Gobernanza de IA integrada en los sistemas que de verdad utiliza.
Inventariamos la IA que usted desarrolla y la que compra, clasificamos el riesgo, redactamos las políticas y después construimos los controles que esas políticas prometen: revisión humana, evaluaciones, registros, controles de proveedores y un procedimiento para incidentes. Somos ingenieros que ponen IA en producción, así que cada control es algo que su equipo puede operar.
Qué debe dejar una consultoría de gobernanza de IA.
La gobernanza de IA es el conjunto de decisiones, controles y registros que le dicen qué sistemas de IA utiliza, qué puede hacer cada uno, quién lo supervisa y qué ocurre cuando algo sale mal. La mayoría de las empresas ya tiene IA en producción a través de proveedores, copilotos y agentes desarrollados por sus equipos, y nadie tiene la lista completa. Gigabit empieza por ahí: un inventario de todos los sistemas de IA, un nivel de riesgo para cada uno y una lista de carencias frente a los marcos que citan sus clientes y reguladores.
Tres marcos cubren casi todo lo que preguntan los compradores. El Marco de Gestión de Riesgos de IA del NIST (AI RMF 1.0, enero de 2023) es voluntario y organiza el trabajo en cuatro funciones: Govern, Map, Measure y Manage (gobernar, mapear, medir y gestionar). ISO/IEC 42001:2023 es la norma de sistemas de gestión para la IA, la que permite obtener la certificación de un organismo acreditado. La Ley de IA de la UE (AI Act), el Reglamento (UE) 2024/1689, es una norma legal: alcanza a empresas de fuera de la UE cuando la salida de su sistema de IA se utiliza en la UE, sus prohibiciones se aplican desde el 2 de febrero de 2025 y, tras la modificación de julio de 2026, sus normas para sistemas de alto riesgo se aplican desde el 2 de diciembre de 2027 en los usos del anexo III (fechas comprobadas el 23 de octubre de 2026). Gigabit es una empresa de ingeniería. Construimos y documentamos los controles; su asesor jurídico decide cómo clasifica la ley cada sistema, y un organismo de certificación audita ISO 42001.
Qué incluye un proyecto de gobernanza.
Las políticas son la parte breve. El trabajo consiste en que cada una se cumpla de verdad en los sistemas que funcionan cada día.
Inventario de sistemas de IA
Cada modelo, agente, copiloto y función de IA de proveedores en uso: responsable, finalidad, datos que trata, usuarios afectados y decisiones en las que influye.
Clasificación del riesgo
Cada sistema, clasificado por impacto y relacionado con las categorías de la Ley de IA de la UE, las funciones del NIST AI RMF y los controles de ISO/IEC 42001 que decida adoptar.
Políticas y responsables
Una política de uso de la IA, normas de uso aceptable, pasos de aprobación para sistemas nuevos y un responsable con nombre para cada sistema, todo lo bastante breve para que la gente lo lea.
Diseño de la supervisión humana
Dónde una persona debe aprobar, revisar una muestra o poder detener el sistema, integrado en el flujo de trabajo con la autoridad y el contexto necesarios para hacerlo.
Evaluación y supervisión
Conjuntos de evaluaciones con umbrales que condicionan cada lanzamiento, comprobaciones de deriva tras cambios de modelo o de prompt, y alertas que llegan al responsable del sistema.
Registros, proveedores e incidentes
Trazas de auditoría de las entradas, las herramientas invocadas y las salidas; revisión de los proveedores de modelos y de sus condiciones sobre los datos; y un procedimiento de incidentes de IA con niveles de gravedad.
Del inventario a controles que funcionan.
Inventario
Entrevistas y una revisión de herramientas, contratos y código localizan los sistemas de IA en uso, incluidos los que algún equipo contrató con una tarjeta.
Clasificación
Cada sistema recibe un nivel de riesgo, un responsable y una lista de carencias frente al NIST AI RMF, ISO/IEC 42001 y, si su asesor jurídico considera que aplica, la Ley de IA de la UE.
Controles
Pasos de revisión humana, evaluaciones que condicionan los lanzamientos, registros, límites de acceso y controles de proveedores se integran en los sistemas, empezando por el nivel más alto.
Operación
La supervisión, las revisiones trimestrales y un procedimiento de incidentes mantienen los registros al día a medida que cambian los modelos, los prompts y los proveedores.
Precios publicados, tarea por tarea.
Cada importe es el mismo que figura en la página de precios. Ninguna plataforma tiene una tarifa propia.
Un precio con «desde» cubre el alcance básico descrito en la página de precios. Un proyecto más amplio se presupuesta a precio fijo antes de empezar. El trabajo sin un final natural, como el desarrollo continuo, se factura por ingeniero y por mes, sin compromiso de permanencia.
Cuándo Gobernanza de IA es la opción adecuada y cuándo no.
- Sus equipos han lanzado o comprado IA más rápido de lo que nadie ha dejado por escrito quién es su responsable.
- El cuestionario de seguridad de un cliente, un auditor o un miembro del consejo pregunta cómo gobierna usted la IA.
- Utiliza agentes de IA que ejecutan acciones, no solo responden preguntas.
- Vende en la UE o a compradores regulados de salud, finanzas o el sector público.
- Necesita un dictamen jurídico sobre cómo clasifica la Ley de IA de la UE un sistema. Consulte a un abogado; nosotros trabajamos a su lado.
- Quiere que le expidamos un certificado ISO 42001. La certificación la emite un organismo de certificación acreditado; nosotros le ayudamos a prepararse para su auditoría.
- Usa una o dos herramientas de IA comerciales sin datos de clientes. Basta con una breve política de uso aceptable.
IA en producción con los controles integrados.
Control de acceso por área de práctica en la base de conocimiento de una consultora, controles HIPAA en una plataforma de telemedicina y salvaguardas clínicas con traspaso a una persona en un asistente para pacientes.
Transformación con IA: 1200 horas recuperadas por trimestre
Transformación con IA por fases en una consultora estadounidense: 1200 horas recuperadas por trimestre, 480 000 USD al año y ROI del 129 % el primer año.
Leer el casoTelemedicina con FHIR y HIPAA: 1200 pacientes en 90 días
Plataforma de telemedicina conforme a HIPAA, integrada con 3 sistemas EHR: 1200 pacientes inscritos en 90 días y una serie A de 4,5 millones de USD.
Leer el casoAsistente LLM para pacientes: 62 % menos preguntas repetitivas
Asistente RAG para pacientes con salvaguardas clínicas: en 8 semanas, 62 % menos de preguntas repetitivas en recepción y 68 % menos de tiempo de respuesta.
Leer el casoPreguntas sobre Gobernanza de IA
¿Cuánto cuesta una consultoría de gobernanza de IA?
El diagnóstico es el AI Transformation Sprint: 25 000 USD, precio fijo, en 2 semanas, con el inventario, los niveles de riesgo, la lista de carencias y un piloto del primer control. El proyecto de gobernanza posterior tiene un precio fijo por escrito después de definir el alcance. Los ingenieros que construyen controles en varios equipos cuestan de 3000 a 7500 USD por ingeniero al mes, y la supervisión continua corresponde a Managed AI Operations, de 3000 a 20 000 USD al mes. Si necesita pruebas adversariales de un agente o de una función basada en un LLM, el AI Security Assessment cuesta desde 12 000 USD, precio fijo.
¿Qué es un marco de gobernanza de IA?
Es la estructura con la que decide qué sistemas de IA utiliza y cómo los controla: funciones y responsables, un método de clasificación del riesgo, políticas, los controles obligatorios para cada nivel de riesgo y los registros que demuestran que esos controles se aplicaron. La mayoría de las empresas construye el suyo sobre el Marco de Gestión de Riesgos de IA del NIST, cuyas cuatro funciones son Govern, Map, Measure y Manage, y sobre ISO/IEC 42001 si quiere un sistema de gestión certificable. El NIST publica además un perfil para IA generativa (NIST AI 600-1, julio de 2024) que aplica el marco a los modelos generativos.
¿En qué se diferencia la gobernanza de agentes de IA?
Un agente actúa: invoca herramientas, escribe en sistemas y envía mensajes. La gobernanza de agentes añade controles que un chatbot no necesita: credenciales de mínimo privilegio para cada herramienta, una lista de acciones permitidas, un paso de aprobación humana antes de las acciones con consecuencias, límites de gasto y de frecuencia, y un registro de cada llamada a una herramienta con sus entradas y salidas, para poder reproducir qué hizo el agente y por qué.
¿Tenemos que cumplir la Ley de IA de la UE si no estamos en la UE?
Posiblemente. El artículo 2 aplica la Ley a los proveedores que introducen sistemas de IA en el mercado de la UE, estén donde estén, y a los proveedores y responsables del despliegue situados fuera de la UE cuando la salida del sistema se utiliza en la UE. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025, y la modificación de julio de 2026 trasladó las normas de alto riesgo del anexo III al 2 de diciembre de 2027 y las del anexo I al 2 de agosto de 2028 (comprobado el 23 de octubre de 2026). Si un sistema concreto entra en el ámbito de aplicación, y en qué categoría, es una cuestión para su asesor jurídico. Nosotros construimos el inventario, los registros y la supervisión que le pedirá.
¿Pueden ayudarnos a obtener la certificación ISO 42001?
Le ayudamos a prepararse. ISO/IEC 42001:2023 especifica los requisitos de un sistema de gestión de la IA, y la certificación la emite un organismo de certificación acreditado tras su propia auditoría. Gigabit construye lo que el auditor buscará en la práctica: el inventario de IA, las evaluaciones de riesgo y de impacto, las políticas y los responsables documentados, y las pruebas de que controles como las evaluaciones, la supervisión y la gestión de incidentes funcionan de verdad. No emitimos certificados ni le auditamos nosotros mismos.
Suelen tratarse en el mismo proyecto.
¿No sabe qué IA funciona hoy en su empresa?
Cuéntenos, en español o en inglés, qué sistemas de IA conoce y quién está haciendo las preguntas. Le respondemos en inglés con cómo los inventariaríamos y clasificaríamos, y cuánto costaría.