Cómo trabajamos
El framework AGORA
El respaldo metodológico del trabajo de consultoría: un catálogo de controles, un modelo de madurez y criterios de evidencia. No es un producto que se compre por separado ni un sustituto del criterio profesional.
Para qué sirve
Por qué gobernar la IA no es frenarla
Gobernar no es poner trabas: es poder responder tres preguntas en cualquier momento. Dónde se está usando IA, quién autorizó cada uso, y qué pasa si una decisión sale mal. Sin esas respuestas, escalar significa asumir un riesgo que nadie midió.
La mayoría de las organizaciones no tiene un problema de tecnología. Tiene un problema de trazabilidad: herramientas que entraron por distintas áreas, criterios que varían según quién decide, y ninguna evidencia de que los controles que figuran en un documento estén operando.
Permite pasar de una discusión general sobre IA a una lista concreta de decisiones, responsables y evidencias. En una organización donde la IA ya se usa sin política, ordena qué hay que resolver primero y con qué se demuestra que está resuelto.
Explorá el framework
Cada pestaña responde una pregunta. Lo que se publica es la arquitectura y la lógica; el catálogo completo de controles es material de trabajo.
- ArquitecturaCómo se organiza el catálogo
- ControlesQué es un control, con un ejemplo
- Madurez G0–G3Cómo se lee el nivel
- Riesgo y proporcionalidadQué aplica a cada organización
- EvidenciaQué cuenta como prueba
- PlataformaQué hace y qué no
Qué se evalúa
El catálogo se organiza en dos partes. Doce capítulos transversales que aplican a cualquier organización, y once módulos sectoriales que se activan según el contexto. Juntos suman los 325 controles.
Capítulos transversales
12 capítulos · 170 controles
Aplican a cualquier organización.
Módulos sectoriales
11 módulos · 155 controles
Se activan según el contexto.
Ejemplo ilustrativo. Un módulo activado según el contexto de una organización.
Módulos sectoriales que contempla el catálogo
- Justicia y sistema legal
- Salud y ciencias de la vida
- Servicios financieros
- Educación y formación
- Sector público y administración
- Industria y manufactura
- Comercio y retail
- Energía y utilities
- Empleo y recursos humanos
- Medios y comunicación
- Seguridad y control fronterizo
Ninguna organización activa los once. Se seleccionan por contexto, y los capítulos transversales cubren lo que ningún módulo nombra.
De requisito a control, con responsable y evidencia
Una metodología estructurada para convertir los requisitos de gobernanza de IA en controles accionables, responsables identificados y evidencia verificable.
- 325 controles mapeados
- ISO/IEC 42001
- EU AI Act
- NIST AI RMF
El catálogo se construyó sobre ISO/IEC 42001, el EU AI Act y NIST AI RMF, y organiza los controles por categoría con ponderación de riesgo. Su tamaño no implica que todos apliquen a cada organización: la selección es proporcional al contexto, al tipo de datos y a las consecuencias posibles de un error.
- Control
- Una práctica verificable, con responsable y evidencia asociada.
- Evidencia
- El documento o registro que permite comprobar que el control opera, no que fue redactado.
- Responsable
- La persona o área que responde por el control, identificada en una matriz.
- Módulos sectoriales
- Adaptaciones temáticas del catálogo a contextos específicos.
Ver cómo se lee un controlC-103 · Priorización de sistemas por riesgo
Ejemplo ilustrativo · un control del catálogo · Nivel G1
- Qué problema aborda
- Intentar gobernar todos los sistemas a la vez, con equipos reducidos, termina gobernando mal todos.
- Qué acción requiere
- Ordenar el despliegue de los controles sobre el portafolio de sistemas según su nivel de riesgo, de modo que los de mayor exposición reciban gobernanza primero.
- Qué rol responde
- El Comité de IA. El framework lo exige activo a partir del nivel G1, que es donde vive este control.
- Qué evidencia permite revisarlo
- Una matriz de priorización que cubre el inventario completo y se recalcula cuando un sistema cambia de uso.
Así se lee cualquiera de los 325. Ninguna organización los aplica todos: la selección es proporcional al contexto y al riesgo.
Cuatro niveles de madurez
La escala G0–G3 describe capacidades, no una calificación. Ubicar una organización en un nivel es un punto de partida para decidir, no un resultado que se publique.
G0 Informal
La IA se usa de forma fragmentada, sin política ni supervisión. El riesgo principal es la exposición de información en herramientas no controladas.
Evidencia típicaNo hay evidencia sistemática: el primer paso es una política base y un inventario.
G1 Definido
Existe una política aprobada por la dirección y un ámbito de decisión constituido. Los casos de uso están inventariados y clasificados por riesgo.
Evidencia típicaActa de constitución del ámbito de decisión y registro de casos de uso.
G2 Gestionado
Los controles de privacidad y seguridad están integrados en el ciclo de desarrollo y de compra. Se realizan evaluaciones de impacto de forma sistemática.
Evidencia típicaEvaluaciones de impacto y documentación técnica por sistema crítico.
G3 Optimizado
La gobernanza es parte del funcionamiento habitual, con revisión externa recurrente y mejora continua.
Evidencia típicaReportes de transparencia y resultados de revisiones externas.
El nivel no es una nota ni un ranking. Describe en qué estado está la gobernanza hoy y qué evidencia haría falta para sostener el nivel siguiente. Un G1 honesto es más útil que un G3 declarado sin respaldo.
Cómo funciona la proporcionalidad
Ninguna organización aplica los 325. Aplicarlos todos sería tan inútil como no aplicar ninguno: el esfuerzo se dispersa y los controles que importan quedan al mismo nivel que los que no vienen al caso.
La selección depende de tres cosas: el sector, que activa o no su módulo; el tipo de datos que el sistema toca; y las consecuencias posibles de un error para la persona afectada. Un asistente que redacta borradores internos y uno que define un límite de crédito no reciben el mismo tratamiento aunque usen la misma técnica.
Qué cuenta como evidencia
Una autoevaluación no equivale a una auditoría ni a una certificación. El framework organiza la preparación; la verificación independiente, cuando corresponde, la realiza un tercero habilitado.
- Registro de sistemas de IA en uso, con responsable y clasificación de riesgo.
- Política aprobada, con fecha, alcance y ámbito que la aprobó.
- Evaluación de impacto de un sistema, con los riesgos identificados y su tratamiento.
- Registro de revisión de proveedores y de los resultados entregados.
El rol de la plataforma
AGORA cuenta con una plataforma que organiza el seguimiento del trabajo: el estado de los controles, la evidencia asociada y las revisiones pendientes. Es una herramienta de apoyo a la consultoría.
- No reemplaza el trabajo profesional ni emite conclusiones automáticas.
- No se ofrece como servicio de autogestión con registro público.
- Su uso en un acuerdo se define por alcance, no por defecto.
El documento maestro del framework es interno y no se publica. Lo que esta página describe es su estructura y su función, no su contenido completo.
Cómo conecta con la entrega
Este framework dice qué hay que gobernar. No dice cómo se ejecuta un proyecto: eso lo resuelve el AGORA Delivery Framework, donde la gobernanza de datos, el riesgo y la IA responsable son tres de las cinco dimensiones que cruzan todas las fases. Separarlos evita el resultado más común: una política que nadie ejecuta, o una entrega que nadie puede auditar.
Conocer la metodología →Ver los tres modelos en Cómo trabajamos →
Explorar la evaluación de 4 semanas
La evaluación aplica el framework a tu organización y entrega el nivel de madurez observado, con su evidencia. No es una certificación.