Gobernar la IA, no solo usarla: ISO 42001, vídeo generativo y datos que no pueden salir

Píldora de una mentoría real, anonimizada. Por qué la gobernanza de la IA es hoy un hueco de mercado casi vacío, cómo montar un vídeo de diez minutos generado por IA sin experiencia audiovisual, y qué hacer con información confidencial cuando quieres pasarla por un modelo: local, nube, anonimización y qué cuesta cada camino de verdad.

Empezar el repaso

El encargo de la mentoría

~2 min

Esta sesión no empezó por lo de siempre. Cuando la persona que tienes delante ya sabe lo que es la IA, la tutoría deja de ser una explicación y pasa a ser una conversación de decisiones: qué línea de negocio abrir, qué herramienta comprar, qué información se puede subir y cuál no.

El caso, en tres golpes
  1. 01 Contexto

    Auditor de normas de gestión que trabaja para una certificadora. Conoce bien la ISO 27001 y el Esquema Nacional de Seguridad, y quiere abrir una línea propia alrededor de la gobernanza de la IA.

  2. 02 Necesidad

    Tres frentes a la vez: validar si la ISO 42001 tiene mercado, producir un vídeo de diez minutos generado por IA para una convocatoria pública, y montarse una herramienta que le redacte informes de auditoría sin sacar información confidencial de clientes.

  3. 03 Solución

    Posicionarse ya en gobernanza, donde casi nadie publica. Para el vídeo, clips cortos encadenados en vez de un plano largo. Y para los datos, infraestructura alquilada con modelos abiertos antes que comprar hardware o pelearse con anonimización local.

El hilo que une las tres preguntas. Auditar normas, producir un vídeo y montar una herramienta parecen tres temas distintos. En realidad son el mismo: qué se puede delegar en la IA cuando la información es de otro y tú respondes por ella.

ISO 42001 y AI Act: el hueco que casi nadie ocupa

~5 min

La ISO 42001 no va de desarrollar inteligencia artificial. Va de gobernarla dentro de la empresa: política, análisis de riesgo, procedimientos de uso, qué herramienta se permite y cuál no. Es una norma de gestión, y eso significa que no hace falta ser ingeniero de modelos para implantarla: hace falta saber de gestión y de riesgo.

El precedente es la ISO 27001, y se va a repetir

Cuando apareció la 27001 la reacción general fue y esto para qué. Era algo incipiente y nadie la pedía. Lo que la convirtió en obligatoria de facto no fue el legislador: fue la cadena de suministro. En cuanto quisiste ser proveedor o partner de un banco o de una gran corporación, te la exigieron sí o sí.

Con la IA el mecanismo es idéntico, y además tiene un incentivo extra: la empresa grande traslada la responsabilidad. Le basta con poder decir que pidió la certificación a su proveedor. Ese traslado es el que crea el mercado, mucho antes de que ninguna ley lo obligue.

El contrapeso, para ser honestos. Ahora mismo hay presión desregulatoria en Europa, empujada sobre todo desde Alemania, para aligerar carga normativa y ganar productividad. Aun con ese freno, la dirección de fondo del legislador europeo sigue siendo pedir responsabilidad jurídica por lo que se hace con la IA. Y la realidad de las empresas es que se están haciendo cosas muy salvajes: información que nadie sabe dónde acaba, procesos sin control. Eso es exactamente lo que una norma de gestión ordena.

No lo vendas como una norma suelta. El producto es el paquete: protección de datos más IA más ISO más compliance. Ahí la ventaja de alguien que ya ha implantado 27001 y Esquema Nacional de Seguridad es doble, porque además audita muchísimos tipos de empresa distintos y tiene una foto del mercado que casi nadie tiene.

Recursos

Dónde publicar y cómo, sin vender humo

~3 min

La buena noticia para quien quiera posicionarse en esto es que el listón está muy bajo. LinkedIn está hipersaturado y se ha convertido en un escaparate de humo: imágenes generadas con IA, gente publicando a diario sin decir nada. Entrar ahí desde un punto de vista realista y técnico es diferenciarse sin esfuerzo.

El dato que importa. En gobernanza de IA prácticamente no hay nadie publicando. Ese es el hueco: no competir por atención en el tema saturado, sino ocupar el que aún no tiene dueño.

Un solo perfil, y diversificar solo cuando haya señal

La tentación es abrir varios perfiles temáticos desde el principio. No merece la pena: el algoritmo posiciona solo. Habla de lo que te interese, mezcla temas y mira qué contenido tracciona. Cuando uno despegue, entonces valoras separarlo. Diversificar antes de tener datos es repartir esfuerzo a ciegas.

Y un apunte de canal: Reddit funciona muy bien, pero para lo contrario. No para notoriedad, sino para estar informado. Son comunidades específicas y no generalistas, y la conversación ahí es bastante más honesta.

Un vídeo de diez minutos sin saber de vídeo

~5 min

El encargo: una convocatoria pública que pide un vídeo de diez minutos presentando el proyecto. No vale un vídeo de trámite, tiene que estar bien hecho y contar una historia. Y todo generado por ordenador.

Antes de nada: para qué es el vídeo. Si fuera un vídeo de cumplir el expediente, con una herramienta gratuita de resúmenes se sale del paso. Si es la presentación de un proyecto que se evalúa, es otra liga y hay que tratarlo como tal.

Diez clips de un minuto, no un plano de diez

Los modelos de vídeo generan piezas cortas, del orden de treinta segundos, y un vídeo largo se monta encadenándolas. Las herramientas ya traen continuidad entre tomas, así que eso no es el problema. El problema del formato largo es la cohesión: los clips salen bien por separado, pero cuanto más largo lo pides, más se nota la costura.

Si las bases lo permiten, plantéalo como una serie de diez escenas de un minuto: una de presentación, ocho de contenido y una de conclusión. Sin experiencia audiovisual previa, el resultado será claramente mejor que intentar un corto de diez minutos de una pieza. Y conviene confirmar antes si los diez minutos son un mínimo o una cifra exacta.

La forma cómoda de manejar la herramienta es no manejarla. Las plataformas buenas de vídeo exponen un MCP: conectas la herramienta a tu asistente, le explicas la idea, y él te escribe el guión y opera la herramienta. Si además le pasas imágenes de referencia tuyas, te aseguras la identidad visual a lo largo de todos los clips.

Prompt · pedirle el guión y las escenas
Quiero un vídeo de diez minutos que cuente la evolución
de mi sector a lo largo de tres generaciones de mi familia,
y que termine en cómo se audita hoy con dispositivos de IA.
Móntalo como diez escenas de un minuto: una de presentación,
ocho de contenido y una de conclusión. Escribe primero el guión
de cada escena y usa estas imágenes como referencia visual.
Sobre los avatares. Han mejorado, pero se sigue notando que son un avatar, y diez minutos de avatar hablando se hacen cuesta arriba para quien los ve. Si aun así es el camino, mejor varios protagonistas que uno solo. Como plan: prueba primero la vía de vídeo generativo y guarda el avatar como alternativa.
Recursos

Dónde se procesan tus datos, y lo que cuesta cada opción

~6 min

La herramienta que quiere montar es sencilla de describir: cuatro fuentes (sus notas, lo que manda el cliente, fotos y audio) en una carpeta, con la norma y ejemplos cargados, y que la IA redacte el informe. La idea funciona. El cuello de botella no es la idea, es dónde se procesa la información.

El contexto que lo cambia todo. Cuando auditas no vas ni siquiera en tu nombre: vas en nombre de una certificadora que te contrata para ir a otra empresa. Eso te obliga a un estándar de confidencialidad más alto que el de una consultoría propia. Y el inconveniente de fondo de los servicios rápidos, buenos y baratos es real: en una capa muy concreta usan lo que les mandas para autoentrenarse.

La métrica que decide el hardware es tok/s

Antes de comparar precios, la cifra a mirar son los tokens por segundo: a qué velocidad escribe el modelo. Los asistentes comerciales rondan los 60 tok/s, que es cómodo porque va más rápido que tu lectura. Por debajo de ahí el trabajo se hace pesado y acabas no usándolo.

Y ojo con un error habitual: tu ordenador no es un centro de datos. Además del modelo tiene sistema operativo y procesos de fondo, así que no toda la memoria está disponible para la IA. Hay comprobadores de hardware que analizan tus especificaciones y te dicen qué modelos te entran y a cuántos tok/s.

Cuatro caminos, de más a menos recomendable hoy
Infraestructura compartida~70 €/mes
Modelos abiertos potentes alojados en servidores del proveedor, con tarifa plana y sin que los datos viajen al país de origen del modelo. Es lo que mejor relación coste-compliance da hoy.
Licencia Enterprise~90 €/mes
El plan de empresa de un proveedor grande: sin entrenamiento con tus datos y con las garantías contractuales que te van a pedir en una auditoría. Sale mucho más barato que quince mil euros de hardware.
Equipo local potente4.000 € en adelante
Local de verdad. Por debajo de 100 GB de memoria unificada casi ningún modelo serio va bien: el suelo razonable son 128 GB. La configuración tope rondará los 16.000 a 20.000 €.
El portátil que ya tienespara probar
32 GB de RAM y 12 GB de VRAM sirven para experimentar, no para producir. Y no toda esa memoria está disponible: el sistema operativo y los procesos de fondo también comen.

Para un caso con confidencialidad exigente, la suscripción gana al hierro: te resuelve el compliance por una fracción del coste, y lo que compres hoy estará consolidado y más barato dentro de dos años.

Por qué esto va a cambiar pronto. Estamos en el momento del módem, cuando no se podía llamar por teléfono y navegar a la vez. El software ha corrido y el hardware tiene que alcanzarlo: usar la tarjeta gráfica para IA es el parche actual, no el destino. Comprar hoy pensando en cinco años es comprar mal.

La trampa de anonimizar en local

~4 min

La otra vía, muy razonable a primera vista: detectar en local los nombres de clientes y empresas, sustituirlos por cliente uno, cliente dos, subir eso a un modelo potente y volver a sustituir al bajar. Sobre el papel, lo mejor de los dos mundos.

El cuello de botella no desaparece, se mueve

Para anonimizar hay que mandarle el documento completo al modelo local igualmente, para que identifique qué tapar. Es decir: la carga de procesamiento sigue siendo la misma, y tu límite sigue siendo tu modelo local. Lo que ahorras es exposición, no trabajo.

Con texto es viable. Con audio y vídeo se complica, porque primero hay que transcribir en local y eso ya va lento. Con fotos, peor todavía: reconocer lo que hay en una imagen o leer una captura de pantalla exige un modelo bastante más potente de lo que la gente supone.

El problema menos obvio: la homogeneidad. Los resultados no salen iguales entre clientes, porque cada uno aporta información distinta, y encima los modelos y las guías van cambiando por debajo. Estabilizar eso es un trabajo en sí mismo. Hay startups con equipos de investigación dedicados exclusivamente a este problema: no es algo trivial que esté resuelto.
Recursos

Grabar, avisar y la libreta que sigue ganando

~3 min

Queda la parte que no es técnica. Si la IA va a redactar el informe, necesita materia prima, y la materia prima de una auditoría es una conversación. ¿Se puede grabar?

La regla práctica: avisar. En remoto no hay fricción, se graba la videollamada. En presencial, y más yendo en nombre de una certificadora, hay que decirlo. Y no se pierde nada: en el ochenta o noventa por ciento de los casos no te van a decir que no, y el aviso te quita el problema de encima. En consultoría propia, todavía menos problema.

Notas a mano y una foto: el método que uso yo

Tomas las notas en una libreta, como siempre, con tu propia taquigrafía. Luego, en casa, les haces una foto. Con esa foto la IA ya tiene contexto suficiente para ordenarlas, asociarlas a los apartados de la norma y redactar el borrador.

Lo interesante no es el ahorro de tecleo: es que resuelve el embudo de escribir mientras escuchas, que es justo lo que te está restando atención durante la auditoría. Y no grabas a nadie.

Prompt · de la foto de la libreta al borrador
Te paso la foto de mis notas de la auditoría de hoy.
Ordénalas, asócialas a los apartados correspondientes de la norma
y márcame dónde hay evidencia de cumplimiento y dónde no.

Tu plan de acción

~2 min

El orden por el que yo empezaría mañana. Márcalo a medida que lo completes: se guarda en tu navegador, así que puedes volver y seguir por donde ibas.

Pasos, en orden

Marca lo que vayas completando. Se guarda en tu navegador, así que al volver sigue aquí.

0/7 completado
Repaso

Repaso rápido

Cuatro preguntas para fijar lo esencial. No hay nota ni castigo: si fallas, te explico el porqué.

Repaso · Pregunta 1/4

¿Por qué es razonable pensar que la ISO 42001 va a tener demanda, aunque hoy sea voluntaria?

¿Por qué es razonable pensar que la ISO 42001 va a tener demanda, aunque hoy sea voluntaria?

Glosario · toca para ampliar

  • ISO/IEC 42001

    La primera norma internacional de sistema de gestión de inteligencia artificial. No va de desarrollar IA: va de gobernarla dentro de la organización, con política, análisis de riesgo, procedimientos de uso y control de qué herramienta se usa y cuál no. Es certificable y voluntaria.

  • AI Act

    El Reglamento europeo de inteligencia artificial. Clasifica los sistemas por nivel de riesgo: cuanto mayor es el riesgo para las personas, mayores las obligaciones de quien lo desarrolla o lo usa. Va de la mano de la ISO 42001, que sirve de base operativa para cumplirlo.

  • Gobernanza de IA

    El conjunto de decisiones y controles sobre cómo se usa la IA en una organización: quién puede usar qué, con qué datos, con qué supervisión humana y con qué trazabilidad. Es el hueco de mercado del que va toda esta sesión.

  • tok/s

    Tokens por segundo: la velocidad a la que un modelo escribe su respuesta. Los asistentes comerciales rondan los 60 tok/s, que es cómodo porque va más rápido que tu lectura. Es la métrica que hay que mirar antes de decidir hardware.

    Ver en el diccionario
  • VRAM

    La memoria de la tarjeta gráfica. Es el techo real de qué modelo te cabe en local, más que la potencia de cálculo. Con 12 GB se experimenta; para trabajo serio hace falta bastante más.

  • Memoria unificada

    En los equipos donde procesador y gráfica comparten la misma memoria, es la cifra que manda para IA local. Por debajo de 100 GB casi ningún modelo grande funciona con soltura.

  • IA local

    Ejecutar el modelo en tu propia máquina, sin que la información salga de ahí. Máxima confidencialidad y, hoy, un coste de hardware y una lentitud que casi nunca compensan frente a alquilar infraestructura.

    Ver en el diccionario
  • Modelo abierto

    Modelo cuyos pesos se publican, de modo que cualquiera puede descargarlo y ejecutarlo donde quiera. Es lo que permite tener la potencia de un modelo puntero sin depender del servicio del fabricante ni enviarle los datos.

    Ver en el diccionario
  • MCP

    El estándar que permite a un asistente manejar herramientas externas. Conectas la herramienta de vídeo al asistente y, en vez de aprender su interfaz, le explicas la idea: él escribe el guión y opera la herramienta por ti.

  • Anonimización

    Sustituir los datos identificativos por etiquetas neutras (cliente uno, cliente dos) antes de enviar el texto a un modelo externo. Funciona, pero el trabajo de detectar qué tapar lo sigue haciendo tu modelo local: el cuello de botella no desaparece.

  • Entrenamiento con tus datos

    El inconveniente de fondo de los planes rápidos, buenos y baratos: en una capa concreta usan lo que les mandas para mejorar el modelo. Los planes de empresa lo excluyen por contrato, y por eso son los que pasan un compliance.

    Ver en el diccionario
  • RGPD

    El reglamento europeo de protección de datos. Aquí importa por dos cosas: dónde están físicamente los servidores que procesan la información, y el hecho de que un dato sin referencia identificativa deja de ser un dato personal útil.

    Ver en el diccionario

Si solo tienes tiempo para 2 cosas

Estas dos ideas son las que más impacto tienen. Si te llevaras únicamente dos cosas de toda esta página, que sean éstas:

  1. El hueco está en gobernar, no en desarrollar: la ISO 42001 y el AI Act van a repetir la historia de la 27001, cuando las grandes empezaron a exigírsela a sus proveedores para trasladarles la responsabilidad. Y hoy casi nadie publica sobre esto.
  2. Antes de comprar hardware, alquila: anonimizar en local no quita carga, solo la mueve. Una licencia de empresa o infraestructura compartida resuelven el compliance por una fracción de lo que cuesta un equipo, y el hierro que compres hoy estará más barato y más maduro dentro de dos años.

¿Quieres que montemos tu flujo juntos? Puedes reservar una mentoría conmigo o escribirme a hi@alci.dev. El siguiente capítulo de esta historia es el primer clip de vídeo y el primer post de gobernanza.

Alcibiades Cabral · Gobernanza de la IA, vídeo generativo y datos sensibles
Píldora de mentoría · 15 septiembre 2026