La función de gobierno de IA, cumplimiento y resiliencia que tu empresa necesita tener, operada por nosotros y con tu empresa al mando. Un equipo estable —no una rotación de consultores— con un interlocutor único, que mantiene el inventario y la clasificación, produce las evidencias, facilita el comité, ejecuta el calendario de pruebas y presenta a dirección la evolución del riesgo cada trimestre.

No es soporte ni una bolsa de horas. No esperamos a que llames: el servicio tiene calendario propio y produce entregables tanto si preguntas como si no. No es un SOC ni seguridad gestionada. No vigilamos amenazas 24×7: gobernamos el riesgo que decide qué debe vigilar el SOC y con qué prioridad. Y no es una licencia de software. Hay herramienta, pero la herramienta es el soporte del trabajo, no el trabajo. Lo que se contrata es criterio y ejecución.

Seguimiento de AI Act, RGPD, ISO 42001, DORA, NIS2, ISO 22301, ENS y la normativa española en tramitación. La clave está en el adjetivo: el valor no es el boletín, es el cruce contra tu inventario. La salida no es «ha salido esta norma», sino «ha salido esta norma, afecta a estos cuatro sistemas tuyos, hay que hacer esto, antes de esta fecha, y lo asume esta persona».

Alta, cambio y baja de sistemas de IA, proveedores TIC y casos de uso, con reclasificación cuando cambia el uso, el proveedor o la norma. Y revisión periódica de descubrimiento para cazar lo que entró por la puerta de atrás: shadow AI, IA embebida en actualizaciones de SaaS y automatizaciones departamentales que nadie registró.

Repositorio versionado y auditable: fichas de sistema, DPIA, actas, controles, resultados de pruebas y registros de decisión. Preparado para producir en horas, y no en semanas, tres cosas distintas: el dossier de auditoría, la respuesta al cuestionario de un cliente y la documentación de un pliego.

Preparación, convocatoria, facilitación y acta del comité de IA y resiliencia, con seguimiento de los acuerdos hasta su cierre y mantenimiento del RACI y de los procedimientos. Este dominio evita el fracaso más común de todos: que el gobierno exista sobre el papel y no se reúna nunca. Cuando alguien externo tiene la responsabilidad de convocar, el comité se reúne.

Simulacros y tabletop de crisis, pruebas de recuperación con validación de RTO y RPO, attack surface monitoring, pentest asistido por IA y AI security testing: robustez de modelos, recuperación indebida en RAG, desvío de instrucciones en agentes y encadenamientos de automatizaciones. Con retest de los hallazgos cerrados y score de mejora. En IA la superficie de ataque cambia con cada modelo, cada agente y cada integración nueva: probarla una vez al año no basta.

Preauditoría interna, gap contra ISO 42001, ISO 27001 e ISO 22301, revisión por dirección, plan anual, acompañamiento durante la auditoría externa y gestión de no conformidades. Para quien va a certificarse y también para quien solo necesita poder demostrarlo.

Procedimiento probado de notificación regulatoria con los plazos ya integrados: los 2, 10 y 15 días del artículo 73 del AI Act y los cauces de DORA. Apoyo en la clasificación del incidente, en la redacción y en la trazabilidad posterior. Este dominio casi nunca se usa, y es exactamente por eso por lo que se contrata: el día que hay que usarlo, tenerlo montado vale el año entero de servicio.

Para quien ya tiene el diagnóstico hecho y necesita que no caduque. Vigilancia regulatoria aplicada, mantenimiento del inventario y la clasificación, repositorio de evidencias, informe mensual, comité trimestral y Control Center. La promesa: no vuelves a estar a ciegas.

Para quien tiene obligaciones que demostrar y quiere el gobierno operando de verdad. Todo el nivel 1, más facilitación completa del comité y seguimiento de acuerdos, barrido semestral de descubrimiento, calendario de testing con simulacros y tabletop, gestión de cuestionarios de cliente y pliegos, procedimiento de notificación de incidentes activo y cuadro de mando ejecutivo. La promesa: cuando alguien pregunta, respondes el mismo día.

Para entidades reguladas, empresas en proceso de certificación y proveedores críticos. Todo el nivel 2, más preauditoría y acompañamiento en ISO 42001, 27001 y 22301, AI-Pentest Ready periódico con attack surface monitoring y AI security testing, pruebas de recuperación con validación de RTO y RPO, gestión del registro de información y homologación de terceros, soporte en TLPT e informe anual a dirección y al consejo. La promesa: llegas a la auditoría sin preparar la auditoría.