Cada informe de diagnóstico que entregamos empieza igual: inventariando qué IA usa la organización. Y termina, casi siempre, con la misma cara del otro lado de la mesa —la de descubrir que el uso ya estaba, sólo que nadie lo había mirado.
Después de repetir ese ejercicio unas cuantas veces, el patrón se vuelve nítido. Los riesgos son los mismos, el marco normativo es el mismo y la secuencia de trabajo que funciona también. Lo que cambia de una organización a otra es la distancia concreta hasta cada control.
Así que ordenamos ese patrón en un documento y lo publicamos.
Qué hay adentro
Las tres capas de uso. La declarada —el proyecto que se aprobó en comité—, la embebida —funcionalidades de IA que llegaron dentro de productos que ya se usaban— y la adoptada por los equipos, que es la más difícil de ver y la que más riesgo concentra. Ninguna política sirve si se escribe antes de mirar las tres.
El marco normativo completo. Estándares ISO —42001, 23894, 42005, la familia 27000—, el NIST AI RMF, el Reglamento europeo con su calendario de aplicación hasta 2028, el estado del marco regional y toda la normativa uruguaya vigente que ya alcanza a estos usos aunque no haya una ley específica de IA: la Ley 18.331 y su artículo 16 sobre decisiones automatizadas, la Ley 18.381, la Estrategia Nacional de IA y los entornos controlados de prueba.
Siete familias de riesgo, de la fuga de datos a la fragilidad de los automatismos basados en LLM, con una matriz de quince riesgos valorados por probabilidad e impacto.
Qué verificar antes de habilitar un asistente corporativo. Las tres modalidades que ofrecen los grandes proveedores bajo una misma marca tienen garantías muy distintas, y tratarlas como equivalentes es un riesgo en sí mismo. También el problema de la sobreexposición: un asistente integrado muestra a cada persona todo aquello a lo que ya tiene acceso técnico, aunque no debiera tenerlo.
Trece controles mapeados al Anexo A de ISO/IEC 42001, y una hoja de ruta en tres horizontes: contención inmediata, construcción de la gobernanza y consolidación.
Lo que no es
No es un documento comercial disfrazado. Tampoco es asesoramiento legal: donde el marco regulatorio cambia rápido —y en esta materia cambia muy rápido— lo decimos, con la fecha de corte a la vista.
Y no está pensado para leerse entero de una sentada. Las secciones 5 a 8 —riesgos, controles y hoja de ruta— son las que más se usan como material de trabajo en un comité.
Cómo obtenerlo
Se descarga desde la página del informe. Pedimos nombre, organización y correo, y el enlace llega al instante además de por email. No incorporamos esa dirección a ninguna lista de difusión ni la compartimos con terceros: si queremos volver a escribirle, se lo vamos a preguntar antes.
Si después de leerlo quiere saber a qué distancia está su organización, el diagnóstico de madurez frente a ISO/IEC 42001 inventaría los usos reales de IA y mide la brecha en pocas semanas.