Revisión de seguridad, diseño de manejo de datos, diligencia de proveedores y un modelo de gobernanza para la AI que ya pusiste en vivo o que estás por desplegar.
Cada feature de AI que pones en vivo suma superficie de ataque. Prompt injection, exfiltración por entrenamiento, fugas de datos vía proveedor, secretos en prompts, acciones alucinadas que tocan sistemas reales. La mayoría de los equipos pusieron la AI en producción antes de escribir las reglas para manejarla. Algunos la pusieron antes de leer la política de datos del proveedor.
Los consejos y auditores ya están preguntando. Los reguladores están por hacerlo. NIST AI RMF, EU AI Act, ISO 42001, reglas sectoriales en finanzas y salud. La respuesta honesta hoy para la mayoría de las empresas mid-market es 'no lo hemos visto'. Esa respuesta deja de funcionar pronto.
La seguridad de AI no es un feature que se pega encima. Es cómo construyes.
Auditamos lo que ya entregaste, diseñamos cómo debería manejar datos hacia adelante, hacemos diligencia de los proveedores de AI que tus equipos están usando de verdad, y aterrizamos un modelo de gobernanza que tu líder de seguridad y de legal puedan defender.
La página de marketing de tu proveedor de AI dice 'seguridad nivel enterprise'. Asumes que eso te cubre. No lo hace. Tú eres responsable de los prompts que mandas, los datos con los que aterrizas el modelo, las acciones que le permites tomar y la traza de auditoría. La seguridad del proveedor es una precondición, no un sustituto.
La mitad de tu equipo está pegando datos de clientes en ChatGPT. Tu CFO no lo sabe. Tu CISO no lo sabe. Tu contrato de residencia de datos con tu cliente más grande dice que no pueden. Hasta que auditas el uso, no puedes gobernarlo.
Armaste un comité de AI. Se junta cada mes. No hay estándar escrito de manejo de datos, ni lista de proveedores aprobados, ni runbook de incidentes. El comité es una junta, no un sistema de gobernanza.
Auditoría de huella de AI: cada herramienta de AI en producción o en uso, qué datos toca cada una, qué permisos tiene, qué dice realmente la política de manejo de datos del proveedor y dónde están las brechas. El trabajo poco sexy de simplemente saber qué tienes.
Arquitectura de manejo de datos para flujos de AI: qué clases de datos pueden ir a qué modelo, qué tiene que quedarse on-prem o en tu tenant, qué se redacta antes de un prompt, cómo se loguean y revisan los outputs. Una especificación real, no un póster.
Pack de diligencia para tus cinco principales herramientas de AI: residencia de datos, sub-procesadores, términos del DPA, configuración de entrenamiento sobre prompts, ventanas de retención, capacidad de log de auditoría. Las preguntas que tu equipo de procurement debió haber hecho al comprar.
Modelo de gobernanza: política escrita de uso aceptable, lista de herramientas aprobadas con justificación, runbook de respuesta a incidentes ajustado para incidentes de AI (prompt injection, brecha de proveedor, acción alucinada), cadencia de revisión ejecutiva.
Plan de remediación a 60 días ordenado por exposición. Las dos o tres cosas que se arreglan primero, con dueños, fechas y qué significa 'terminado'.
Proyecto fijo de cuatro semanas. Semana 1: auditoría de huella (qué AI está corriendo, qué datos toca, qué proveedores están en alcance) y entrevistas con seguridad, legal, IT y los dueños de negocio que pusieron cada herramienta. Semana 2: arquitectura de manejo de datos y pack de diligencia de proveedores. Semana 3: aterriza el modelo de gobernanza (política de uso aceptable, lista de proveedores aprobados, playbook de incidentes). Semana 4: plan de remediación a 60 días y working session con seguridad, legal y patrocinadores ejecutivos para alinear dueños y fechas.
Para empresas con marcos formales de cumplimiento en alcance (SOC 2, ISO 42001, NIST AI RMF, HIPAA, preparación para el EU AI Act), los entregables se mapean a las familias de control relevantes para que tus auditores y clientes los puedan leer directo.
El sistema que lleva dos años en el roadmap. La migración que ya fracasó una vez. La estrategia de AI que no pasó de la presentación. Ese es el que queremos.
Cargando búsqueda...
