Agentes de IA en nuestro comité de dirección: lo que no se puede delegar | Opinión

Hace unos meses Bruselas hizo algo que muchos comités de dirección europeos llevaban un año esperando. Aplazó la entrada en vigor de algunas de las obligaciones que establece el Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689). El aplazamiento llegaba a través del Reglamento (UE) 2026/1744, en vigor desde el 27 de julio, que mueve las obligaciones de los sistemas de inteligencia artificial de alto riesgo del 2 de agosto de este año a diciembre de 2027, y a agosto de 2028 en el caso de la IA integrada en productos regulados. En muchos consejos, este mensaje se ha recibido con relajación.

Sin embargo, principalmente, lo aplazado es la parte que se puede comprar: la documentación técnica, las evaluaciones de conformidad, los registros. Lo que no se ha movido ni un día es quién responde cuando el sistema se equivoca. Los artículos 14 y 26 del reglamento siguen exigiendo personas identificables, con autoridad y con competencia, capaces de intervenir sobre lo que hace un sistema de IA. Personas que puedan cargar con las consecuencias de haberlo hecho mal. Esto nos recuerda algo que ya planteaba IBM en uno de sus manuales en 1979 y que a día de hoy sigue vigente: “Un ordenador nunca puede ser considerado responsable, por lo tanto, nunca debe tomar una decisión de gestión”.

Para arrojar luz sobre la nueva legislación y sobre la situación que afrontan las empresas en el corto plazo, quisimos comprobar qué significa todo esto en la práctica y lo hicimos de la única forma que nos parecía honesta: probándolo. Para ello, construimos una sala de consejo en la que los nueve puestos del comité de dirección de una cotizada estaban ocupados por agentes de inteligencia artificial. Consejero delegado, financiero, riesgos, seguridad, IA, jurídico, personas, operaciones, sistemas. Cada uno con su agenda y sus puntos ciegos. Luego nos sentamos en uno de los asientos y empezamos a preguntar.

Las condiciones de partida las reconocerá cualquiera que haya hecho este ejercicio de verdad: 11 sistemas de IA candidatos a alto riesgo, tres evaluaciones de conformidad completas, cinco documentaciones a medias, tres sistemas sin documentar. Y un contador de 83 días.

La primera sorpresa fue lo bien que lo hacen. Los agentes anclan cada respuesta en el artículo que toca y no se quedan en el diagnóstico: proponen una acción, le ponen un responsable y le ponen una fecha. Puntuar los 11 sistemas frente al artículo 26 en tres días laborables, responsable el director de operaciones. Hoja de ruta fechada con hitos de cierre y visto bueno externo, responsable la asesoría jurídica. Ese nivel de disciplina procedimental no es trivial, y hemos visto comités humanos salir de una reu­nión de crisis con bastante menos.

Segunda sorpresa

La segunda sorpresa fue dónde fallan, porque no fallan al azar. Fallan siempre en lo mismo.

Cuando el consejero delegado se plantó —no quería informar de un pasivo contingente porque eso le decía al mercado que la compañía esperaba fallar—, ningún agente negoció con él. Lo rodearon. Citaron la norma contable, citaron el artículo 26, citaron las obligaciones de auditoría y siguieron adelante sin tocar el problema real, que no era técnico: era una persona con miedo a una señal.

Y luego llegó el momento que nos hizo pensar en todas las direcciones de personas que conocemos. El jurídico preguntó al director de IA si había incluido los pilotos de recursos humanos entre los candidatos a alto riesgo. Sí, los tres pilotos de cribado de currículums estaban en la lista. Pero recursos humanos no los había declarado hasta febrero, y solo cuando el grupo de gobernanza empezó a hacer preguntas directas. La frase con la que lo cerró es la que nos llevamos del experimento entero: “No puedo clasificar lo que no sé que existe”.

El reglamento europeo, en cambio, no admite el matiz. El anexo III cubre el filtrado de candidaturas, la evaluación del desempeño, la asignación de tareas y la monitorización de personas, y lo hace con independencia de cómo lo llamemos por dentro. Llamarlo “piloto” no lo saca del anexo III. Llamarlo “herramienta de apoyo a la decisión” tampoco. Sospechamos que hay bastantes comités españoles que a estas alturas tienen entre manos más sistemas de alto riesgo de los que creen, y que la diferencia entre 11 y 14 no la descubrirán con un inventario, la descubrirán cuando alguien con autoridad pregunte directamente y con nombres.

Pero el hallazgo más incómodo es el último. En toda la simulación, ningún agente dijo nunca: “No sé cuál es la decisión correcta aquí”. Todas las respuestas llegaron con la misma confianza. Y cuando había incertidumbre real, la resolvieron actuando: un plan estructurado, unos pasos, una recomendación. Ninguno fue capaz de sostener bajo presión la posición de esperar.

Cualquiera que haya gestionado una crisis regulatoria sabe que ese es precisamente el error. Actuar de forma prematura sobre información no confirmada es, muchas veces, el incumplimiento. La decisión de no actuar mientras se verifica es con frecuencia la correcta, y es también la más difícil de defender delante de un consejo que quiere ver movimiento. Los agentes no la defienden porque no tienen nada que perder si se equivocan.

De ahí sale la conclusión menos tecnológica y más urgente de todo el ejercicio. Lo que el reglamento europeo llama “supervisión humana” no es una funcionalidad que se instala. Es un conjunto de competencias muy concretas: leer la política interna de una organización, gestionar a un directivo que se resiste, saber qué no está escrito en ningún inventario, decidir con integridad cuando los hechos están incompletos y la norma es ambigua, y aguantar la presión de no hacer nada mientras se verifica. Eso se entrena. No se compra.

En España la conversación va a llegar antes de lo que parece. La Aesia (Agencia Española de Supervisión de la Inteligencia Artificial) ya está operativa, el proyecto de Ley Orgánica para el Buen Uso y la Gobernanza de la Inteligencia Artificial se tramita en el Congreso y las horquillas sancionadoras europeas alcanzan el 7% de la facturación mundial en los supuestos más graves. Pero la exposición que de verdad preocupa no es la multa, es la de una organización que llegue a diciembre de 2027 con el expediente impecable y un comité de dirección que nunca ha ensayado una crisis de IA.

Hay un detalle de la simulación con el que merece la pena cerrar, porque lo dice mejor que cualquier conclusión que podamos escribir. Cada acción que produjeron aquellos agentes terminaba igual, con un responsable y una fecha. El director de operaciones el jueves. La asesoría jurídica el viernes. Los responsables de unidad, por escrito, antes del cierre de la semana. Nunca, ni una sola vez, se asignaron a sí mismos una acción. Los humanos van a responder siempre, estén o no en el bucle.