Primero, la adopción
Cada área lanzó lo suyo
En dos años una organización pasa de un piloto a decenas de iniciativas repartidas entre equipos, proveedores y suscripciones distintas.
Gobierno, supervisión y riesgo de la IA corporativa
Toda tu IA corporativa, bajo gobierno con vigIA.
vigIA es el registro único de los agentes de IA de tu organización: quién los usa, quién responde por ellos, qué autorización tienen y cómo se comportan hoy en producción.
El diagnóstico es anónimo y no pide datos de contacto.
- ISO/IEC 42001
- EU AI Act
- GDPR
- Instancia dedicada en tu tenant
Registro de agentes
Datos de ejemplo142registrados
38en producción
11en evaluación
94%controles al día
- Asistente de siniestros Producción
- Clasificador de contratos Puerta 3
- Copiloto de atención Producción
- Scoring de crédito Alto riesgo
- Resumen de expedientes Puerta 1
5 de 142 agentes · cada ficha incluye propietario, datos de origen y evidencia
Por qué nace vigIA
La IA llegó a producción antes que su gobierno.
Después, la niebla
Nadie tiene el mapa
No existe una lista única de qué agentes hay, quién responde por ellos, con qué datos operan ni quién autorizó su paso a producción. La respuesta vive en correos y hojas de cálculo.
Ahora, la prueba
Hay que demostrarlo
El EU AI Act, el GDPR y la ISO 42001 no piden buenas intenciones: piden evidencia trazable. Reconstruirla a posteriori cuesta meses y nunca queda completa.
El gobierno de la IA no es un documento que se firma una vez. Es un sistema de registro que funciona todos los días.
Antes de pedir nada
¿En qué punto está el gobierno de tu IA?
Cinco preguntas, dos minutos. Al terminar verás tu nivel, los huecos más urgentes y por dónde tendría sentido empezar. No guardamos las respuestas ni pedimos tu correo.
Diagnóstico de madurez
Responde pensando en tu organización hoy, no en el plan para este año.
Qué resuelve
Cuatro preguntas que hoy tardan semanas en responderse.
«¿Cuántos agentes de IA tenemos?»
Inventario vivo: cada agente con propietario, criticidad, clasificación EU AI Act, fuentes de conocimiento y entorno. Se alimenta de tus proveedores y de tu telemetría, no de un formulario que alguien deba recordar rellenar.
Queda registrado: ficha versionada de cada agente, con historial de cambios.
«¿Quién autorizó que esto pase a producción?»
Ninguna etapa avanza sin superar su puerta de calidad y recoger la firma de las tres líneas de defensa. La promoción a producción es siempre una acción humana y supervisada.
Queda registrado: quién firmó, cuándo y con qué evidencia adjunta.
«¿Está funcionando bien ahora mismo?»
Latencia, tasa de error y volumen por agente a partir de la telemetría que ya emiten tus aplicaciones, con alertas por severidad y un responsable asignado a cada una.
Queda registrado: línea temporal de incidentes, con tiempo de detección y cierre.
«¿Qué le enseñamos al regulador?»
Registro de auditoría de las acciones críticas con retención a siete años, exportable por agente, periodo o control. Sin reconstrucción manual la semana previa a la inspección.
Queda registrado: expediente exportable en PDF y CSV, con sello de integridad.
Cómo lo resuelve
Gobernanza primero. Ciclo de vida después.
El Módulo 00 establece gobernanza e inventario como base obligatoria. Desde ahí, el Módulo 01 orquesta el ciclo de vida y el resto de módulos amplía el control de forma acumulativa.
Módulo troncal
«Gobierno toda mi IA desde un inventario único y trazable.»
La base de control: inventario, políticas y riesgo antes del despliegue.
142Registrados
38Producción
9Alto riesgo
6Firmas pendientes
AgentePropietarioEU AI ActEstado
Scoring de créditoD. RiesgosAnexo IIIAlto riesgo
Asistente de siniestrosSiniestrosLimitadoProducción
Clasificador de contratosLegalLimitadoSin firmar
Copiloto de atenciónClienteMínimoProducción
Dashboard ejecutivo
Vista 360° del portfolio: agentes totales, criticidad, cumplimiento y tareas pendientes de firma. Prioriza decisiones de gobernanza antes del avance operativo.
Inventario de agentes
Registro maestro de agentes con propietario, estado, criticidad y clasificación EU AI Act. Desde aquí se trazan políticas, riesgos, evaluaciones y auditoría.
DEFINA · flujo de 5 pasos
Todo caso de uso se registra y valida antes de construirse: intake, checklist normativo, matriz de riesgos, evaluación de impacto y decisión de aprobación documentada.
Políticas, roles y comité
Política de IA vigente, cuatro roles mapeados a grupos de Entra ID y actas del comité, unidas a los agentes a los que aplican.
Quién lo consumeComité de IA y dirección: el portfolio, su criticidad y las firmas pendientes.
Sobre el Módulo 00
«Ningún agente llega a producción sin pasar por sus puertas.»
De la idea a la retirada, con una puerta de calidad entre cada etapa.
Idea
Diseño
Evaluación
Piloto
Producción
Retirada
Línea de defensaResponsableFechaEstado
1.ª · NegocioM. Arroyo04 sepFirmado
2.ª · Riesgo y cumplimientoL. Peña11 sepFirmado
3.ª · Auditoría internaSin asignar—Pendiente
Etapas y puertas de calidad
Idea, diseño, evaluación, piloto, producción y retirada, cada una con criterios de salida definidos según el nivel de riesgo del agente.
Firmas de las tres líneas
Primera, segunda y tercera línea de defensa firman de forma nominal antes de cada avance. La firma queda unida a la evidencia que la justificó.
Promoción supervisada
El paso a producción es siempre una acción humana y trazable. Nunca automática, nunca decidida en solitario por el equipo que construye.
Reevaluación y retirada
Las aprobaciones caducan y se revisan ante cambios de modelo o de datos. El plan de retirada y el archivo del expediente forman parte del ciclo.
Quién lo consumeComité de IA: qué está en cada puerta y qué lleva demasiado tiempo parado.
Sobre los Módulos 00 y 01
«Sé cómo se está comportando cada agente ahora mismo.»
La telemetría que ya existe, leída en clave de gobierno.
Latencia media · asistente de siniestros30 días · p95 1,9 s
AlertaAgenteAbiertaSeveridad
Latencia sobre umbralSiniestros2 h 14 mAlta
Fuente de datos no aprobadaContratos1 dMedia
Caída de volumenAtención3 dBaja
Señales por agente
Latencia, tasa de error y volumen a partir de la telemetría que ya emiten tus aplicaciones, atribuidos al agente y a su propietario.
Alertas por severidad
Clasificadas por severidad y categoría, con escalado al responsable del agente en lugar de a un buzón genérico.
Desviación frente a lo aprobado
Detección de uso fuera del alcance autorizado en la puerta de producción: nuevos casos, nuevas fuentes de datos, nuevos destinatarios.
Tiempo de detección y cierre
MTTD y MTTR por agente e histórico de incidentes, para sostener la revisión periódica del riesgo residual.
Quién lo consumeOperación y responsables de agente: alertas vivas, MTTD y MTTR.
Sobre los Módulos 00 a 02
«Puedo demostrar cada control sin reconstruir el pasado.»
La evidencia que dejan los módulos anteriores, sellada y exportable.
Promoción a producción · scoring de crédito · L. Peña
a7f3…9c21FRIA actualizada · scoring de crédito · v4
bd10…4e88Firma de 2.ª línea · clasificador de contratos
3ce9…71afAlta en inventario · resumen de expedientes
f042…2b57Registro inmutable
Acciones críticas registradas de forma inalterable, con retención a siete años conforme al EU AI Act.
Checklist normativo
Estado de cada control frente al EU AI Act, el GDPR y la ISO/IEC 42001, con el hueco señalado y su responsable.
Exportación de evidencia
Paquete por agente, periodo o control, listo para auditoría interna, externa o requerimiento del regulador.
Revisión independiente
La tercera línea trabaja sobre los mismos datos que la primera, sin pedir nada por correo ni depender de quién construyó el agente.
Quién lo consumeAuditoría interna y regulador: evidencia exportable con siete años de retención.
Cobertura normativa
De cada obligación a la evidencia que la demuestra.
Citar artículos es fácil. Esto es lo que vigIA produce para cada uno de ellos.
| Obligación | Dónde se cubre | Evidencia que genera vigIA |
|---|---|---|
| EU AI Act, art. 9Sistema de gestión de riesgos | Módulo 00 | Matriz de riesgos versionada por agente, con controles, responsable y riesgo residual aceptado. |
| EU AI Act, art. 14Supervisión humana | Módulo 01 | Firma nominal de promoción a producción y registro de las intervenciones humanas previstas. |
| EU AI Act, art. 17Sistema de gestión de calidad | Módulos 00 y 01 | Política de IA vigente, roles asignados y criterios de salida de cada puerta de calidad. |
| EU AI Act, art. 27Evaluación de impacto en derechos | Módulo 00 | FRIA cumplimentada y fechada, vinculada a la ficha del agente y a su clasificación de riesgo. |
| EU AI Act, art. 12Conservación de registros | Módulo 03 | Registro inmutable de acciones críticas con retención a siete años y exportación sellada. |
| GDPR, art. 30Registro de actividades de tratamiento | Módulo 00 | Mapa de datos y finalidades por agente, reutilizable en el RoPA corporativo. |
| GDPR, art. 35Evaluación de impacto (DPIA) | Módulo 00 | DPIA coordinada con privacidad, con trazabilidad de la decisión y de sus revisiones. |
| ISO/IEC 42001Sistema de gestión de IA | Módulos 00 a 03 | Declaración de aplicabilidad, evidencias por control y trazas de revisión por la dirección. |
vigIA aporta el sistema de registro y la evidencia. La interpretación jurídica de cada obligación la acompaña el equipo de Pérez-Llorca durante la implantación.
Arquitectura y seguridad
En tu propio tenant y con control total.
Una instancia dedicada de vigIA por cliente, desplegada en tu suscripción y tu tenant de Entra ID. Máximo aislamiento de datos para organizaciones reguladas.
Control de acceso
Cuatro roles —administración, edición, revisión y consulta— mapeados a grupos de Entra ID existentes. Sin usuarios paralelos que mantener.
Firmas de las tres líneas
Las puertas del ciclo de vida actúan como control previo a cada avance. La firma es nominal y queda unida a la evidencia que la justificó.
Registro de auditoría
Acciones críticas en un registro inmutable con retención a siete años, conforme a lo que exige el EU AI Act.
Cifrado y secretos
Secretos en Key Vault, tráfico cifrado en tránsito y verificación HMAC de los webhooks entrantes.
Decisión humana
La promoción a producción es siempre una acción supervisada y trazable. vigIA no despliega ni aprueba por su cuenta.
Continuidad
Copias y exportación completa del expediente en formatos abiertos. Si dejas de usar vigIA, tu evidencia se va contigo.
Cómo encaja
Se conecta a lo que ya tienes.
Tus agentes en producción ya emiten telemetría y eventos. vigIA los unifica y los convierte en alertas, trazabilidad y reporte ejecutivo, sin que reescribas una línea de tus agentes.
Fuentes
- Agentes de negocio
- Modelos y aplicaciones de IA
- Proveedores de LLM vía API
- Suscripciones y catálogos
Recolección
- OpenTelemetry (OTLP)
- Bus de eventos
- Pipelines de CI/CD
- Webhooks firmados
vigIA
- Inventario y ciclo de vida
- Riesgo y controles
- Correlación de señales
- Registro de auditoría
Salidas
- Alertas por severidad
- Trazabilidad de incidentes
- Panel de dirección y comité
- Expediente para auditoría
Cómo se empieza
Cuatro formas de arrancar, según lo que ya tengas.
El alcance definitivo y la inversión se fijan en el workshop de scoping, en función del número de agentes gestionados y de los requisitos de integración.
Diagnóstico
2 semanas · equipo reducido
Para saber qué IA hay realmente antes de decidir nada.
- Descubrimiento de agentes en uso
- Clasificación preliminar de riesgo
- Informe de huecos y prioridades
El arranque más habitual
Base de gobierno
6 a 8 semanas
Inventario vivo y un camino único hacia producción.
- Módulos 00 y 01 en tu tenant
- Política, roles y comité operativos
- Formación de las tres líneas
Gobierno gestionado
Ciclo trimestral
Cuando la base existe pero falta quien la haga funcionar cada mes.
- Módulos 02 y 03 activos
- Comité de IA acompañado
- Reporte trimestral al consejo
Programa completo
Kick-off en 4 semanas
Para organizaciones con fecha de auditoría o certificación en el calendario.
- Módulos 00 a 03
- Integración con tu stack
- Preparación de ISO/IEC 42001
Preguntas frecuentes
Lo que se pregunta antes de la primera reunión.
¿Cuánto cuesta?
No publicamos tarifa porque el alcance varía mucho: el precio depende del número de agentes gestionados, de los módulos activos y de las integraciones necesarias. En el workshop de scoping, de dos horas, sale una cifra cerrada. Si lo que necesitas es una horquilla para presupuestar, dilo en el formulario y te la damos antes de la demo.
¿vigIA sustituye a mi plataforma de MLOps o de observabilidad?
No. vigIA se sitúa por encima: consume la telemetría que ya generan tus herramientas y añade la capa de gobierno —inventario, autorización, riesgo y evidencia— que esas plataformas no cubren. Si ya usas OpenTelemetry, la integración es de lectura.
¿Funciona con IA de terceros que no hemos construido nosotros?
Sí, y suele ser la mitad del problema. Copilotos de proveedor, funcionalidades de IA embebidas en SaaS y suscripciones contratadas por un área concreta entran en el inventario igual que los agentes propios, con su propietario interno, su clasificación de riesgo y su evidencia contractual.
¿Dónde se alojan los datos?
En tu suscripción y tu tenant de Entra ID. Cada cliente tiene una instancia dedicada, sin datos compartidos entre organizaciones. Si dejas de usar vigIA, exportas el expediente completo en formatos abiertos.
¿Qué tenemos que aportar nosotros?
Tres cosas: un responsable del proyecto con capacidad de convocar a las áreas, acceso de lectura a la telemetría existente y una lista inicial —aunque esté incompleta— de los agentes conocidos. El resto del descubrimiento lo hace el equipo de implantación.
¿Sirve si todavía no tenemos IA en producción?
Es el mejor momento. Poner la base de gobierno antes de la primera promoción evita reconstruir expedientes después, que es donde se va el tiempo y donde la evidencia queda siempre incompleta.
¿Cuánto tarda la implantación?
La base de gobierno —Módulos 00 y 01— está operativa en seis a ocho semanas desde el kick-off. Un programa completo con integraciones a medida se planifica por fases trimestrales.
¿Quién está detrás de vigIA?
ALIANDO aporta la plataforma y la implantación tecnológica; Pérez-Llorca, el criterio jurídico sobre el EU AI Act, el GDPR y el encaje sectorial. El producto nace de esa combinación, no de una adaptación genérica de una herramienta de cumplimiento.
Siguiente paso
Empieza por gobernar qué IA tienes.
Una demo guiada de una hora sobre los módulos que te interesen, con los casos de uso de tu organización sobre la mesa. Sin presentación corporativa.
Solicitud enviada
Te escribimos a tu correo en menos de 24 horas hábiles con dos o tres huecos para la demo. Si prefieres adelantar contexto, responde a ese mismo correo con lo que tengas: una lista, un acta del comité o incluso una hoja de cálculo a medias nos vale.
¿Prefieres no rellenar nada? Escribe directamente a governance@aliando.ai y contamos lo mismo por correo.
- 1DemostraciónRecorrido guiado por los módulos que te interesen, con tus casos sobre la mesa.1 hora
- 2Workshop de scopingEscenario adecuado, requisitos de integración y cifra cerrada.2 horas
- 3PropuestaArquitectura, plan de implantación y acuerdo de nivel de servicio.5 días
- 4Kick-offInicio de la implantación tras la firma.Hasta 4 semanas
Desarrollado por
ALIANDOPlataforma e implantación
Pérez-LlorcaCriterio jurídico y normativo
vigIA nace de la combinación de ambas casas: la tecnología que sostiene el registro y el criterio legal que define qué hay que registrar.