Qué resolvemos ·¿Qué tengo suelto y qué me falta?
Vanguard · Guiar
¿Qué herramientas de IA se están usando sin que nadie las aprobara?
Sé que hay IA en uso y no sé cuál ni con qué información.
Qué se está usando sin registro, con qué datos y con qué exposición y qué conviene aprobar, sustituir o cortar.
Inventario de IA en la SombraEnviar esta página a quien decide
Le suena si
- La política de IA se escribió antes de tener el inventario de lo que ya se está usando.
- Apareció una herramienta en la tarjeta corporativa de un área.
- Auditoría pidió la lista de herramientas en uso y hoy no está consolidada.
Para usar hoy, sin contratar nada
Las tres vías de descubrimiento, en su versión que usted puede correr solo. Ninguna encuentra todo; cruzadas encuentran casi todo. Por separado ya le dan la foto.
- El gasto menor. Revise tarjetas corporativas y compras bajo el umbral de aprobación de los últimos doce meses, buscando suscripciones mensuales pequeñas. Es la vía más rápida y la que menos resistencia genera.
- La salida a internet. Pida a redes los destinos más consultados de los últimos treinta días y cruce contra su lista de herramientas aprobadas. Lo que sobra es su inventario en la sombra.
- La amnistía. Declare por escrito que no habrá consecuencias por declarar uso y pregunte. Sin esa declaración, la mitad no aparece y la mitad que se esconde es la que tiene datos sensibles adentro.
Clasificar importa más que listar. Qué dato sale, hacia dónde y qué dice el término de servicio sobre cuánto tiempo lo conserva el proveedor. Una herramienta gratuita que retiene su información indefinidamente es más grave que una de pago que no lo hace.
Cómo lo resolvemos
El método, no la promesa.
- Se declara la amnistía por escrito antes de preguntar nada. Sin ella el resto no funciona.
- Se descubre por tres vías cruzadas: red, gasto menor y uso declarado.
- Se clasifica por riesgo real: qué dato sale, hacia dónde, con qué retención del proveedor.
- Se identifican las decisiones que ya se están tomando con esas herramientas sin que nadie lo sepa.
- Se recomienda por herramienta (aprobar, sustituir o cortar) con costo y fricción y se redacta la regla mínima de una página.
Qué recibe
- El inventario de uso no declarado, por área y por herramienta.
- La clasificación de riesgo y exposición de datos de cada una.
- La lista de decisiones que ya se automatizaron sin registro.
- La recomendación con costo y la regla mínima de uso en una página.
La prueba que viene al caso
- Descubrimiento e inventario de activos y dependencias sobre infraestructura de 60 000 servidores.
- Ocho años bajo supervisión regulatoria, donde el inventario era la primera pregunta del revisor.
- 250 000 incidentes analizados: el mismo trabajo de extraer señal de registros a escala.
Antes de contratar
El inventario se entrega por área y por herramienta, nunca como lista de nombres: no es material para sancionar a nadie y esa condición no se negocia.
Descubrir e inventariar activos que nadie registró es trabajo de operación de infraestructura, no de consultoría de IA. Es lo que se hizo durante años sobre sesenta mil servidores y lo único nuevo aquí es qué se busca.
Si un auditor le pide hoy la lista de herramientas de IA en uso, ¿qué le entrega?
Si el problema es otro
Tenemos cuentas de servicio con privilegios y nadie sabe quién responde por ellas.
Gobierno de Identidad No Humana
Cada área tiene su versión del mismo dato y ninguna cuadra con la otra.
Cimientos de Datos
El regulador pregunta por qué se rechazó ese caso y nadie puede reconstruirlo.
Gobierno de Decisiones Automatizadas