La matriz RACI de gobernanza de IA reparte las actividades del programa de IA entre las funciones de la organización: quién rinde cuentas por el resultado (A), quién ejecuta (R), a quién se consulta (C) y a quién se informa (I). Evita vacíos y superposiciones, deja un único responsable final por actividad y hace visible la segregación de funciones entre quien desarrolla, quien valida y quien audita los sistemas.
Cómo usar
- Indica el tamaño, el sector, si la organización desarrolla o solo compra IA y si trata datos personales a gran escala.
- Marca las funciones que existen de verdad, del directorio a las áreas de negocio.
- Elige las actividades de gobernanza o déjalas en blanco para usar el conjunto por defecto.
- Revisa la matriz, las reasignaciones, el control de segregación de funciones y el esbozo del reglamento del comité, y exporta en CSV o PDF.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre de la organización (opcional) | Aparece en el título de la matriz. |
| Tamaño de la organización | En organizaciones pequeñas los roles se acumulan y la matriz es más simple. |
| Sector (opcional) | Elige el sector |
| Relación con la IA | Quien desarrolla necesita validación independiente; quien compra necesita due diligence de proveedores. |
| ¿Tratas datos personales a gran escala con IA? | Define si la EIPD y la FRIA entran en las actividades por defecto. |
| Funciones que existen en la organización | Marca solo las que existen de verdad; las que faltan se reasignan con aviso. |
| Actividades de gobernanza (opcional) | Si no marcas ninguna, la herramienta usa un conjunto por defecto según tus respuestas anteriores. |
Ejemplo
Aurora Crédito, una financiera ficticia de tamaño medio que desarrolla modelos de crédito y también compra IA de terceros, tiene doce funciones, pero no tiene comité de IA ni auditoría interna. La matriz cubre 15 actividades con 7 reasignaciones: la alta dirección rinde cuentas por el inventario, el triaje, la evaluación de riesgo y la validación, la gestión de riesgos valida los modelos en lugar del área de datos y la auditoría de IA va a un revisor externo independiente. El comité propuesto tiene 9 miembros con voto y quórum de 5.
Cuándo usar
- Al estructurar el programa de gobernanza de IA y decidir quién aprueba, quién ejecuta y quién controla.
- Antes de crear el comité de gobernanza de IA y redactar su reglamento.
- Cuando una auditoría, un cliente o el directorio pregunta quién rinde cuentas por cada sistema de IA.
Preguntas frecuentes
¿Qué significa cada letra de la matriz RACI?
R ejecuta la actividad, A rinde cuentas por el resultado y aprueba, C es consultado antes e I es informado después. La herramienta usa también A/R cuando la misma función rinde cuentas y ejecuta, algo común en organizaciones pequeñas.
¿Por qué solo puede haber una A por actividad?
Con dos responsables finales, nadie rinde cuentas de verdad. La herramienta garantiza exactamente una A por actividad y, cuando la dueña natural no existe, pasa la A a la siguiente función de la lista y muestra la reasignación.
¿Cómo trata la herramienta la segregación de funciones?
Quien desarrolla u opera un sistema nunca valida ni audita su propio modelo, y la auditoría interna nunca ejecuta controles operativos. Sin una función independiente disponible, la matriz indica un revisor externo independiente a contratar.
¿Y si la organización no tiene comité de IA, DPO ni auditoría interna?
Sin comité, la alta dirección rinde cuentas por la gestión de la IA. Sin DPO, el área legal ejecuta la EIPD. Sin auditoría interna, la auditoría de IA va a un revisor externo, nunca a la primera línea.
¿Qué certificación de DPCert cubre este tema?
La estructuración del programa de gobernanza de IA, de sus roles y del comité es tema de la RAIL (Responsible AI Leader). Los deberes del directorio y de la alta dirección sobre IA son tema de la RAI-X (Responsible AI for Executives).
¿La matriz garantiza el cumplimiento de la ley de IA de la UE o de la ISO/IEC 42001?
No. La herramienta es educativa y sugiere una asignación inicial basada en reglas simples, que la organización debe adaptar. No es asesoría legal, no es auditoría y no certifica a la organización.