La auditoría de IA en 4 pasos

DOCUMENTO DE ALCANCE Y AUTORIZACIÓN · AUDITORÍA DE IA
Empresa: <razón social>          Fecha: <dd/mm/aaaa>
Quién autoriza: <nombre, cargo>     Auditor(a): <tu nombre>

QUÉ ES: evaluación y triaje de riesgos de IA.
NO ES: pentest, ni respuesta a incidentes, ni dictamen jurídico.

QUÉ VOY A REVISAR
- Inventario de apps, agentes, integraciones y herramientas de IA en uso
- A qué datos accede cada uno y a dónde los envía
- Permisos: qué puede hacer cada uno por su cuenta
- Dónde están las claves y contraseñas de acceso (sin copiarlas)

QUÉ NO VOY A HACER
- Intentar invadir, probar ataques o tumbar cualquier sistema
- Copiar, guardar o llevarme datos de clientes o empleados
- Cambiar configuraciones sin solicitud escrita

ACCESO: <pantallas, documentos, personas que voy a entrevistar>
PERÍODO: del <fecha> al <fecha>
ENTREGA: informe con inventario, riesgos y plan de 30 días

Firma de quien autoriza: ______________________

Eres un auditor de IA preparando la primera reunión con una empresa.
EMPRESA = <nombre de la empresa>
SITIO = <dirección del sitio>
SECTOR = <sector, si lo sabes>

Investiga en la web y devuelve, en este orden:
1. RETRATO: qué vende la EMPRESA, a quién, tamaño aparente, cómo capta clientes.
2. DÓNDE YA HAY IA O AUTOMATIZACIÓN VISIBLE: bot en el sitio o en WhatsApp,
   formularios, app de pedidos, área del cliente. Di dónde lo viste.
3. HIPÓTESIS DE DOLOR: 6 procesos que las empresas de este tipo hacen a mano.
4. HIPÓTESIS DE RIESGO: para cada ítem del paso 2, a qué dato
   probablemente accede y qué podría hacer por su cuenta.
5. PREGUNTAS PARA LA REUNIÓN: las 10 que solo el dueño puede responder
   y que cambiarían tus conclusiones.

Marca con [SUPOSICIÓN] todo lo que dedujiste sin fuente. No inventes números.
No intentes acceder a áreas restringidas: solo a lo que es público.

INVENTARIO DE IA · <empresa> · <fecha>

| ítem | para qué | quién lo usa | datos a los que accede | puede hacer por su cuenta | dónde está la clave | dueño | ¿oficial? |
|------|----------|--------------|------------------------|---------------------------|---------------------|-------|-----------|
| <ej.: agente de WhatsApp> | <ventas> | <atención al cliente> | <conversaciones, registro de clientes> | <crear pedido, descuento> | <panel del proveedor> | <nombre> | sí |
| <ej.: extensión de resumen de correo> | | | | | | | no (en la sombra) |

RIESGOS (uno por línea, con evidencia)
- DATOS: <qué sale, a dónde, dónde lo viste>
- PERMISOS: <qué actúa sin aprobación, dónde lo viste>
- CLAVES: <dónde están expuestas o compartidas, dónde lo viste>

INFORME DE AUDITORÍA DE IA · <empresa> · <fecha>

1. OBJETIVOS Y ALCANCE
   Lo que la empresa considera prioridad, en sus propias palabras.
   Evaluación y triaje de riesgos de IA; no es pentest, ni respuesta
   a incidentes, ni dictamen jurídico.
2. INVENTARIO: apps, agentes, integraciones e IA en la sombra, con dueño.
3. SISTEMAS Y DATOS: qué tiene puerta de integración, qué no tiene,
   dónde el dato está desordenado.
4. RIESGOS CON EVIDENCIA: datos, permisos y claves, del más grave
   al menos grave.
5. PREPARACIÓN DEL EQUIPO: qué tan abierto está el equipo a cambiar.
6. CORRECCIONES Y OPORTUNIDADES PRIORIZADAS: retorno sobre esfuerzo,
   con la cuenta abierta y lo que queda manual.
7. PLAN DE 30 DÍAS Y PRÓXIMOS PASOS
   Semana 1: <victoria rápida>   Semana 2: <...>
   Semana 3: <...>               Semana 4: <...>
   Después (60 y 90 días): <lo que viene>
   Sesión de seguimiento de 30 min: <fecha>