2027 tras el aplazamiento del Ómnibus. Si usas IA para seleccionar personal, evaluar el rendimiento o valorar la solvencia de clientes, tendrás que asignar supervisión humana a personas con «la competencia, la formación y la autoridad necesarias», guardar los registros automáticos al menos seis meses e informar a los trabajadores afectados y a sus representantes.

Además, el art. 64.4.d) del Estatuto de los Trabajadores ya obliga a informar al comité de empresa de los parámetros y reglas de los algoritmos o sistemas de IA que afecten a las condiciones de trabajo o al acceso al empleo.

En resumen: el comité no es obligatorio, pero es la forma más sencilla de que estas obligaciones no se queden sin dueño.

Quién debe estar en el comité de una pyme

No hay una composición oficial. Lo razonable en una empresa de entre 5 y 100 personas es lo siguiente:

Dos consejos: que no sea solo cosa del «friki de la tecnología», porque las decisiones sobre IA son de negocio, datos y personas; y que sean pocas personas con autoridad, porque un comité que no puede decir «esto no se usa» no sirve.

Cómo montarlo en 6 pasos

1. Acta de constitución (una página)

Recoge el objetivo, los miembros y sus roles, la periodicidad, cómo se toman las decisiones (por ejemplo, la dirección decide tras escuchar al comité) y dónde se guarda la documentación.

2. Inventario inicial

Antes de la primera reunión, haz una lista de herramientas y usos de IA: quién usa qué, para qué, con qué datos y con qué tipo de cuenta. Si quieres hacerlo a fondo, sigue los pasos de nuestra guía de auditoría de IA en la empresa.

3. Clasificación y prioridades

Marca cada uso según su riesgo:

• prohibido;
• posible alto riesgo (personal, solvencia);
• transparencia (chatbots, deepfakes);
• mínimo.

Los dos primeros grupos van al principio del orden del día.

4. Política de uso de IA

Es el documento central del comité. Más abajo tienes el índice que recomendamos.

5. Plan de formación con registro

Decide qué formación necesita cada perfil y anota quién la ha recibido y cuándo. Tienes más detalle en nuestra guía sobre el curso de alfabetización en IA para empresas.

6. Calendario y actas

Una reunión trimestral basta para la mayoría de las pymes. Cada reunión se cierra con un acta breve: qué se revisó, qué se decidió y quién hace qué.

Orden del día tipo (60 minutos)

1. Novedades normativas del trimestre (10 min).
2. Cambios en el inventario: altas, bajas y peticiones de nuevas herramientas (15 min).
3. Incidentes o dudas del equipo (10 min).
4. Estado de la formación y del registro (10 min).
5. Revisión de la transparencia con clientes (5 min).
6. Decisiones y tareas (10 min).

Política de uso de IA: qué debe incluir

Como referencia, la AEPD publicó en noviembre de 2025 su política interna de IA generativa, con gobernanza, supervisión humana y casos de uso. Para una pyme recomendamos este índice:

1. Objeto y alcance. A quién aplica (plantilla, colaboradores externos) y qué se entiende por herramienta de IA.
2. Responsables. El comité, la persona coordinadora y a quién preguntar.
3. Herramientas autorizadas. Lista con el tipo de cuenta (de empresa, no personal) y para qué se puede usar cada una. Lo que no está en la lista, se pide antes de usarlo.
4. Usos permitidos, condicionados y prohibidos.
   • Permitidos: redactar borradores o resumir documentos internos sin datos personales.
   • Condicionados (necesitan aprobación): cualquier uso con datos de clientes, IA aplicada a personas.
   • Prohibidos: los del art. 5 del Reglamento, como inferir emociones de empleados.
5. Datos. Qué no se introduce nunca: datos personales de clientes o empleados, datos de salud, información confidencial o secretos comerciales. Es la línea que recomienda el decálogo de la AEPD de enero de 2026.
6. Revisión humana. Nada generado con IA se envía a clientes ni se publica sin que una persona lo revise y asuma la responsabilidad. Hay que verificar cifras, nombres y citas porque la IA se equivoca.
7. Transparencia. Aviso en chatbots y asistentes de voz desde el primer contacto, etiquetado de imágenes, audio o vídeo realistas generados o manipulados, y criterio para los textos publicados (art. 50).
8. IA aplicada a personas. Antes de usar IA en selección, evaluación o crédito, hay que pasar por el comité, revisar el RGPD, preparar el cumplimiento de 2027 e informar al comité de empresa si procede.
9. Formación. Formación inicial y de acogida, actualizaciones y registro.
10. Incidentes. Qué se considera incidente (fuga de datos, error con impacto en un cliente, contenido inapropiado), a quién avisar y cómo suspender el uso.
11. Revisión. Fecha de la próxima revisión y control de versiones.

Tienes una plantilla completa para adaptar en nuestra guía de política de uso de IA para empresas.

Añade una versión de una página para el equipo y pide acuse de lectura.

Si quieres ir más allá: ISO/IEC 42001 y el AI Pact

• ISO/IEC 42001:2023 es la norma internacional de sistemas de gestión de la IA, para organizaciones de cualquier tamaño. En una pyme sirve más como referencia que como objetivo de certificación.
• El AI Pact de la Comisión es voluntario y no vinculante. Sus compromisos básicos (estrategia de gobernanza, identificar sistemas de posible alto riesgo y promover la alfabetización) coinciden con lo que hace un buen comité.

Errores habituales

• Prohibir la IA «por si acaso»: el equipo la usará igual, con cuentas personales.
• Copiar la política de una multinacional: si nadie la entiende, nadie la cumple.
• No dejar rastro: sin actas ni registros no puedes demostrar nada.
• Esperar a 2027: la formación y la transparencia ya aplican.

Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744, FAQ de alfabetización de la Comisión Europea, política interna de IA generativa y decálogo de la AEPD, ISO/IEC 42001:2023 y art. 64.4.d) del Estatuto de los Trabajadores. Revisado el 06/10/2026. No es asesoramiento jurídico.

Preguntas frecuentes