Gobernanza, seguridad y cumplimiento

Depende del nivel de riesgo de cada sistema que uséis: desde ninguna obligación específica para usos de riesgo mínimo hasta requisitos de transparencia, documentación técnica y supervisión humana para los de riesgo alto. El primer paso siempre es inventariar qué IA usáis realmente en el día a día, porque muchas pymes tienen más sistemas de riesgo relevante de los que creen — a veces integrados en herramientas que ya usaban antes de pensar en esto.

El Reglamento distingue entre riesgo inaceptable, alto, limitado y mínimo, según el uso concreto que se le da al sistema y su impacto sobre personas — no según la tecnología en sí. Un mismo modelo puede ser de riesgo mínimo en un uso y de riesgo alto en otro, así que clasificamos caso por caso, no por herramienta, y de ahí sale qué obligaciones aplican exactamente a vuestra empresa.

El Reglamento prevé un régimen sancionador serio, con multas que escalan según la gravedad de la infracción y el tipo de sistema afectado — no es un riesgo simbólico ni algo que se resuelva a posteriori sin coste. Más allá de la sanción, el riesgo real para una pyme suele ser comercial: perder un cliente o un concurso público por no poder acreditar que vuestra IA está bajo control.

Para sistemas de riesgo alto se exige documentación sobre el propósito del sistema, los datos usados, las medidas de gestión de riesgo y los mecanismos de supervisión humana, entre otros elementos. Nosotros la redactamos con vosotros, no en vuestro lugar sin conocer el sistema por dentro, porque tiene que reflejar cómo funciona de verdad, no una plantilla genérica.

No. Trabajamos de forma coordinada con vuestro DPO o asesoría legal, pero el foco de este servicio es específicamente el uso de IA, que tiene obligaciones propias más allá del RGPD. Si no tenéis DPO, os decimos con claridad en qué punto necesitáis uno y en qué punto el criterio de IA basta por sí solo.

No, son normativas distintas que se solapan pero no coinciden: el RGPD regula el tratamiento de datos personales y el Reglamento de IA regula el sistema de IA en sí — su clasificación, su documentación, su supervisión. Una empresa puede cumplir el RGPD y aun así tener huecos en su cumplimiento de IA, y viceversa, por eso conviene abordarlos de forma coordinada pero diferenciada.

Tiene sentido para cualquier pyme que ya use IA de forma operativa — asistentes internos, automatizaciones, herramientas de terceros con IA integrada — y quiera saber dónde está expuesta. Si todavía no usáis IA en ningún proceso, probablemente os interesa antes una Auditoría de IA o una Estrategia de IA que definan por dónde empezar, y dejar la gobernanza para cuando ya haya algo que gobernar.

Con un diagnóstico gratuito de 30 minutos, sin compromiso, en el que valoramos qué sistemas de IA tenéis en uso y el volumen de exposición normativa real. A partir de ahí proponemos un alcance concreto: inventario, análisis de riesgo, redacción de políticas y formación básica al equipo.

Varía según el número de sistemas de IA en uso y la complejidad de vuestra estructura de datos, así que se estima en el diagnóstico inicial y no antes. Lo que sí es constante es la secuencia: inventario, análisis de riesgo, documentación y formación, en ese orden, porque cada fase depende de la anterior.

Este es un servicio de precio cerrado, no de AIfficiency, porque el resultado es cumplimiento y documentación auditable, no un ahorro económico directo que se pueda medir en euros o en horas. El alcance y el precio se acotan en la propuesta tras el diagnóstico inicial, sin sorpresas después.

Sí, es posible acogerse a u otros programas de subvención según el perfil de vuestra empresa, y gestionamos esa parte incluida en el proyecto para reducir o eliminar el coste de la inversión. Se valora en el diagnóstico inicial junto con el resto del alcance.

También cuentan, y de hecho suelen ser la parte del inventario que más sorprende a los clientes: departamentos que usan IA generativa sin que dirección lo sepa formalmente, lo que se conoce como shadow AI. Parte del trabajo es precisamente sacar eso a la luz antes de documentar y clasificar, porque no se puede gobernar lo que no se ha inventariado.

Vuestra, sin condiciones. Entregamos las políticas internas, el inventario y la documentación técnica para que las gestionéis con total autonomía, sin depender de nosotros para mantenerlas vivas si no queréis.

La normativa y vuestros sistemas de IA evolucionan, así que el cumplimiento no es un documento que se firma una vez y se archiva. Dejamos el marco y la formación para que el propio equipo lo mantenga actualizado, y quedamos disponibles para revisiones puntuales cuando incorporéis un sistema de IA nuevo o cambie el reglamento aplicable.

El éxito aquí se mide en reducción de exposición: sistemas correctamente clasificados, documentación técnica disponible ante una inspección o una due diligence, y un equipo que sabe qué puede y qué no puede hacer con IA. No es un servicio de AIfficiency porque su valor no es un ahorro medible, es evitar un riesgo concreto.

Las dos cosas. La formación básica en uso responsable de IA es una fase explícita del proceso, porque una política que nadie entiende ni aplica en el día a día no sirve de nada — el documento sin el criterio del equipo detrás no cambia el comportamiento real.

Es la situación más habitual, no una excepción. El inventario inicial está pensado precisamente para partir de la realidad tal cual está, sin juzgar cómo se llegó ahí, y a partir de ese punto de partida se cierra cualquier hueco normativo detectado.

Se aplica de forma transversal en todos los proyectos de automatización y agentes que entregamos, no solo como servicio aislado — cualquier sistema que implantamos ya se diseña con criterio de cumplimiento desde el principio. Este servicio específico tiene sentido cuando el foco es el conjunto de vuestros sistemas de IA, no un proyecto puntual.

No somos un despacho de abogados y no sustituimos el asesoramiento legal formal cuando se necesita. Nuestro papel es el criterio técnico sobre IA: clasificación de sistemas, documentación técnica y gobernanza operativa, trabajando de forma coordinada con vuestro asesor legal o DPO para que ambas piezas encajen.

Cada vez más empresas grandes exigen a sus proveedores acreditar cumplimiento de IA como condición de contrato, igual que llevan años exigiendo cumplimiento de RGPD. No tener esa documentación lista puede significar perder un contrato o quedar fuera de un concurso, independientemente de si llega a haber sanción o no.