Respuesta directa: elija una consultora de gobernanza de IA por su capacidad de poner seis mecanismos en funcionamiento: mandato ejecutivo, inventario vivo, clasificación de riesgo, controles proporcionales, assurance basado en evidencia y operación continua. Una biblioteca de políticas no demuestra gobernanza. Antes de contratar, pida que la consultora muestre cómo una iniciativa real entra en el proceso, quién decide, qué evidencia se exige, cómo se tratan excepciones y cómo el sistema sigue funcionando cuando termina el proyecto.
La gobernanza de IA no debe ser una capa que solo ralentiza equipos ni un documento de principios genéricos. Debe permitir decisiones consistentes sobre comprar, construir, probar, lanzar, monitorear, cambiar y retirar sistemas de IA. El socio correcto conecta consejo y ejecutivos con producto, tecnología, datos, seguridad, legal, privacidad, compras, riesgo y operación. El resultado es capacidad organizacional, no dependencia permanente de especialistas externos.
El Governance Delivery Proof-6 de MAKINAI
Compare propuestas mediante seis pruebas: Mandato, Inventario, Clasificación, Controles, Assurance y Operación. Para cada una, exija responsable, flujo, artefacto, plazo y una prueba con una decisión real. NIST organiza la gestión de riesgo en Gobernar, Mapear, Medir y Gestionar; Proof-6 traduce esa lógica a la selección de un socio que debe implantar comportamiento organizacional verificable.
1. Prueba de Mandato: ¿quién puede decidir y aceptar el riesgo?
La consultora debe ayudar a definir alcance, objetivos, apetito de riesgo, roles y foros. Pregunte cómo se resolverán conflictos entre velocidad, valor, seguridad, privacidad y experiencia. Exija un mapa que separe responsabilidad ejecutiva, propiedad del caso, revisión especializada y aprobación. Un comité no debe revisar todo: debe decidir excepciones y asuntos fuera de la autoridad delegada a los equipos.
- Evidencias: charter; principios conectados con estrategia; RACI; niveles de autoridad; calendario; regla de escalamiento; registro de decisiones. Prueba: presente un caso de alto valor con evidencia incompleta y pida mostrar quién decide, con qué criterios y en cuánto tiempo.
2. Prueba de Inventario: ¿la organización sabe dónde existe IA?
Sin inventario, la gobernanza cubre solo proyectos visibles. El socio debe descubrir modelos propios, APIs, funciones integradas en software, automatizaciones, experimentos, aplicaciones de proveedores y uso descentralizado. La guía británica AI Management Essentials describe un registro de sistemas con documentación técnica, evaluaciones de impacto, análisis de modelos y registros de datos. El inventario debe identificar responsables, finalidad, usuarios, datos, proveedores, integraciones, etapa y última revisión.
Pregunte cómo nuevos sistemas ingresan al registro por compras, seguridad, arquitectura, catálogo de datos o desarrollo. Una hoja creada una vez envejece rápido. Exija reconciliación, criterios de completitud y proceso de retiro. El objetivo no es contar herramientas, sino revelar dónde deben gestionarse decisiones y riesgos.
3. Prueba de Clasificación: ¿los controles cambian según contexto e impacto?
NIST indica que perfiles y acciones deben contextualizarse; su Playbook no es una lista universal. La consultora debe construir un método simple para clasificar impacto, autonomía, sensibilidad de datos, población afectada, reversibilidad, escala, dependencia de terceros y consecuencia del error. Debe ser comprensible para negocio y permitir revisión especializada en casos difíciles.
- Evidencias: preguntas de intake; criterios; niveles; ejemplos limítrofes; tratamiento de usos prohibidos o restringidos; regla de reclasificación; vínculo entre nivel y controles. Prueba: clasifique tres casos y compruebe si riesgos similares reciben tratamiento consistente.
4. Prueba de Controles: ¿el requisito entra en el ciclo de entrega?
Las políticas funcionan cuando se convierten en criterios de diseño, compra, desarrollo, evaluación, lanzamiento y cambio. Para cada nivel, la consultora debe mapear controles de finalidad, datos permitidos, evaluación, revisión humana, seguridad, transparencia, acceso, registro, contestación, proveedor y monitoreo. ISO/IEC 42001 describe un sistema de gestión que establece políticas, objetivos y procesos y mejora continuamente; la propuesta debe mostrar cómo entra en procesos existentes.
Evite crear una segunda burocracia si seguridad, privacidad, arquitectura, calidad y compras ya tienen flujos maduros. El socio debe integrar requisitos, eliminar duplicación e identificar qué es específicamente nuevo. Pregunte quién implementa cada control, quién lo prueba, dónde queda la evidencia y cuándo vence una excepción.
5. Prueba de Assurance: ¿cómo sabe la empresa que el control funciona?
Assurance no es promesa del equipo ni certificación usada como atajo. Es evidencia suficiente para una decisión y proporcional al riesgo. El framework de GAO organiza accountability en gobernanza, datos, performance y monitoreo y ofrece preguntas para gestores, auditores y evaluadores. La consultora debe crear una matriz que conecte afirmación, riesgo, control, prueba, resultado, límite y quien acepta el riesgo residual.
Pida ejemplos: datasets e informes de evaluación, threat models, pruebas de acceso, análisis de datos, revisión de experiencia, logs, incidentes simulados y monitoreo. Verifique independencia: en casos sensibles, quien construye no debe ser el único evaluador. El socio debe explicar la diferencia entre autoevaluación, revisión interna, auditoría y certificación sin prometer cumplimiento automático.
6. Prueba de Operación: ¿el sistema sigue vivo después del proyecto?
La gobernanza debe acompañar cambios de modelo, proveedor, datos, finalidad, mercado y comportamiento observado. Exija gatillos de reevaluación, monitoreo, gestión de incidentes, canal de reporte, excepciones con vencimiento y revisión periódica del portafolio. Las métricas deben mostrar tiempo de decisión, cobertura, controles vencidos, incidentes, riesgo residual y capacidad de retirar sistemas.
La consultora debe diseñar un modelo operativo compatible con tamaño y madurez. En una organización menor, roles pueden combinarse; en una grande, pueden existir hub central y responsables distribuidos. Ambas necesitan personas entrenadas, presupuesto, herramienta proporcional, documentación accesible y plan de transferencia.
Cómo puntuar consultoras en 24 puntos
Asigne de cero a cuatro puntos a cada prueba: cero, ausente; uno, promesa; dos, método documentado; tres, evidencia de piloto; cuatro, operación reproducible. Exija al menos tres en Mandato, Inventario, Assurance y Operación. Después ejecute un caso real desde registro hasta decisión. No permita que experiencia regulatoria compense incapacidad de trabajar con producto e ingeniería, ni que profundidad técnica sustituya accountability organizacional.
Alcance recomendado para los primeros 90 días
Empiece con diagnóstico corto y una muestra real del portafolio. Defina mandato y taxonomía, cree un inventario mínimo, clasifique casos prioritarios e implemente controles en dos o tres iniciativas. Pruebe el foro, produzca evidencia, simule una excepción y un incidente, ajuste el flujo y forme responsables internos. El período debe terminar con capacidad operable y backlog priorizado, no con decenas de políticas sin adopción.
- Entregables mínimos: charter; inventario y diccionario; matriz de clasificación; catálogo de controles; flujo de intake y decisión; modelo de evidencia; registro de riesgos y excepciones; runbook de incidentes; indicadores; capacitación; plan de transferencia y evolución.
Señales de alerta y próximo paso
- La propuesta empieza por políticas sin inventario; promete cumplimiento universal; copia un framework sin contexto; todos los casos pasan por el mismo comité; delivery y compras quedan desconectados; la consultora asegura su propio trabajo sin independencia; certificación se trata como evidencia suficiente; no hay métricas operativas; herramienta antes del flujo; responsables internos aparecen al final.
Use Proof-6 para comparar propuestas y estructure la contratación con https://makinai.co/insights/es/como-crear-rfp-servicios-ia. Compare capacidad general en https://makinai.co/insights/es/como-elegir-empresa-implementar-ia-brasil-scorecard-30-puntos y decida el modelo con https://makinai.co/insights/es/equipo-interno-o-consultora-ia-como-decidir. Para conectar gobernanza, portafolio y ejecución, visite https://makinai.co/services/es/consultoria-estrategia-ia-transformacion.