Muchos equipos adoptan herramientas de IA como compran material de oficina: alguien prueba una, le gusta y empieza a utilizarla. La gobernanza llega después, o nunca. Una lista de comprobación de gobernanza permite abordarla antes de la adopción.
El problema es que la IA presenta riesgos diferentes a los de un SaaS tradicional. Si una herramienta de transcripción entrena con las reuniones o una IA de gestión de proyectos envía cronogramas a un modelo externo, el equipo ya ha tomado una decisión de compra que las áreas jurídica, tecnológica y de cumplimiento debían revisar primero.
Evaluar antes de adoptar no es burocracia: es gestión del riesgo.
Qué está evaluando realmente
Una evaluación estructurada cubre seis dimensiones:
Estabilidad del proveedor. ¿Es probable que la empresa siga existiendo dentro de dos años? Muchas startups de IA lanzadas en 2023 y 2024 ya han cerrado o han sido adquiridas. ¿Qué ocurriría con sus datos?
Manejo de datos. ¿Qué recopila la herramienta y adónde lo envía? ¿Se utiliza para entrenar modelos? Muchos equipos no saben que sus transcripciones o documentos pueden convertirse en datos de entrenamiento si no rechazan esa opción al registrarse.
Riesgo de integración. ¿Qué pasa si organiza el trabajo alrededor de una herramienta y cambia la API, se duplica el precio o desaparece una función clave? Los productos de IA evolucionan rápidamente; lo adoptado hoy puede no existir de la misma forma en seis meses.
Cumplimiento normativo. Si el proyecto pertenece a salud, finanzas, gobierno o un ámbito sujeto al Reglamento Europeo de IA, ¿cumple la herramienta los requisitos aplicables? El reglamento establece obligaciones de documentación y supervisión para determinadas categorías, con disposiciones que entran en vigor en 2026.
Acceso y responsabilidad. ¿Quién accede a la herramienta y a sus resultados? Si resume una conversación sensible, ¿dónde se guarda el resumen y quién puede recuperarlo?
Salida y portabilidad. Si deja de utilizarla, ¿puede recuperar sus datos? ¿En qué formato? Muchas herramientas facilitan la importación y dificultan deliberadamente la exportación.
Cómo realizar la evaluación
Una evaluación útil no requiere un equipo de seguridad ni un proceso formal de compras. Requiere preguntas concretas y alguien dispuesto a responderlas antes de introducir la herramienta en producción.
Para cada herramienta:
- Identifique cuáles de las seis dimensiones son más relevantes para su proyecto.
- Responda las preguntas de cada dimensión pertinente con documentación, condiciones del servicio o consultas directas al proveedor.
- Clasifique el riesgo de cada dimensión como bajo, medio o alto.
- Identifique las dos o tres áreas de mayor riesgo y las posibles mitigaciones: acuerdos contractuales de datos, opciones de exclusión y configuraciones de seguridad.
- Documente la decisión: adoptar con riesgos y mitigaciones registrados o posponer.
El resultado no es un bloqueo ni una aprobación automática, sino una decisión documentada. Ambas opciones representan un logro de gobernanza.
Qué hacer con el perfil de riesgo
La evaluación aporta tres resultados prácticos. El artículo original también enlazaba una plantilla de gobernanza como estructura reutilizable para las seis dimensiones.
Una entrada en el registro de riesgos del proyecto. Si ocurre una filtración, una interrupción o un incumplimiento, dispondrá de evidencia de la diligencia ejercida antes de adoptar.
Un registro de compra para TI, el área jurídica o cumplimiento. Muchas organizaciones están formalizando políticas de adquisición de IA; anticiparse facilita la conversación.
Una línea base repetible para la siguiente evaluación. Después de aplicar el método una vez, las siguientes pueden durar quince minutos en vez de varias horas.
El propósito es una adopción deliberada y un registro claro del razonamiento para el equipo, las partes interesadas y la organización.
Recurso histórico: el evaluador de riesgos de herramientas de IA enlazado en el original no forma parte del archivo recuperado.