Si nadie ha hecho un inventario formal, es casi seguro que sí. El estudio global de KPMG y la Universidad de Melbourne sobre 48.000 personas en 47 países concluye que el 57 % de los empleados oculta a su empresa que usa IA y presenta como propio trabajo generado por ella, y que casi la mitad la utiliza incumpliendo políticas internas, incluida la subida de información sensible. Ese uso queda muy por encima de lo que detectan los departamentos de IT sin un proceso de descubrimiento estructurado. Fuente: KPMG y Universidad de Melbourne, Trust, attitudes and use of AI (2025).

No, la complementa. AIRGA responde a "¿dónde está el riesgo?" antes de entrar en la clasificación normativa formal. Es el paso natural previo a un servicio como AI ACT READY.

Un discovery inicial se puede resolver en 2-3 semanas. Un assessment completo, con matriz de riesgo y modelo de gobierno diseñado, se suele cerrar en 4-6 semanas.

El riesgo no desaparece por no medirlo. Se traduce en: exposición legal cuando llega una inspección, en fugas de información cuando un empleado pega datos sensibles en una herramienta pública, y en decisiones de negocio que nadie puede explicar ni defender si algo sale mal.

Menos de la que sueles temer. El grueso del trabajo —análisis, clasificación, scoring y redacción de entregables— lo asumimos nosotros. Tu equipo participa en entrevistas cortas con los responsables de negocio, IT, legal y operaciones, y en las sesiones de hito donde se aprueba cada entrega. En la fase 0 fijamos el RACI y la dedicación exacta de cada perfil, para que nadie descubra sobre la marcha cuánto tiempo le toca poner.

Se puede. Trabajamos bajo acuerdo de confidencialidad y adaptamos el descubrimiento al nivel de discreción que necesites: entrevistas individuales en lugar de workshops abiertos, comunicación interna acordada contigo y entregables restringidos al comité que decidáis.

Dicho esto, el inventario mejora mucho cuando la gente puede hablar sin miedo: casi la mitad de quienes usan IA en el trabajo lo hace incumpliendo alguna política interna, y solo lo cuenta si el ejercicio no se percibe como una caza de brujas. Ese encuadre lo diseñamos contigo en la fase de activación.

Sí, porque cubren cosas distintas. La ISO 27001 gobierna la seguridad de la información y el DPO vela por los datos personales; ninguno de los dos te dice qué sistemas de IA hay en tu empresa, quién los aprobó, qué decisiones toman sobre personas o qué ocurre si el proveedor del modelo cambia las reglas.

AIRGA parte de lo que ya tienes y añade la capa que falta: el inventario de IA, la clasificación de riesgo en cinco dimensiones y el modelo de gobierno. Si ya tienes ISO 27001, buena parte del trabajo de controles está hecho y el assessment avanza más rápido.