Gobernanza de IA para empresas

No puedes gobernar lo que no has encontrado. Levantamos cada modelo, agente e integración en uso — con las cuentas personales y extensiones que nadie reporta — y qué datos toca cada uno. El punto de partida de la auditoría y de la ISO por igual.

Controles de acceso, fronteras de datos por proveedor y región, y trazas de auditoría que se sostienen aunque nadie recuerde la política. La mayoría de las políticas de IA vive en un PDF y se queda en la puerta; la nuestra corre en el sistema.

Para cada agente: qué puede hacer solo, qué requiere aprobación, a qué datos alcanza y qué trazas deja. Lo irreversible siempre lo firma una persona. La gobernanza de agentes, a detalle →

Inventario, evaluación de riesgos por caso de uso, controles operando — y después la certificación, cuando ya operas lo que el auditor va a revisar. Te acompañamos del primer inventario al comité de gestión.

Es el conjunto de reglas que decide qué IA puede hacer, con qué datos y bajo qué responsabilidad humana — y su implementación real no vive en un PDF: vive aplicada en los sistemas. Controles de acceso en la ruta de ejecución, fronteras de datos por proveedor y región, trazas de auditoría de cada decisión, y un inventario vivo de lo que corre, autorizado o shadow.

Es el primer estándar internacional certificable de sistemas de gestión de IA: define controles y responsabilidades para desarrollar y operar IA de forma responsable. Por dónde empezar: inventario de la IA en uso, evaluación de riesgos por caso de uso, y políticas aplicadas — no redactadas. La certificación se persigue después de operar los controles; primero los controles, luego el sello.

Es la gobernanza aplicada al trabajador más nuevo: el agente. Permisos explícitos de qué puede hacer solo, aprobación humana en lo irreversible, trazas de qué hizo y por qué, y límites de datos alcanzables. Un agente sin gobernanza es un empleado sin contrato, con acceso a tus sistemas.

Shadow AI es toda la IA que tu gente usa sin autorización formal: cuentas personales, extensiones, agentes improvisados. Se inventaría combinando revisión de accesos y suscripciones, entrevistas cortas por equipo, y análisis de tráfico hacia proveedores de IA. En nuestras observaciones de campo solo alrededor del 35% de las organizaciones provee herramientas de IA oficialmente: en el resto, la IA corre por fuera de los canales oficiales — con tus datos.

Al contrario: la falta de gobernanza la frena, porque cada incidente congela proyectos. La gobernanza bien implementada es una franja de carril rápido: los casos de bajo riesgo pasan con revisión mínima y los sensibles pasan con controles claros. Sin reglas, todo depende del valor de un directivo; con reglas, el equipo avanza sabiendo hasta dónde.