Gobierno de riesgo de IA: el inventario que tu empresa aún no tiene

Si nadie ha hecho un inventario formal, es casi seguro que sí. El estudio global de KPMG y la Universidad de Melbourne sobre 48.000 personas en 47 países concluye que el 57 % de los empleados oculta a su empresa que usa IA y presenta como propio trabajo generado por ella, y que casi la mitad la utiliza incumpliendo políticas internas, incluida la subida de información sensible. Ese uso queda muy por encima de lo que detecta IT sin un proceso de descubrimiento estructurado.

PENDIENTE: rango de precio o «desde X €» por modalidad (Discovery, Assessment completo, Transformación, Managed Governance). La ausencia total de precio frena más leads de los que filtra: conviene publicar al menos el escalón de entrada.

Menos de la que sueles temer. El grueso del trabajo —análisis, clasificación, scoring y redacción de entregables— lo asumimos nosotros. Tu equipo participa en entrevistas cortas con los responsables de negocio, IT, legal y operaciones, y en las sesiones de hito donde se aprueba cada entrega. En la fase de activación fijamos el RACI y la dedicación exacta de cada perfil, para que nadie descubra sobre la marcha cuánto tiempo le toca poner.

Se puede. Trabajamos bajo acuerdo de confidencialidad y adaptamos el descubrimiento al nivel de discreción que necesites: entrevistas individuales en lugar de workshops abiertos, comunicación interna acordada contigo y entregables restringidos al comité que decidáis. Dicho esto, el inventario mejora mucho cuando la gente puede hablar sin miedo: casi la mitad de quienes usan IA en el trabajo incumple alguna política interna, y solo lo cuenta si el ejercicio no se percibe como una caza de brujas.

No, la complementa. AIRGA responde a «¿dónde está el riesgo?» antes de entrar en la clasificación normativa formal. Es el paso natural previo a AI Act Ready, y su inventario es el punto de partida obligatorio de esa clasificación.

Un discovery inicial se resuelve en 2–3 semanas. Un assessment completo, con matriz de riesgo y modelo de gobierno diseñado, se cierra en 4–6 semanas. La implantación posterior del roadmap va de 3 a 6 meses según alcance.

Sí, porque cubren cosas distintas. La ISO 27001 gobierna la seguridad de la información y el DPO vela por los datos personales; ninguno de los dos te dice qué sistemas de IA hay en tu empresa, quién los aprobó, qué decisiones toman sobre personas o qué ocurre si el proveedor del modelo cambia las reglas. Si ya tienes ISO 27001, buena parte del trabajo de controles está hecho y el assessment avanza más rápido.

Entra en el alcance. La IA embebida en el software que ya pagas —CRM, ERP, suites de ofimática, herramientas de RRHH— es una de las fuentes de riesgo invisible más habituales, y la dependencia de terceros es una de las dimensiones que puntúa nuestro modelo de scoring. En el inventario aparecen tanto las herramientas que habéis decidido incorporar como las funciones de IA que llegaron dentro de una actualización sin que nadie las evaluara. Si operas en el sector financiero, esa cadena de proveedores tiene requisitos propios: es el terreno de DORA Ready.

El riesgo no desaparece por no medirlo. Se traduce en exposición legal cuando llega una inspección, en fugas de información cuando un empleado pega datos sensibles en una herramienta pública, y en decisiones de negocio que nadie puede explicar ni defender si algo sale mal.