Inventario, clasificación de riesgo y preparación para ISO/IEC 42001 — sobre los sistemas de IA que tus equipos usan de verdad, con evidencias que un auditor puede seguir.
De confianza en toda Europa
Equipos de ingeniería en sectores regulados y críticos — cada proyecto auditado, documentado y llevado a nivel de producción.
Infraestructura de pagos y core bancario conforme a PCI-DSS — latencia p99 por debajo de 100 ms, trazabilidad de auditoría de extremo a extremo y tokenización en el edge.
Pipelines de datos de pacientes alineados con HIPAA
Observabilidad del core 5G a escala
99,99% de disponibilidad en picos de tráfico
Nube soberana con trazabilidad completa
Seguimiento de flotas en tiempo real e ingesta IoT
Qué entregamos
De un inventario completo de IA a evidencias listas para auditoría, alineadas con los marcos por los que preguntan reguladores y clientes
No puedes gobernar lo que no tienes listado. Construimos un registro de todos los sistemas de IA que desarrollas, compras o integras — incluidas las funciones de IA activadas dentro de herramientas que ya pagas — y clasificamos cada uno según el Reglamento de IA: prohibido, alto riesgo, obligaciones de transparencia o riesgo mínimo. Cada entrada indica si actúas como proveedor o como responsable del despliegue, porque las obligaciones son distintas.
Registro de sistemas de IA · clase de riesgo por sistema · rol de proveedor o responsable del despliegueLa gobernanza tiene que reflejar cómo se atacan realmente los sistemas de IA. Modelamos las amenazas de tus modelos, pipelines RAG y agentes con las tácticas y técnicas de MITRE ATLAS — prompt injection, envenenamiento de datos, robo de modelos, exfiltración a través de herramientas — y convertimos los hallazgos en controles con un responsable con nombre.
MITRE ATLAS · modelo de amenazas por sistema crítico · responsables de cada controlMapeamos tus prácticas a las cuatro funciones del NIST AI Risk Management Framework — Govern, Map, Measure, Manage — para que las decisiones sobre el riesgo de la IA sigan un método documentado y no el criterio de cada persona. Útil cuando clientes de EE. UU. o las políticas del grupo lo piden, y una base sólida para el trabajo en la UE.
Govern · Map · Measure · ManageISO/IEC 42001 es la norma de sistemas de gestión para la IA. Hacemos el análisis de brechas, te ayudamos a diseñar el sistema de gestión de IA — alcance, política, roles, evaluación de riesgos y de impacto, controles — y preparamos las evidencias para la auditoría. Privum prepara tu organización; el certificado lo emite un organismo de certificación acreditado.
Análisis de brechas · diseño del sistema de gestión de IA · preparación de la auditoríaLa mayor parte del riesgo de la IA empieza con un empleado bienintencionado y una herramienta gratuita. Redactamos la Política de Uso Aceptable de IA, la lista de herramientas aprobadas, las categorías de datos que nunca deben llegar a un prompt y las reglas de anonimización para todo lo demás, además de la formación que hace que la política se cumpla — lo bastante breve para que la gente la lea de verdad.
Política de uso aceptable · lista de herramientas aprobadas · formación del equipoCada proveedor de IA trata todo lo que tus equipos le envían. Revisamos los contratos de los proveedores, los DPA, las condiciones sobre entrenamiento con tus datos, la residencia de datos y los subencargados, y mapeamos por dónde entran los datos personales en tus sistemas de IA — prompts, conjuntos de fine-tuning, índices RAG, logs — para que tus EIPD y tus registros de actividades de tratamiento reflejen la realidad.
Evaluación de proveedores · revisión de DPA · insumos para la EIPDNuestros ingenieros revisan tu configuración actual y entregan una hoja de ruta priorizada — sin compromiso.
Las cuatro situaciones en las que una evaluación de gobernanza de IA suele amortizarse más rápido.
Lanzas funcionalidades sobre LLM o sobre tus propios modelos y vendes en la UE. Establecemos, sistema a sistema, si eres proveedor o responsable del despliegue, qué clase de riesgo aplica y qué documentación exige ese rol.
Usas IA en selección de personal, scoring crediticio, educación o acceso a servicios esenciales. Las obligaciones del anexo III se aplican desde el 2 de diciembre de 2027 — tiempo suficiente para construir bien la gestión de riesgos, la gobernanza de datos y la supervisión humana, pero no para empezar tarde.
Tu plantilla ya usa IA generativa, autorizada o no. Implantamos una Política de Uso Aceptable de IA, una lista de herramientas aprobadas y condiciones de proveedor revisadas, para que la ganancia de productividad no se pague con una infracción del RGPD.
Un cuestionario de compras pregunta por tus controles de IA, o tu consejo quiere saber dónde se usa la IA y quién responde por ella. Te damos el inventario, las políticas y las evidencias para responder por escrito.
El Reglamento de IA se aplica por fases. El Digital Omnibus on AI, en vigor desde el 27 de julio de 2026, aplazó los plazos de alto riesgo — un retraso, no una marcha atrás. Las prohibiciones, las normas sobre IA de uso general y las obligaciones de transparencia ya se aplican.
La gobernanza solo funciona si parte de los sistemas que de verdad operas. Empezamos por un inventario real, clasificamos frente al reglamento y te dejamos controles y evidencias que tus equipos pueden mantener. No es asesoramiento jurídico: cuando una pregunta depende de la interpretación legal, trabajamos junto a tus asesores jurídicos y les aportamos los hechos técnicos que necesitan.
Cada sistema de IA documentado, clasificado y justificado, para que puedas responder a un regulador, a un auditor o a un cliente con evidencias y no con intenciones.
Obligaciones vinculadas a las fechas que realmente te aplican, con una hoja de ruta ordenada en torno a ellas en lugar de una carrera de última hora.
Unas reglas claras sobre herramientas y datos permiten a los equipos seguir usando la IA de forma productiva, sin que los datos de clientes acaben en servicios sin DPA.
Localizamos todos los sistemas de IA en uso — desarrollados, comprados o integrados en SaaS — mediante entrevistas, registros de compras y descubrimiento técnico, y anotamos su responsable, su finalidad y sus datos.
Cada sistema recibe una clase de riesgo según el Reglamento de IA y un rol (proveedor o responsable del despliegue), además de una visión RGPD de los datos personales que trata.
Comparamos la práctica actual con las obligaciones aplicables, ISO/IEC 42001 y NIST AI RMF, y modelamos las amenazas de los sistemas críticos con MITRE ATLAS.
Un plan priorizado — políticas, controles técnicos, contratos con proveedores, documentación — ordenado por riesgo y por las fechas que te aplican.
Dejamos en marcha el registro, la documentación y la cadencia de revisión que mantienen tus evidencias al día a medida que cambian los modelos, los proveedores y los casos de uso.
De la primera llamada a producción — un modelo de colaboración probado en 4 pasos que mantiene la conversación transparente y la velocidad honesta.
Auditamos tu stack actual, identificamos carencias y alineamos los objetivos de negocio.
Una hoja de ruta detallada con prioridades, estimaciones de esfuerzo y quick wins.
Nuestros ingenieros se integran en tu equipo y ejecutan sprint a sprint.
Monitorización continua, optimización y transferencia de conocimiento a tu equipo.
Prácticas adyacentes que combinan bien con esta — la mayoría de los proyectos mezclan dos o tres.
Respuestas prácticas sobre alcance, plazos y cómo suelen ser los proyectos con nuestro equipo de Gobernanza de IA.
Tanto si empiezas de cero como si escalas lo que ya tienes, nuestros ingenieros están listos para ayudar.