GRC, catálogo SaaS o plataforma para AI Act
La decisión no es “Excel o software”: puede combinar sistemas maestros, especialistas y una capa que coordine terceros y excepciones.
Mapa de alternativas
GRC para riesgos; CMDB/SaaS discovery para inventario; MLOps para modelos; procurement para contratos; plataforma operativa para proveedores, controles y cambios. Cada opción cubre una parte distinta y debe evaluarse por operación completa, no por número de funciones.
Cuándo basta una hoja
Una hoja puede servir para probar este caso: una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Debe relacionar sistema · proveedor · modelo · versión · finalidad · usuario · afectado · rol · riesgo · datos · métrica · humano · log · aviso · incidente · cambio · responsable · revisión. Si aparece esta incidencia —una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar—, comprueba si permite asignar la corrección, conservar versiones y preparar inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones; si ese seguimiento depende de correos separados, el piloto necesita otra forma de coordinación.
Sistemas internos
El sistema maestro aporta identidad, compras, lotes o activos. Valora cuánto esfuerzo requiere pedir información externa, interpretar archivos, gestionar cambios y conservar decisiones.
Especialistas y consultoría
Aportan método y criterio. Define transferencia, propiedad de datos, actualización, tiempo de respuesta y cómo seguirá funcionando el proceso entre revisiones.
Criterios de elección
Mide volumen, terceros, variabilidad, excepciones, coste de error, plazos, mercados, integraciones, auditoría y salida. Prueba específicamente: una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar.
Mapa operativo específico de AI Act
Para esta decisión sobre comparación de alternativas, el modelo debe relacionar sistema · proveedor · modelo · versión · finalidad · usuario · afectado · rol · riesgo · datos · métrica · humano · log · aviso · incidente · cambio · responsable · revisión. Los participantes reales son proveedor, deployer, importador, distribuidor, proveedor GPAI, propietario de negocio, DPO, seguridad, riesgo, usuario y persona afectada. La salida verificable es inventario vivo, clasificación razonada, documentación por sistema y versión, controles, avisos, evidencia de proveedor, incidentes y reevaluaciones.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa usa un asistente documental, un sistema de selección y una función predictiva incorporada a su producto. Introduce deliberadamente la excepción “una función SaaS cambia de asistencia a decisión sobre personas y el proveedor sustituye el modelo sin avisar”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.