El AI Office ya no es decoración institucional: así convierte el AI Act en supervisión real

Durante meses, una parte del mercado trató el AI Act como si fuera un problema de papel: otra norma europea, otra tanda de guías, otro comité. Esa lectura ya se ha quedado vieja. El European AI Office, alojado dentro de la Comisión Europea y presentado por Bruselas como la base de un sistema único de gobernanza de IA, es el detalle que cambia el guion. No porque tenga un nombre especialmente inspirador —no lo tiene—, sino porque convierte una ley en capacidad administrativa real: personal, estructura, funciones, coordinación con Estados miembros y, sobre todo, facultades para vigilar modelos de propósito general y empujar medidas correctoras.

La propia Comisión lo dice sin demasiados rodeos en su página oficial: el AI Office desempeña un papel clave en la aplicación del AI Act, especialmente en general-purpose AI, y lo hace apoyándose en las competencias que el reglamento da a la Comisión para evaluar modelos, requerir información a sus proveedores y aplicar sanciones. Traducido al idioma que entiende cualquier consejo de administración: ya no hablamos solo de principios sobre IA fiable; hablamos de supervisión, expedientes y obligaciones documentables.

Eso importa mucho más de lo que parece para banca, seguros, pagos, infraestructuras de mercado y fintech. No solo para quienes desarrollan IA. También para quienes la compran, la integran, la afinan, la despliegan en procesos críticos o la consumen a través de terceros. Si tu entidad usa modelos fundacionales en onboarding, scoring, prevención de fraude, atención al cliente, monitorización AML o gestión documental, el AI Office te afecta aunque no hayas entrenado ni una línea de modelo propia.

La tesis de esta pieza es simple: el AI Office es el mecanismo que faltaba para que el AI Act deje de ser una promesa regulatoria y empiece a comportarse como un régimen supervisor con dientes. Y ese cambio obliga a revisar gobernanza, due diligence de GPAI, contratos con proveedores, inventarios de uso y controles de resiliencia. Quien siga tratando la IA como si fuese solo una compra de software va con un año de retraso.

Tesis editorial

Mi posición es clara: el AI Office es, probablemente, la pieza institucional más subestimada del paquete regulatorio digital europeo en 2026. Mucho más que un escaparate político, es el punto donde se concentran tres vectores que hasta ahora muchas empresas analizaban por separado: cumplimiento normativo, seguridad técnica y poder supervisor.

La razón es bastante mundana, casi aburrida, y precisamente por eso conviene mirarla de frente. Las leyes no supervisan solas. Necesitan gente, metodología, capacidad para pedir datos, criterio para clasificar riesgos y músculo para coordinarse con autoridades nacionales. El AI Office ya cuenta con más de 125 profesionales y una estructura de seis unidades: excelencia en IA y robótica, regulación y cumplimiento, seguridad de IA, innovación y coordinación política, IA para el bien social e IA en salud y ciencias de la vida, además de un asesor científico principal y un asesor de asuntos internacionales. No es un detalle cosmético. Es infraestructura regulatoria.

Hay aquí una ironía que merece subrayarse. Durante años, parte del sector tecnológico insistió en que Europa regulaba demasiado y ejecutaba poco. Ahora que Bruselas empieza a montar capacidad de ejecución, el mismo sector descubre que prefería los PowerPoint al supervisor. Mala suerte.

Para las entidades reguladas, el mensaje es incómodo pero útil: la gestión de riesgo de IA ya no puede quedarse en principios éticos, comités difusos o políticas genéricas redactadas con la solemnidad de una nota de prensa. Necesita trazabilidad, roles, evidencias, cláusulas contractuales y capacidad para demostrar por qué un caso de uso concreto no te expone a incumplimientos del AI Act, de GDPR, de DORA o de NIS2.

Qué hace exactamente el AI Office y por qué eso cambia el tablero

La página oficial de la Comisión resume tres grandes frentes de trabajo. El primero es el núcleo duro: apoyar la aplicación del AI Act y hacer cumplir las normas sobre GPAI. Ahí entran tareas concretas que no deberían pasar desapercibidas: contribuir a la aplicación coherente del reglamento en los Estados miembros, desarrollar herramientas y metodologías para evaluar capacidades y alcance de los modelos de propósito general, clasificar modelos con riesgos sistémicos, redactar códigos de buenas prácticas, preparar directrices y actos de ejecución o delegados, y, cuando toque, investigar posibles infracciones y requerir acciones correctoras.

El segundo frente busca fomentar el desarrollo y uso de IA fiable mediante sandboxes, pruebas en entorno real y apoyo a ecosistemas de innovación. El tercero es la cooperación internacional, con un objetivo obvio: evitar que la UE regule sola mientras el mercado y los estándares se deciden fuera.

Hasta aquí, un lector escéptico podría decir: de acuerdo, suena relevante, pero sigue siendo institucional. Lo que de verdad cambia el tablero está en la combinación de cuatro elementos.

Primero, la especialización en GPAI. El AI Act reserva un protagonismo singular para los modelos de propósito general porque son la capa base sobre la que luego se montan cientos de sistemas sectoriales. Si el regulador puede pedir información al proveedor del modelo, evaluar capacidades y exigir medidas correctoras, el control se desplaza aguas arriba. Eso reduce el espacio para el clásico juego de pasarse la responsabilidad entre quien desarrolla, quien integra y quien despliega.

Segundo, la función metodológica. No basta con que una norma diga “evalúe usted el riesgo sistémico” si nadie concreta cómo medir capacidades, alcance, impactos o salvaguardas. El AI Office se sitúa justo en esa zona gris: definir herramientas, benchmarks y criterios que, con el tiempo, acabarán convirtiéndose en estándar de facto para el mercado. La historia regulatoria europea está llena de ejemplos así. La guía, al principio, parece una recomendación. Un año después, es la referencia que usa el supervisor para preguntar por qué tu enfoque era distinto.

Tercero, la coordinación paneuropea. El AI Act no vive solo en Bruselas; convivirá con autoridades nacionales, organismos notificados, el AI Board y otros foros. El AI Office actúa como bisagra. Y cuando una bisagra funciona bien, el resultado no es burocracia duplicada, sino expectativas supervisoras más homogéneas. Para las empresas eso tiene una consecuencia muy concreta: se reduce la capacidad de arbitraje regulatorio interno dentro de la UE.

Cuarto, la señal política. La Comisión no ha montado una oficina con más de 125 personas para publicar folletos. La ha montado porque sabe que la parte más conflictiva del AI Act no es la teoría del riesgo, sino la vigilancia de un mercado dominado por un puñado de proveedores globales y una masa de implementadores europeos que dependen de ellos.

La pieza que muchos pasan por alto: el control sobre GPAI

Si uno quiere entender por qué el AI Office importa, conviene dejar de pensar en el AI Act solo como una norma sobre “sistemas de alto riesgo” y fijarse en el bloque de general-purpose AI. Ahí está una de las novedades institucionales más serias del reglamento.

El AI Office no solo acompaña. También ayuda a hacer cumplir las reglas aplicables a proveedores de modelos GPAI y a identificar aquellos con riesgo sistémico. Esa distinción es crucial. Un modelo fundacional no necesita estar integrado en una función bancaria crítica para generar obligaciones regulatorias aguas abajo. Basta con que sus capacidades, su escala o su integración transversal lo conviertan en un punto de concentración de riesgo.

Para una entidad financiera, esto rompe una comodidad habitual: la idea de que el proveedor “hiperescalador + laboratorio de IA” absorberá todo el esfuerzo de cumplimiento. Ojalá fuera tan sencillo. En la práctica, aunque el proveedor del modelo soporte una parte central de las obligaciones, la entidad que utiliza el modelo en procesos regulados sigue necesitando entender qué ha comprado, qué limitaciones tiene, qué datos consume, qué outputs produce, qué salvaguardas existen y qué dependencia operativa genera.

Ese análisis deja de ser voluntario por varias razones. Si el modelo se inserta en un sistema de alto riesgo bajo el AI Act, la cadena documental y de control se vuelve más exigente. Si el uso afecta a datos personales, entran de lleno GDPR y, según el caso, evaluaciones de impacto, base jurídica, minimización y transparencia. Si el proceso es crítico para una entidad financiera, DORA obliga a gobernar la dependencia tecnológica con bastante menos romanticismo del que se suele ver en demos comerciales.

Aquí aparece una paradoja útil. Cuanto más “general” y flexible es un modelo, más tentador resulta usarlo para todo. Y cuanto más se usa para todo, más necesario es someterlo a gobierno estricto. La supuesta agilidad sin fricción acaba generando más fricción regulatoria. No porque Bruselas odie la innovación, sino porque nadie serio quiere que decisiones materialmente relevantes dependan de una caja negra contratada con tres clics.

Del texto legal a la sala de máquinas: qué significa para banca y seguros

Las entidades financieras europeas ya viven bajo un régimen denso de gobernanza tecnológica y de terceros. El AI Office añade una capa que no sustituye a las anteriores; las hace más incómodas, porque obliga a conectarlas.

Pensemos en cuatro casos de uso habituales en 2026. Uno: asistentes internos para productividad que resumen expedientes, redactan respuestas o generan documentación comercial. Dos: modelos para detección de fraude o anomalías transaccionales. Tres: IA en suscripción o pricing de seguros. Cuatro: herramientas de atención al cliente y onboarding con verificación documental automatizada.

En los cuatro casos hay una pregunta que ya no se puede despachar con una política general de IA responsable: ¿qué proveedor o combinación de proveedores está detrás, qué tipo de modelo se usa, qué datos se envían, dónde se procesan, qué derechos contractuales de auditoría o información existen, y qué controles impiden que la herramienta derive en decisiones opacas, exposición de datos o dependencia operacional excesiva?

El AI Office presiona justo en el primer eslabón, pero la consecuencia operativa se siente en toda la cadena. Si la Comisión desarrolla metodologías para evaluar capacidades y alcance de modelos GPAI, esas metodologías acabarán influyendo en la diligencia debida de compradores e integradores. Lo razonable es esperar que compliance, compras, seguridad, riesgo de modelo y negocio tengan que hablar entre sí con bastante más frecuencia. Sí, ya sé: eso no suena divertido. Tampoco lo es un requerimiento supervisor preguntando quién aprobó el uso de un modelo en una función crítica y con qué evidencias.

En banca, el punto más delicado no es solo el sesgo algorítmico. Es la mezcla de opacidad, concentración tecnológica y automatización en procesos que tocan clientes, capital, fraude o continuidad operacional. En seguros ocurre algo similar: modelos usados para segmentación, tarificación o gestión de siniestros pueden no encajar en la caricatura del “robot que decide solo”, pero aun así generar efectos sustanciales y activar exigencias de gobernanza, transparencia y revisión humana.

Y luego está el riesgo de tercero. Bajo DORA, las entidades financieras deben gestionar el riesgo derivado de proveedores de servicios TIC mediante un marco robusto, con inventario, estrategia sobre terceros, cláusulas contractuales específicas y supervisión continuada. El artículo 28 de DORA fija el principio general de gestión del riesgo de terceros TIC, y los artículos 30 y siguientes endurecen el contenido contractual. Si la capacidad de IA de tu proceso crítico depende de un proveedor cloud, de un proveedor de modelo y de una capa adicional de integración, no tienes un proveedor. Tienes una cadena de dependencia. Y esa cadena rara vez cabe en el contrato estándar que el equipo de compras firmó con prisa el verano pasado.

Impacto regulatorio cruzado

El AI Office no opera en un vacío. Su verdadero peso aparece cuando se cruza con otros regímenes. Ahí es donde una lectura puramente “AI Act” se queda corta.

AI Act + DORA

DORA aplica desde el 17 de enero de 2025 y obliga a entidades financieras de la UE a gestionar riesgo TIC, incidentes, pruebas de resiliencia y terceros críticos. Cuando una entidad usa IA en funciones operativas relevantes, la conversación deja de ser exclusivamente ética o de producto. Se convierte en continuidad, dependencia y control. El AI Office puede empujar obligaciones y escrutinio sobre el modelo o su proveedor; DORA obliga a la entidad a saber cómo esa dependencia afecta a su resiliencia operativa. Si no puedes sustituir, degradar o aislar un servicio de IA sin romper un proceso crítico, tienes un problema de DORA aunque el proveedor del modelo cumpla impecablemente el AI Act.

La fricción práctica suele estar en tres puntos: inventario insuficiente de usos de IA, contratos incapaces de capturar la cadena real de subprocesadores y proveedores, y falta de escenarios de contingencia cuando el servicio falla, cambia condiciones o restringe funcionalidades. El AI Office no te resolverá eso. Solo hará más visible que debías tenerlo resuelto.

AI Act + GDPR

Si un sistema de IA trata datos personales, GDPR sigue mandando en su terreno. Los artículos 5 y 25 sobre principios y protección de datos desde el diseño, el artículo 32 sobre seguridad, el artículo 33 sobre notificación de violaciones de seguridad y el artículo 35 sobre evaluación de impacto no desaparecen porque el proveedor te asegure que su modelo es “enterprise grade”. Tampoco desaparece el artículo 22 cuando hay decisiones automatizadas con efectos jurídicos o similarmente significativos.

La relación con el AI Office es indirecta pero potente. Si Bruselas exige más transparencia o documentación a proveedores de GPAI, las entidades tendrán más base para su análisis de protección de datos. Pero cuidado con el espejismo: que el proveedor entregue papeles no significa que tu base jurídica, tus transferencias internacionales, tus periodos de retención o tu evaluación de necesidad y proporcionalidad estén resueltos. Esa parte sigue siendo tuya.

Además, el uso de asistentes generativos internos abre un vector de riesgo bastante pedestre y muy real: empleados que introducen datos personales, secretos empresariales o información regulada en herramientas cuyo gobierno no está bien delimitado. No hace falta un ciberataque sofisticado para incumplir GDPR; a veces basta un prompt torpe.

AI Act + NIS2

NIS2, que los Estados miembros han ido aterrizando en su derecho nacional tras la fecha de transposición del 17 de octubre de 2024, exige medidas técnicas, operativas y organizativas apropiadas, así como gobernanza directiva y notificación de incidentes. El artículo 21 de NIS2 concentra el núcleo de gestión de riesgos de ciberseguridad. Si la IA se inserta en sistemas esenciales o importantes, el debate pasa a ser también de seguridad de cadena de suministro, gestión de vulnerabilidades, autenticación, continuidad y respuesta.

¿Dónde entra el AI Office? En que la seguridad de modelos y su evaluación dejan de ser conversación exclusivamente voluntaria. Si la Comisión desarrolla benchmarks sobre capacidades y riesgos, esas referencias acabarán alimentando expectativas de seguridad y control en sectores cubiertos por NIS2. No será raro ver preguntas supervisoras que combinen ambos mundos: qué modelo usas, qué dependencia crea, qué controles de seguridad has desplegado y cómo respondes si el proveedor cambia el comportamiento del sistema o su disponibilidad.

AI Act + eIDAS 2.0

Con la evolución del marco europeo de identidad digital, muchas entidades integrarán procesos de verificación, firma y credenciales con automatización avanzada. Cuando la IA se usa para extraer, verificar o enrutar información de identidad, el problema ya no es solo exactitud; es confianza jurídica del proceso. Un error en clasificación documental o en verificación biométrica asistida por IA puede degradar la robustez de un flujo que luego sostiene onboarding, prevención de fraude o firma de operaciones. eIDAS 2.0 y el ecosistema de wallets empujan hacia procesos más digitalizados; el AI Office añade presión para que esa automatización no sea una caja negra sin trazabilidad.

AI Act + CSRD

A primera vista, CSRD parece otro planeta. No lo es tanto. Las empresas están empezando a describir en reporting de sostenibilidad su gobernanza tecnológica, riesgos, impacto social y controles. Si una organización presume de IA responsable en su narrativa externa pero no puede demostrar gobierno efectivo, la incoherencia no es solo reputacional. Puede acabar afectando a la calidad y credibilidad de la información reportada. El AI Office no audita memorias CSRD, desde luego, pero su trabajo aumentará el nivel de exigencia documental alrededor de cómo se gobierna la IA en la práctica.

AI Act + NIST CSF 2.0

Aunque NIST CSF 2.0 no es ley europea, sigue siendo el lenguaje operativo de muchas multinacionales y proveedores. Su función “Govern” encaja sorprendentemente bien con lo que ahora exige el momento: inventario, roles, políticas, gestión de dependencias y supervisión continua. El problema es que demasiadas organizaciones usan NIST como barniz y no como disciplina. El AI Office puede actuar, indirectamente, como antídoto contra ese postureo: si el regulador pide evidencias concretas, el framework deja de ser una diapositiva y vuelve a ser trabajo de verdad.

La gobernanza de IA deja de ser teórica: controles que ya deberían existir

Si tu entidad utiliza IA de terceros en 2026, hay una lista de preguntas operativas que ya no admite respuestas vagas. No hablo de principios grandilocuentes. Hablo de controles que un supervisor, un auditor interno o un comité de riesgos pueden pedirte mañana.

Primero, inventario real de casos de uso. No una declaración de intenciones ni un registro incompleto mantenido por innovación. Un inventario que identifique qué sistema usa IA, con qué finalidad, qué modelo o proveedor lo soporta, qué datos entran, qué resultados salen, qué área de negocio lo usa y si afecta a procesos regulados. Sin ese mapa, cualquier conversación sobre AI Act, GDPR o DORA nace coja.

Segundo, clasificación jurídica y operativa de cada caso de uso. ¿Es un sistema de alto riesgo? ¿Usa un modelo GPAI de tercero? ¿Produce recomendaciones o decisiones? ¿Hay intervención humana significativa? ¿Se tratan categorías especiales de datos? ¿Se integra en una función crítica o importante desde la óptica de DORA? No hace falta que todos los casos acaben en la categoría más severa; hace falta poder explicar por qué no.

Tercero, due diligence reforzada del proveedor. El cuestionario clásico de procurement ya no sirve. Necesitas saber qué documentación ofrece sobre el modelo, qué limitaciones declara, qué mecanismos de seguridad tiene, cómo gestiona logs y retención, qué subprocesadores intervienen, cómo notifica incidentes, qué cambios funcionales puede introducir unilateralmente y si permite controles razonables de auditoría o, al menos, acceso a evidencias verificables. Si el proveedor responde con marketing en vez de documentación, ya tienes una señal.

Cuarto, controles de uso interno. Una parte nada menor del riesgo no está en el proveedor, sino en tu gente. Políticas de prompting, restricciones sobre datos que pueden introducirse, segregación entre entornos, revisión humana de outputs sensibles, monitorización de alucinaciones o errores materiales, y formación específica. “No meter datos sensibles” no es una política; es un deseo.

Quinto, diseño de contingencias. ¿Qué ocurre si el servicio cae, si el modelo cambia de versión, si se limita el acceso por disputa contractual o si una instrucción del regulador obliga al proveedor a modificar funcionalidades? Si la respuesta es “ya veremos”, tu resiliencia depende más de la suerte que del control.

Sexto, gobierno de aprobaciones y cambios. Cada modificación relevante en un sistema de IA, en su proveedor o en sus fuentes de datos debería disparar una revisión proporcional de riesgo, privacidad, seguridad y cumplimiento. Las entidades maduras ya hacen algo parecido con modelos, aplicaciones críticas y terceros TIC. La IA no merece un carril VIP sin controles porque la demo sea brillante.

Lo que la estructura del AI Office revela sobre las prioridades de Bruselas

La composición del AI Office dice más que muchos comunicados. La unidad de regulación y cumplimiento muestra la prioridad evidente: hacer operable el AI Act. La de AI Safety apunta a otra cuestión menos obvia: la UE no quiere limitarse a una discusión abstracta sobre derechos fundamentales; quiere capacidad técnica para entender cómo se comportan los modelos y qué riesgos emergen. La presencia de una unidad específica de salud y life sciences indica que Bruselas anticipa fricción en sectores donde el impacto potencial es alto y la innovación corre deprisa. Y la unidad dedicada a excelencia en IA y robótica deja claro que la Comisión no quiere regalar el discurso de la competitividad a Silicon Valley o a cualquier lobby de turno.

En otras palabras, el AI Office no está diseñado solo para prohibir, sino para arbitrar tensiones entre seguridad, mercado e innovación. Eso no significa que vaya a contentar a todos. Significa algo más interesante: que la Comisión pretende tener criterio propio sobre cómo evaluar modelos y no limitarse a reaccionar a incidentes o a copiar estándares privados.

Hay un detalle institucional adicional. El AI Office apoya al European Artificial Intelligence Board, que reúne a representantes de los Estados miembros. Esa arquitectura apunta a una gobernanza híbrida: centralización parcial en Bruselas para GPAI y coordinación nacional para la aplicación más amplia. Para las empresas, el efecto práctico será una supervisión menos fragmentada en la cúspide del ecosistema de IA, aunque la fricción local siga existiendo en interpretaciones sectoriales y en la convivencia con otras autoridades.

Objeción habitual: “Esto solo afecta a los grandes proveedores”

Es una objeción cómoda y, en parte, cierta. El foco directo del AI Office sobre modelos GPAI y riesgos sistémicos golpea primero a los grandes proveedores. Pero quedarse ahí es no entender cómo funciona el cumplimiento en cadena.

Cuando el regulador aprieta aguas arriba, los requisitos bajan por contrato, por cuestionarios de due diligence, por anexos técnicos y por políticas internas. El proveedor grande cambia documentación, condiciones de uso, requisitos de integración o mecanismos de logging. El integrador ajusta su oferta. El cliente regulado tiene que revisar impacto. Y, de repente, lo que parecía “problema del fabricante” acaba aterrizando en seguridad, compras, privacidad, legal y negocio.

Además, muchas entidades medianas están construyendo capas propias sobre modelos ajenos: fine-tuning, retrieval-augmented generation, agentes internos o ensamblados multiherramienta. Ese bricolaje empresarial puede resultar muy eficiente, pero difumina responsabilidades y multiplica puntos de fallo. Cuanto más personalizada es la solución, menos sentido tiene refugiarse en que “el proveedor ya se ocupa”.

La segunda objeción típica es que la regulación frenará la innovación. A estas alturas, es un estribillo algo cansino. La pregunta seria no es si habrá fricción; claro que la habrá. La pregunta es si esa fricción impide usos valiosos o corrige incentivos peligrosos. En sectores regulados, un grado razonable de fricción es lo que separa la automatización útil de la chapuza con esteroides.

Implicaciones para entidades financieras españolas

Para bancos, aseguradoras, EDE, EAF, gestoras, infraestructuras de mercado y fintech en España, el AI Office añade presión sobre una agenda ya saturada por DORA, NIS2 en su aterrizaje nacional y el cumplimiento continuado de GDPR. No porque vaya a sustituir al Banco de España, la CNMV, la DGSFP o la AEPD, sino porque eleva el listón de qué significa “gobernar IA” de forma creíble.

En la práctica, las entidades españolas tienen tres vulnerabilidades recurrentes.

La primera es organizativa: la IA se despliega por negocio y tecnología más rápido de lo que riesgo, privacidad y cumplimiento consiguen mapear. Resultado: inventarios parciales y uso informal de herramientas generativas fuera del perímetro oficialmente aprobado.

La segunda es contractual: muchos acuerdos con proveedores cloud o de software no reflejan de forma suficiente la cadena real de servicios de IA, los límites de responsabilidad, los derechos de información sobre el modelo ni los compromisos de notificación cuando cambian capacidades o condiciones de uso.

La tercera es de control humano: existe la tentación de vender internamente cualquier automatización como “asistida” aunque, en la práctica, el empleado solo valide por rutina una recomendación generada por la herramienta. Ese teatro de supervisión humana no aguanta bien una revisión seria.

Para el sector financiero español, la consecuencia es bastante concreta: la gobernanza de IA debe integrarse en los comités y procesos que ya existen para riesgo operacional, modelo, outsourcing, continuidad, seguridad y protección de datos. Crear un comité de ética de IA para quedar bien en la memoria anual y dejar el resto intacto es la versión regulatoria del maquillaje barato.

Qué deberían mirar ahora los equipos de compliance, CISO y consejo

El AI Office todavía irá desplegando guías, metodologías y práctica supervisora, pero esperar a que todo esté cerrado es una mala idea. En 2026, las organizaciones con exposición seria a IA ya deberían estar haciendo tres cosas a la vez.

Una: depurar el inventario de usos de IA y separar claramente experimentación, productividad interna, procesos de soporte y funciones con impacto regulado o material sobre clientes. Sin esa segmentación, todo se mezcla y nada se prioriza bien.

Dos: revisar la cadena de terceros con una lógica menos ingenua. No basta con identificar al proveedor contractual directo. Hay que entender dependencias de modelo, cloud, APIs, datasets, integradores y servicios de soporte. El riesgo de concentración tecnológica en IA no es teórico; está delante de nuestras narices.

Tres: preparar evidencia. No porque mañana vaya a llamar el AI Office a tu puerta, sino porque cualquier revisión interna o externa seria terminará pidiéndola. Decisiones de clasificación, evaluaciones de impacto, aprobaciones, controles de acceso, límites de uso, pruebas de funcionamiento, incidentes y acciones correctoras. La diferencia entre una organización ordenada y una que improvisa suele verse en la calidad de esa evidencia.

El consejo de administración también tiene tarea. Igual que DORA y NIS2 han empujado la responsabilidad de ciber y resiliencia hacia niveles directivos, la gobernanza de IA ya no es un asunto que pueda despacharse como tema de innovación. Si un uso de IA afecta a cliente, riesgo, cumplimiento o continuidad, es materia de supervisión corporativa. Y sí, eso incluye hacer preguntas incómodas: qué dependencias tenemos, qué casos de uso no entendemos del todo, qué estamos aceptando por pura presión competitiva y qué pasaría si mañana tuviésemos que desconectar una capacidad generativa crítica.

Lo que viene después

El valor real del AI Office no se medirá por su organigrama, sino por su práctica. Por la calidad de sus benchmarks, por la claridad de sus guías, por cómo coordine con autoridades nacionales y por si es capaz de exigir disciplina sin matar usos legítimos. Aún queda recorrido y habrá fricciones interpretativas, especialmente en GPAI y en la frontera entre proveedor de modelo, integrador y desplegador. Pero lo esencial ya está claro: Europa ha pasado de hablar de gobernanza de IA a construirla.

La pregunta para las empresas no es si el AI Office les parece una buena idea. Eso, francamente, da igual. La pregunta útil es otra: ¿tu organización puede explicar hoy, con documentos y responsables identificados, qué IA usa, para qué la usa, de quién depende y qué controles la mantienen dentro de límites aceptables?

Si la respuesta es no, el problema no es Bruselas. El problema es que la IA ha entrado en tu operativa más deprisa que tu capacidad para gobernarla. Y ese desfase, con el AI Office en escena, empieza a salir bastante caro.