Por el inventario, casi siempre. Si no sabes con precisión qué IA hay dentro de tu empresa —incluida la que viene embebida en el CRM, el ERP o las suites de ofimática—, cualquier plan de cumplimiento se construye sobre suposiciones. Ese es el trabajo de AIRGA y se resuelve en 2–6 semanas.

Hay dos excepciones claras. Si ya tienes el inventario y lo que te aprieta es un cliente, un auditor o un pliego que te pide acreditar cumplimiento, entra directamente por AI Act Ready. Y si eres entidad financiera o proveedor tecnológico de una, DORA Ready tiene su propio calendario y su propia urgencia contractual, independientemente de dónde estés con la IA.

Sí, y normalmente sale mejor que hacerlos por separado, porque comparten cimientos: el inventario de sistemas y proveedores, el comité que decide, el catálogo de controles y el cuadro de mando de dirección. Montarlos una vez y reutilizarlos evita tres listas que nunca coinciden y tres informes que no cuadran entre sí.

Lo que no recomendamos es arrancar los tres frentes con el mismo nivel de profundidad desde el día uno. Lo habitual es empezar por el diagnóstico de la capa que más aprieta, dejar montada la arquitectura común y después ampliar. En la sesión de alcance definimos ese orden contigo, con hitos de aprobación en cada fase.

En que no acaba en un informe. Un despacho te dice qué dice la norma y dónde no la cumples; una consultora de seguridad refuerza los controles técnicos. Las dos cosas son necesarias y ninguna de las dos te deja el sistema funcionando.

Nosotros trabajamos en el medio y hacia abajo: diagnóstico de campo, priorización por impacto de negocio, modelo de gobierno y —esta es la parte que nos diferencia— la construcción de lo que hemos recomendado. Podemos implantar el portal de inventario, el dashboard de proveedores, la automatización de evidencias y las integraciones que el modelo necesita. Además miramos el riesgo en cinco dimensiones, no solo la regulatoria, y publicamos el método de scoring para que sepas cómo se calcula tu riesgo.