Herramientas y plataformas de gobernanza de IA: cómo evaluarlas antes de comprar

Si un proveedor le presenta una plataforma de gobernanza de IA, ¿qué debería poder hacer para que valga la pena? Esta guía propone una lista de criterios.

Una aclaración: no nombramos ni comparamos productos, ni damos precios, porque no tenemos fuente primaria para afirmar qué ofrece un proveedor concreto. Las funciones salen de requisitos documentados en el Reglamento de IA europeo (texto consolidado al 27 de julio de 2026), en el marco del NIST y en el modelo de madurez de Microsoft, citados al final y consultados en noviembre de 2026. Las preguntas al proveedor son criterio de Cyrrus.

Primero: qué hay que gobernar

Antes de ver herramientas hace falta una lista de los sistemas de IA que usa la empresa, propios y de terceros, con el rol de la empresa en cada uno. Sin esa lista, cualquier herramienta queda vacía (criterio de Cyrrus). La guía sobre qué evidencia debe poder mostrar la empresa explica cómo armarla.

¿Va a comprar una plataforma de gobernanza de IA?

Diseñamos el marco de Gobierno de IA de su organización: qué se puede automatizar, qué necesita supervisión humana y quién responde por cada decisión.

• Mapa de riesgo por caso de uso, no una política genérica
• Roles y responsables definidos entre negocio, TI y legal

Conocer Gobierno de IA

Qué debería poder apoyar una herramienta

Según el NIST, gobernar es una función transversal presente en toda la gestión de riesgos de IA y busca cultivar e implementar una cultura de gestión de riesgos. Una herramienta puede guardar roles y registros, pero la cultura y las decisiones no vienen incluidas (criterio de Cyrrus).

Lo que una demostración no prueba

El modelo de madurez de Microsoft incluye las herramientas como una de sus 24 dimensiones y advierte que un nivel 5 en herramientas no tiene el mismo impacto que un nivel 5 en cultura y liderazgo. Es decir, comprar una herramienta no sube por sí solo la madurez de las demás dimensiones.

Un cuidado más, de criterio de Cyrrus: que un proveedor diga estar alineado o certificado con una norma como ISO/IEC 42001 habla de su propio sistema de gestión; no certifica el de su empresa. La ficha de la IEC dice que la norma aplica a las organizaciones que ofrecen o usan IA, y su empresa es una de ellas.

Primero defina el problema, después la herramienta

Ayudamos a su comité directivo a decidir qué delegar, qué supervisar y qué nunca automatizar — antes de que la adopción avance sin control.

• Comité de gobierno con negocio, TI, legal y seguridad
• Criterios claros para aprobar nuevos casos de uso de IA

Agendar conversación sobre Gobierno de IA

Preguntas para pedir por escrito

Cinco preguntas, de criterio de Cyrrus. Dónde se alojan los datos y quién accede a ellos. Qué normas dice cumplir y con qué evidencia, no solo con un logotipo. Cómo se exportan los datos si termina la relación. Qué parte del producto es configuración y qué es desarrollo a medida. Y cuál es el costo total a varios años, con licencia, implementación, personal interno y cambios, a partir de una cotización por escrito y no de una cifra de ejemplo.

Qué debe decidir la gerencia

Tres decisiones, de criterio de Cyrrus. Primero, qué problema concreto resolverá la herramienta: inventario, riesgos, documentación, registros o formación. Segundo, quién será el dueño de la herramienta y de la evidencia que guarde. Tercero, cómo medirá a los seis meses si se usa. Si la respuesta a las tres no está clara, probablemente la compra es prematura.

Para ubicar la herramienta dentro de un marco y de una escala de preparación, lea qué es la gobernanza de IA y qué marcos usar y el modelo de madurez.