Un marco de gobernanza de la IA es el conjunto de políticas, controles de riesgo y prácticas de supervisión continua que garantizan que los sistemas de IA estén sujetos a rendición de cuentas, cumplan la normativa y sean fiables durante todo su ciclo de vida. La prioridad inmediata para los responsables es clara: elaborar un inventario de todos los sistemas de IA en uso y, después, asignar a cada uno un nivel de riesgo. Ese único paso, basado en enfoques del Marco de Gestión de Riesgos de IA del NIST, sienta las bases de todo lo demás: preparación normativa, reducción del riesgo operativo y confianza sostenida de clientes y reguladores.
En resumen:
- Utilice una matriz de tres o cuatro niveles que pondere la probabilidad y la gravedad del daño; el riesgo medio requiere revisión por parte de un comité, mientras que el riesgo alto exige auditorías independientes.
- El marco del NIST es voluntario; los proveedores de modelos de la UE cuyos modelos se lanzaron antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir plenamente los requisitos.
- Ponga en marcha el inventario antes que la política, registre el responsable, los datos, la finalidad y el nivel de riesgo de cada sistema y, después, canalice las nuevas compras a través del proceso de admisión para detectar herramientas no declaradas.
- Reevalúe los sistemas tras cambios sustanciales en el modelo, supervise la deriva y los fallos de derivación a personas e incorpore los incidentes a la evaluación del nivel de riesgo y al registro de pruebas de cada sistema.
- En los agentes conversacionales, la revisión independiente de conversaciones en producción puede revelar derivaciones a personas omitidas que las métricas del proveedor no detectan; las comprobaciones continuas permiten detectar fallos tras las actualizaciones del modelo.
Índice
- Visión general: alcance, cobertura del ciclo de vida y enfoque basado en el riesgo
- Componentes esenciales y pilares de un marco eficaz de gobernanza de la IA
- Principales marcos y normas y su correspondencia con un programa interno
- Hoja de ruta de implantación paso a paso para la adopción empresarial
- Evaluación de riesgos y controles del ciclo de vida: clasificación por niveles, aceptación y retirada
- Funciones, responsabilidades y estructura de los órganos de supervisión
- Transparencia, documentación y auditabilidad: inventarios, TEVV y preparación ante los reguladores
- Supervisión, controles continuos y respuesta a incidentes para evitar el deterioro de la gobernanza
- Cómo refuerza la auditoría independiente la gobernanza de los agentes conversacionales
- Perspectiva del autor y lista de comprobación práctica para responsables
- Puesta en práctica de la gobernanza de la IA conversacional con Lexic
- Preguntas frecuentes
- Fuentes
Visión general: alcance, cobertura del ciclo de vida y enfoque basado en el riesgo
La gobernanza debe operar en dos niveles a la vez. En el ámbito de la organización, abarca la estrategia, las políticas, el presupuesto y la rendición de cuentas. En el ámbito del sistema, abarca cada herramienta o agente de IA, desde el contrato con el proveedor hasta los datos de entrenamiento y la lógica de derivación que determina cuándo debe intervenir una persona.
Los sistemas de IA generativa y agéntica merecen especial atención dentro de este ámbito. Un chatbot que redacta textos de marketing entraña un riesgo distinto al de un agente que negocia reembolsos o accede a datos financieros de clientes, y el marco de gobernanza debe adaptarse en consecuencia, en lugar de aplicar las mismas reglas a todos los casos de uso.
La gobernanza no es un proyecto con fecha de finalización. Es una práctica continua que acompaña a los sistemas que supervisa, porque los modelos experimentan deriva, los proveedores actualizan sus agentes y la normativa cambia. El informe sobre gobernanza en el sector público de la iSchool de Berkeley lo describe como un recorrido por etapas, no como una implantación única, articulado en torno a:
- Gobernanza mínima viable: comenzar con una política sencilla y un inventario, en lugar de esperar a disponer de un programa perfecto.
- Clasificación por niveles de riesgo desde el primer día: no todos los casos de uso de IA requieren el mismo grado de examen.
- Supervisión continua: tratar la supervisión como una fuente permanente de señales, no como una auditoría puntual.
- Controles proporcionados: adecuar la profundidad de la revisión a lo que está en juego en cada sistema.
Este enfoque proporcionado resulta especialmente importante durante los primeros meses. Los responsables que intentan gobernar todas las herramientas con el máximo rigor desde el principio suelen paralizar el programa entero. Quienes empiezan con una estructura mínima viable y refuerzan los controles a medida que aumenta el riesgo suelen implantar una gobernanza que realmente resiste el contacto con la actividad empresarial.
Componentes esenciales y pilares de un marco eficaz de gobernanza de la IA
Un marco operativo se apoya en cinco pilares. Cada uno necesita un responsable claramente identificado y un resultado medible, no solo un documento de políticas que nadie lee.
- Gobernanza y liderazgo. Este pilar abarca el respaldo de la dirección, una política de IA por escrito y un órgano de supervisión con capacidad real de decisión. Sin un promotor designado y un comité que pueda rechazar un despliegue arriesgado, los documentos de políticas se quedan en la teoría.
- Gestión de riesgos. Incluye la clasificación por niveles de riesgo, evaluaciones de impacto estructuradas para los sistemas de mayor riesgo y actividades de prueba, evaluación, verificación y validación (TEVV) vinculadas a criterios de aceptación claros antes de cualquier puesta en producción.
- Gobernanza de los datos. La fiabilidad de los modelos de IA depende de los datos que los sustentan. Este pilar abarca el seguimiento de la procedencia, las comprobaciones de calidad, los controles de acceso y la documentación del linaje, para que los equipos puedan rastrear los resultados de un modelo hasta sus datos de entrenamiento y de entrada.
- Ética y transparencia. Las necesidades de información varían según el destinatario: los reguladores necesitan detalles técnicos; los clientes, un lenguaje claro; y los empleados, claridad operativa sobre lo que la IA puede y no puede decidir. Las opciones de explicabilidad deben ser acordes con la trascendencia de la decisión que toma la IA.
- Operaciones y seguridad. Aquí se incluyen los controles de despliegue, las restricciones de acceso y la gestión del ciclo de vida (actualizaciones, reentrenamiento y retirada), estrechamente vinculados a las prácticas existentes de seguridad informática, en lugar de tratarse como una línea de trabajo separada.
Un sexto eje recorre los cinco pilares: la auditabilidad y la documentación. Los inventarios, los registros de decisiones y los historiales de versiones convierten la gobernanza en algo que un regulador o un auditor interno puede verificar, más allá de una mera intención.
Consejo práctico: Asigne un responsable que rinda cuentas por cada pilar antes de redactar una sola página de políticas. Lo que frena los programas de gobernanza son las lagunas en la asignación de responsabilidades, no la falta de documentos.
Principales marcos y normas y su correspondencia con un programa interno
Varios marcos externos aportan estructura a un programa interno, y lo más práctico es tomar elementos de cada uno en lugar de adoptar uno en su totalidad.
- NIST AI RMF: organiza el trabajo en cuatro funciones, GOBERNAR, MAPEAR, MEDIR y GESTIONAR, que se corresponden directamente con elementos internos: GOBERNAR se traduce en la política y el comité de supervisión; MAPEAR, en el inventario y la clasificación por niveles de riesgo; MEDIR, en el programa TEVV; y GESTIONAR, en la supervisión y la respuesta a incidentes. El NIST AI RMF es voluntario y aplicable a cualquier sector, lo que lo convierte en una base práctica, no en una mera casilla de cumplimiento.
- EU AI Act: establece obligaciones vinculantes y un calendario de aplicación definido para las organizaciones que operan en el mercado de la UE. A partir del 2 de agosto de 2026, están vigentes las facultades de ejecución de la Comisión Europea respecto a los proveedores de modelos de IA de uso general, incluidas las solicitudes de documentación, las evaluaciones y las sanciones económicas. Los proveedores cuyos modelos se lanzaron antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para alcanzar el pleno cumplimiento.
- ISO/IEC 42001: la primera norma internacional sobre sistemas de gestión de la IA, estructurada como un ciclo de Planificar-Hacer-Verificar-Actuar. Merece la pena someterse a una auditoría independiente conforme a ISO/IEC 42001 cuando una organización necesita demostrar a clientes o reguladores que dispone de controles a escala organizativa, más allá de la verificación interna.
- Guías prácticas de tipo OCDE: suelen poner el acento en alinear la gobernanza con la estrategia corporativa y en tratar el respaldo de la dirección y la preparación de la plantilla como directrices de gobernanza, no como cuestiones secundarias.
La vía práctica es híbrida: utilizar las funciones del NIST como modelo operativo interno, hacer un seguimiento de las obligaciones del EU AI Act como capa de cumplimiento para los sistemas vinculados a ese mercado y reservar la auditoría independiente conforme a ISO/IEC 42001 para cuando la verificación externa se convierta en un requisito empresarial. Intentar gestionar los tres como programas separados y paralelos sobrecarga a equipos que a menudo asumen la gobernanza de la IA además de sus funciones habituales.
Hoja de ruta de implantación paso a paso para la adopción empresarial
La mayoría de los programas de gobernanza fracasan no por falta de ambición, sino por intentar hacerlo todo a la vez. Una hoja de ruta por fases permite implantar controles efectivos en meses, en lugar de años.
- Fase 0: documento constitutivo, promotor y alcance. Designe un promotor en la dirección, redacte una declaración de misión de una página y defina qué se considera «IA» a efectos del inventario (normalmente incluye herramientas generativas, funciones integradas de aprendizaje automático y agentes conversacionales de terceros). Esta fase genera únicamente un documento constitutivo, con un alcance deliberadamente reducido.
- Fase 1: inventario y clasificación por niveles de riesgo. Catalogue todos los sistemas de IA en uso, quién es su responsable, a qué datos acceden y en qué decisiones influyen. Cree un formulario de admisión que canalice las nuevas solicitudes de adquisición de IA mediante una matriz estándar, de modo que la adopción de IA no declarada deje de ser invisible.
- Fase 2: política y correspondencia de controles. Traduzca los niveles de riesgo en controles concretos: qué nivel exige una revisión de privacidad, cuál requiere una evaluación de seguridad y cuál exige la aprobación de compras antes de firmar un contrato. En esta fase, la gobernanza deja de ser un documento y empieza a incidir en los flujos de trabajo reales.
- Fase 3: TEVV, comprobaciones previas al despliegue y pruebas de aceptación. Los sistemas de niveles superiores pasan por pruebas estructuradas antes de su lanzamiento: ejercicios de equipo rojo para detectar deficiencias de seguridad y protección, comprobaciones de sesgos en sistemas que afectan a personas y una decisión de aceptación documentada y firmada por el responsable del riesgo.
- Fase 4: supervisión, respuesta a incidentes y periodicidad de revisión. Una vez en producción, cada sistema necesita un plan de supervisión, un procedimiento definido de respuesta a incidentes y una fecha de revisión programada. La retirada se somete al mismo rigor que el lanzamiento: conservación de datos, revocación de accesos y una anotación final de auditoría.
Cada fase genera un elemento documental específico, y esos elementos son los que convierten la gobernanza de aspiración en evidencia:
- Una plantilla de inventario que recoja el nombre del sistema, su responsable, finalidad, fuentes de datos y nivel de riesgo.
- Una evaluación de impacto estructurada para todo sistema clasificado como de riesgo medio o alto.
- Procedimientos operativos de respuesta a incidentes que especifiquen a quién se debe notificar y en qué plazo.
- Un cuadro de mando de métricas que permita seguir la deriva, los fallos de derivación y las medidas correctoras pendientes.
Consejo práctico: Ponga en marcha el inventario antes de terminar la política. No se puede gobernar lo que no se ve, y el propio inventario revelará carencias que permitirán definir después una política más precisa.
El orden importa porque cada fase depende de la anterior. Clasificar por niveles de riesgo sin un inventario es especular. Asignar controles sin niveles de riesgo implica someter todos los sistemas a la misma revisión exhaustiva, lo que ralentiza la actividad y fomenta las vías alternativas. Aplicar TEVV sin una correspondencia de controles implica realizar pruebas de forma inconsistente, sistema por sistema, sin un criterio común sobre qué significa «superarlas».
Las organizaciones que pasan directamente a la fase 3 (pruebas) sin completar las fases 0 a 2 suelen producir auditorías puntuales impresionantes que nunca se amplían al conjunto de sistemas, porque no existe un inventario que indique qué sistemas necesitan el mismo examen el próximo trimestre. La guía de Berkeley para el sector público plantea algo similar: una gobernanza mínima viable es mejor que un marco perfecto que nunca llega a implantarse.
Evaluación de riesgos y controles del ciclo de vida: clasificación por niveles, aceptación y retirada
Una matriz de niveles útil multiplica la probabilidad del daño por su gravedad y, después, clasifica los sistemas en tres o cuatro franjas. Entre las señales que elevan un sistema a un nivel superior figuran las decisiones con consecuencias jurídicas o financieras para las personas, la toma automatizada de decisiones a gran escala sin una revisión humana significativa y cualquier sistema que interactúe directamente con colectivos vulnerables.
Cada nivel debe llevar asociado un conjunto definido de controles, no una instrucción vaga de «revisar con más cuidado»:
- Nivel bajo: autoevaluación del responsable del sistema, registrada en el inventario, sin necesidad de aprobación adicional.
- Nivel medio: evaluación de impacto formal revisada por el comité de supervisión, junto con una decisión de aceptación documentada.
- Nivel alto: todo lo exigido en el nivel medio, más una auditoría externa e independiente antes del lanzamiento y a intervalos definidos posteriormente.
Los eventos del ciclo de vida requieren el mismo enfoque por niveles. Una actualización del modelo o un reentrenamiento debe activar una reevaluación proporcional al cambio en el comportamiento del sistema, no una nueva auditoría completa automática en cada ocasión. La retirada merece su propia lista de comprobación: revocar el acceso a los datos, archivar los registros durante el periodo de conservación exigido por la política y registrar la fecha de retirada en el inventario para que nadie confunda un sistema retirado con uno activo en una auditoría futura.
Entre las señales de alto riesgo que conviene señalar expresamente figuran los sistemas que afectan a la seguridad (médica, física o financiera), los que podrían afectar a los derechos de una persona (decisiones de contratación, concesión de préstamos o seguros) y cualquier sistema que tome decisiones a gran escala sin intervención humana. Estas categorías suelen coincidir estrechamente con lo primero que examinan los reguladores, por lo que constituyen un punto razonable en el que concentrar los recursos de auditoría desde el inicio.
Funciones, responsabilidades y estructura de los órganos de supervisión
La gobernanza suele fallar no por una mala política, sino por la falta de claridad en las responsabilidades. Una estructura viable asigna explícitamente estas funciones:
- Promotor en la dirección: tiene autoridad presupuestaria y responde del programa ante el consejo de administración.
- Responsable de gobernanza de la IA (a veces denominado director de IA): gestiona el programa en el día a día, coordina el comité de supervisión y hace un seguimiento de las métricas.
- Comité de supervisión de la IA: grupo interfuncional (asesoría jurídica, seguridad, datos y responsables de unidades de negocio) que revisa los sistemas de nivel medio y alto y tiene autoridad formal para aceptar riesgos.
- Responsables de la gestión de datos: se encargan de la calidad y el linaje de los datos de los sistemas de su ámbito.
- Asesoría jurídica y cumplimiento: traducen obligaciones normativas como las del EU AI Act en controles concretos que el comité puede exigir.
- Seguridad: se encarga del control de acceso, la evaluación de vulnerabilidades y la coordinación de la respuesta a incidentes de los sistemas de IA.
El comité de supervisión necesita autoridad real, no un papel meramente consultivo. Si una unidad de negocio puede lanzar un sistema de IA de nivel alto sin la aprobación del comité, este es decorativo. La autoridad de decisión debe ser explícita: quién puede aceptar el riesgo residual, quién puede bloquear un lanzamiento y qué ocurre cuando el comité y un promotor del negocio discrepan.
La formación importa tanto como la estructura. El personal que tramita la admisión de nuevas herramientas de IA debe reconocer qué circunstancias requieren una revisión de gobernanza, y esa capacidad rara vez se adquiere sin formación recurrente y específica para cada función, en lugar de una única sesión inicial.
Transparencia, documentación y auditabilidad: inventarios, TEVV y preparación ante los reguladores
Los reguladores y auditores no se conforman con su palabra. Quieren registros, y estos deben contener campos específicos para resultar útiles.
- Los registros del inventario deben recoger, como mínimo, la finalidad del sistema, el responsable de negocio, las fuentes y el linaje de los datos, la versión del modelo, el nivel de riesgo y el estado actual de TEVV.
- La documentación de TEVV debe demostrar qué se probó, cuáles eran los criterios de aceptación y quién dio su aprobación, no limitarse a indicar que «se realizaron pruebas».
- Los registros y las métricas deben conservarse el tiempo suficiente para reconstruir una decisión meses después: qué recomendó el modelo, qué datos utilizó y si una persona anuló su decisión.
La estrategia de comunicación de información debe variar según el destinatario. Los reguladores necesitan documentación técnica completa; los clientes, resúmenes en lenguaje claro sobre lo que hace la IA y cuándo interviene una persona; y los empleados, orientación operativa sobre las vías de derivación. Tratar la comunicación como un diálogo continuo, en lugar de un aviso puntual, suele resistir mejor el escrutinio.
Consejo práctico: Conserve una versión en lenguaje claro de cada comunicación técnica. Cuando un regulador o un cliente pregunte qué hace su IA, conviene tener una respuesta preparada en menos de un día, en lugar de apresurarse a adaptar la documentación de ingeniería.
Supervisión, controles continuos y respuesta a incidentes para evitar el deterioro de la gobernanza
Los programas de gobernanza se deterioran de forma silenciosa. Una política que era precisa en el momento del lanzamiento deja de ajustarse a la realidad a medida que se actualizan los modelos, cambian los proveedores y aparecen nuevos casos de uso sin pasar por el proceso de admisión. La supervisión continua permite detectar ese desajuste antes de que se convierta en un hallazgo regulatorio o una reclamación de un cliente.
Señales clave que conviene seguir de forma continua:
- Deriva del rendimiento: si la precisión o el comportamiento del modelo están cambiando respecto a su referencia inicial.
- Métricas de equidad: si los resultados están variando entre distintos grupos de usuarios.
- Incidentes de seguridad: intentos de acceso no autorizado o exposición de datos vinculados al sistema de IA.
- Fallos de derivación: casos en los que el sistema debería haber transferido la interacción a una persona y no lo hizo.
La telemetría automatizada e integrada en los flujos existentes de DevOps y SecOps evita que esta supervisión se convierta en una tarea manual que se omita por la presión de los plazos. Cuando se produce un incidente, un esquema de clasificación (leve, moderado o grave) determina el protocolo de respuesta, y la revisión posterior debe retroalimentar directamente el nivel de riesgo y los controles de ese sistema, no limitarse a cerrar la incidencia.
Este ciclo de retroalimentación distingue la gobernanza que se mantiene actualizada de la que se convierte silenciosamente en una mera apariencia: cada incidente, cada señal de deriva y cada hallazgo de auditoría deben actualizar el inventario y el registro TEVV del sistema implicado.
Cómo refuerza la auditoría independiente la gobernanza de los agentes conversacionales
Los agentes de IA conversacional presentan un punto ciego específico de gobernanza: el momento en que deberían transferir una conversación a una persona y no lo hacen. La supervisión interna a menudo no lo detecta porque depende de que los propios sistemas evaluados comuniquen sus fallos.
La auditoría independiente realizada por terceros cierra esa brecha al evaluar conversaciones reales, en lugar de conversaciones muestreadas o simuladas. Los datos de auditoría mostraron que muchos agentes auditados no derivaban correctamente los problemas a un representante humano, un hallazgo que solo salió a la luz mediante la revisión directa del comportamiento conversacional en producción, en lugar de las métricas comunicadas por los proveedores.
- Las auditorías independientes evalúan agentes de cualquier proveedor, algo importante porque los equipos de gobernanza rara vez controlan el modelo subyacente o sus actualizaciones.
- Los fallos de derivación, las deficiencias de seguridad y los problemas de cumplimiento detectados en una auditoría se incorporan directamente al inventario, al registro TEVV y a los informes de riesgo para la dirección de ese sistema.
- La supervisión continua, en lugar de una única auditoría puntual, permite detectar nuevos modos de fallo después de que un proveedor publique una actualización del modelo.
Estos hallazgos son importantes porque los fallos de derivación son precisamente el tipo de señal de riesgo que justifica una clasificación de nivel alto y, sin una comprobación independiente, suelen permanecer invisibles hasta que una reclamación de un cliente o una investigación regulatoria obliga a abordarlos.
Perspectiva del autor y lista de comprobación práctica para responsables
La mayoría de los fallos de gobernanza que observo se remontan a un único error: tratar la gobernanza como una carga de cumplimiento, en lugar de como una forma de ver qué están haciendo realmente los sistemas de IA. Las organizaciones que lo hacen bien empiezan con un alcance reducido y acumulan evidencias, en lugar de redactar una política de cien páginas que nadie lleva a la práctica.
Una lista de comprobación práctica que merece estar a la vista:
- Empiece con un inventario este mes, no con una política este trimestre.
- Vincule cada decisión de aceptación de riesgos a un responsable de negocio identificado, no a un comité en abstracto.
- Automatice la admisión para que las nuevas herramientas de IA no puedan eludir el inventario mediante una solicitud de compra por una vía alternativa.
- Implante la supervisión continua antes de necesitarla por un incidente, no después.
Así entendida, la gobernanza se convierte en una ventaja estratégica, no en un freno. Le indica dónde son más débiles sus sistemas de IA antes de que se lo diga un regulador o un cliente.
— Sergio Llorens
Puesta en práctica de la gobernanza de la IA conversacional con Lexic
La verificación independiente es donde la mayoría de los programas de gobernanza presentan su mayor carencia, especialmente en los agentes conversacionales, cuyos fallos de derivación y cumplimiento se ocultan en las conversaciones cotidianas. Creamos nuestra plataforma precisamente para cerrar esa brecha, auditando agentes de cualquier proveedor, sin exigirle que desarrolle u opere el agente que evaluamos.
- Lexic Pulse analiza el 100% de las conversaciones con clientes en llamadas, chats, correos electrónicos y tickets, y las convierte en señales de sentimiento, abandono y derivación para los equipos de experiencia del cliente, cumplimiento y producto.
- Lexic Compass audita de forma independiente agentes de IA conversacional en materia de cumplimiento normativo, vulnerabilidades de seguridad y gestión de derivaciones, y genera hallazgos que se incorporan directamente a su inventario y sus registros TEVV.
- Nuestros servicios de Vista previa rápida, Auditoría intensiva y Confianza continua empresarial, detallados en nuestra página de servicios de auditoría, le permiten comenzar con un piloto de corta duración o pasar a una supervisión continua permanente, con precios disponibles previa solicitud.
Los resultados de auditoría solo son útiles cuando se incorporan a sus elementos de gobernanza existentes, por lo que cada hallazgo que identificamos se estructura para integrarse en su registro de riesgos y en los informes para la dirección sin trabajo adicional de adaptación. Si los fallos de derivación y las deficiencias de cumplimiento de su IA conversacional son actualmente invisibles para su equipo, solicite una demostración y descubra qué revela una auditoría independiente de sus propios agentes.
Preguntas frecuentes
¿Existe un marco de gobernanza de la IA?
Sí, existen varios marcos consolidados, entre ellos el Marco de Gestión de Riesgos de IA del NIST, los requisitos normativos del EU AI Act y la norma de sistemas de gestión ISO/IEC 42001. La mayoría de las organizaciones crean un programa interno combinando elementos de estos marcos, en lugar de adoptar uno solo en su totalidad.
¿Qué es el marco del NIST para la gobernanza de la IA?
El NIST AI RMF organiza la gestión de riesgos de IA en cuatro funciones: GOBERNAR, MAPEAR, MEDIR y GESTIONAR. Es una guía voluntaria y aplicable a cualquier sector, no una normativa vinculante, diseñada para ayudar a las organizaciones a alinear sus políticas y prácticas con los riesgos de la IA.
¿Qué debe incluir la gobernanza de la IA?
Un marco completo necesita una estructura de gobernanza y liderazgo, gestión de riesgos con clasificación por niveles y evaluaciones de impacto, gobernanza de los datos, prácticas de ética y transparencia, y controles de operaciones y seguridad. También necesita documentación y auditabilidad (inventarios, registros TEVV y registros de actividad) para que el programa pueda demostrar sus controles ante reguladores o auditores.
¿Cómo crear un marco de gobernanza de la IA?
Empiece con un inventario de todos los sistemas de IA en uso y, después, asigne niveles de riesgo en función del daño potencial. A partir de ahí, asocie controles a cada nivel, realice pruebas y comprobaciones de aceptación antes del despliegue y establezca la supervisión continua y la respuesta a incidentes para los sistemas que ya estén en producción.