Cómo evaluar la madurez de gobernanza de IA en un AI Sales Copilot B2B

La madurez describe capacidad demostrada, no prestigio

Una evaluación de madurez responde si la organización puede tomar y sostener decisiones de IA de forma consistente. Observa prácticas, responsables, evidencia, resultados y capacidad para aprender. No mide qué tan moderna parece una empresa ni cuántas políticas ha publicado. Una función puede tener documentos sofisticados y depender todavía de una sola persona, revisiones tardías o controles que nadie ha probado.

NIST organiza la gestión de riesgo de IA alrededor de Govern, Map, Measure y Manage, y aclara que sus acciones no forman una lista ordenada ni universal. GAO agrupa prácticas de rendición de cuentas en gobierno, datos, desempeño y monitoreo. Esas referencias ayudan a elegir capacidades que observar; no entregan una calificación oficial de Cerravi ni obligan a usar una escala concreta.

El resultado útil es un mapa de fortalezas, límites, evidencia faltante y próximos movimientos. Si la evaluación termina solo en un número, el equipo puede discutir la nota sin cambiar ninguna condición de operación. La madurez aporta valor cuando reduce una exposición, aclara una decisión o aumenta la capacidad para detectar y corregir antes de que el problema se repita.

Define la unidad evaluada antes de abrir la escala

Especifica organización, unidad de negocio, proceso, producto, caso de uso, versión, entorno, región y periodo. Una evaluación corporativa puede describir capacidades compartidas, pero no debe ocultar que ventas, soporte y recursos humanos operan con exposiciones distintas. Tampoco mezcles un piloto aislado con una función en producción que toca clientes, dinero o datos sensibles.

Declara la decisión que apoyará el diagnóstico. Puede ser priorizar inversiones, preparar el paso a producción, distribuir autoridad, corregir una observación, integrar una adquisición o revisar si el modelo operativo todavía escala. La profundidad y los participantes cambian con esa pregunta. Medir todo sin una decisión genera entrevistas extensas y un backlog que nadie puede ordenar.

Registra exclusiones, dependencias y fecha de corte. Si identidad, retención o respuesta a incidentes pertenecen a una plataforma común, incluye la evidencia relevante y su responsable. Si no puedes observar una dependencia material, márcala como no evaluada; no la conviertas en madura por herencia ni en inexistente por falta de acceso.

Evalúa capacidades completas en lugar de contar documentos

Usa dimensiones que sigan el trabajo real. Mandato y autoridad muestran quién puede decidir. Inventario y clasificación delimitan qué existe y qué profundidad requiere. Datos y terceros cubren origen, acceso, calidad, condiciones y dependencias. Evaluación y controles comprueban comportamiento y barreras. Operación observa señales, cambios, incidentes y retiro. Evidencia conserva la razón de las decisiones. Personas y capacidad sostienen todo lo anterior.

Puedes añadir valor y adopción para verificar si el uso conserva un propósito legítimo, pero no permitas que un beneficio comercial compense un control crítico fallido. Tampoco hagas que una buena disponibilidad o un volumen alto de usuarios eleve automáticamente la madurez de privacidad, seguridad o supervisión humana.

Cada dimensión necesita un dueño del dato y una pregunta estable. Cambiar definiciones entre periodos puede aparentar avance. Conserva el diccionario, anota cualquier modificación y vuelve al registro subyacente cuando una tendencia resulte inesperada.

Describe niveles con hechos que una persona pueda comprobar

Una escala práctica puede usar cinco estados: ad hoc, repetible, definido, medido y adaptativo. Ad hoc depende de reacción e individuos. Repetible conserva algunos patrones, aunque no cubre toda la cartera. Definido tiene criterios, responsables y rutas comunes. Medido usa evidencia operacional para comprobar resultados. Adaptativo cambia controles, capacidad y delegación a partir de señales verificables.

Los nombres son una convención interna, no un estándar universal. Microsoft publica modelos de madurez para adopción de agentes con etapas propias y reconoce que una organización puede estar en niveles distintos según la criticidad del agente. Úsalo como referencia de diseño, no como certificado, benchmark general ni obligación para empresas que no usan su plataforma.

Escribe descriptores por dimensión. Medido en inventario podría significar reconciliación periódica con fuentes reales y tratamiento de diferencias. Medido en controles exige resultados y cobertura, no solo una biblioteca. Adaptativo requiere mostrar qué cambió por la evidencia; una frase como mejora continua sin decisiones trazables no demuestra ese nivel.

Separa diseño, implementación, operación y eficacia

Una política demuestra diseño. Una configuración, asignación o flujo aprobado puede demostrar implementación. Logs, tickets, minutas y muestras muestran operación. Resultados contra criterios definidos ayudan a evaluar eficacia. No saltes de existe un documento a funciona. Tampoco declares ineficaz un control solo porque no encontraste evidencia en una entrevista: registra el faltante y confirma con el dueño y la fuente adecuada.

Usa una jerarquía transparente. Prioriza registros del sistema, pruebas reproducibles, decisiones fechadas y muestras vinculadas a versión. Las entrevistas explican contexto y excepciones, pero no sustituyen evidencia cuando el comportamiento puede observarse. Una demostración preparada prueba un recorrido puntual; no demuestra cobertura continua.

Etiqueta evidencia vigente, vencida, parcial, contradictoria o no disponible. Conserva procedencia, propietario, periodo, alcance y limitaciones. Si el acceso a evidencia está restringido, permite una verificación proporcional o un resumen firmado por la función responsable, pero no conviertas la confidencialidad en una afirmación automática de eficacia.

Combina revisión documental, muestras y conversaciones

Empieza con inventario, políticas, matrices, evaluaciones, registros de riesgo, pruebas de controles, cambios, incidentes y reportes operativos. Selecciona después una muestra de casos por nivel de riesgo, etapa, unidad y resultado. El objetivo es recorrer decisiones reales desde intake hasta operación o retiro, no revisar solo los ejemplos que el equipo considera exitosos.

Entrevista a patrocinio, dueños de negocio, producto, operación, datos, seguridad, privacidad, riesgo, soporte y usuarios cuando corresponda. Pregunta por el último caso, no por la aspiración general: qué ocurrió, quién decidió, qué evidencia faltó, qué se hizo al vencer una acción y cómo se habría detenido el sistema. Contrasta respuestas con registros sin tratar cualquier diferencia como mala fe.

Realiza un taller breve para validar hechos, desacuerdos y dependencias. La persona que facilita no debe presionar por una nota más alta ni cerrar una discusión material mediante promedio. Registra la vista del dueño, la evidencia contraria y la resolución sobre el nivel o la necesidad de investigar.

• Revisión de políticas, procedimientos y decisiones recientes.
• Muestra de casos activos, pausados, excepciones e incidentes.
• Recorrido de extremo a extremo y prueba de evidencia.
• Entrevistas por función y proximidad con el trabajo real.
• Taller de contraste con hechos, discrepancias y límites.

Califica por capacidad y conserva incertidumbre

Asigna el nivel más alto cuya descripción esté sustentada, no el que el equipo espera alcanzar. Si una capacidad está definida pero solo opera en una parte de la cartera, registra nivel, cobertura y segmento. Puedes usar no evaluado cuando falta acceso o el recorrido queda fuera del alcance. No conviertas lo desconocido en cero ni en cumplimiento implícito.

Evita promediar dimensiones heterogéneas. Una media de cuatro puede esconder que no existe autoridad para contener o que una fuente crítica carece de permiso. Presenta un perfil por capacidad, dependencias y bloqueadores. Si dirección pide un resumen, usa estados y decisiones materiales, no una probabilidad inventada de seguridad.

Dos evaluadores deberían llegar a una conclusión comparable con la misma evidencia. Para lograrlo, añade ejemplos de inclusión y exclusión, regla para cobertura parcial, criterio de vigencia y mecanismo de calibración. Conserva el desacuerdo cuando la evidencia permite más de una interpretación; resolverlo puede ser parte del plan.

Ajusta la expectativa al riesgo sin rebajar el mínimo

No todas las capacidades necesitan la misma profundidad en todos los casos. Un asistente interno, reversible y sin acciones puede operar con patrones más ligeros que una función externa que modifica precios, permisos o decisiones. El nivel de riesgo orienta cobertura, independencia, frecuencia y evidencia. No elimina requisitos básicos como dueño, propósito, datos autorizados y ruta de incidente.

Evalúa también la capacidad agregada. Varios casos pequeños pueden depender del mismo proveedor, modelo, conector o revisor y crear concentración. Una unidad puede parecer madura porque recibe controles centrales, mientras la función común está saturada o carece de suplencia. Relaciona resultados locales con dependencias compartidas.

La meta no siempre es llegar al nivel máximo. Una capacidad definida y eficaz puede ser suficiente para una exposición acotada. Perseguir sofisticación innecesaria consume recursos y puede crear burocracia. Justifica el estado objetivo por riesgo, escala, obligación aplicable y costo de sostenerlo.

Convierte diferencias en brechas que puedan cerrarse

Describe cada brecha como diferencia entre estado observado y estado necesario. Incluye capacidad, alcance, evidencia, consecuencia, causa probable, dependencia y urgencia. No escribas mejorar monitoreo. Especifica qué señal no existe, qué escenario queda ciego, qué recorrido necesita cobertura y qué decisión depende de ella.

Prioriza por exposición y capacidad para intervenir, no por facilidad para subir una nota. Atiende primero ausencia de autoridad, condiciones fuera de tolerancia, datos o acciones sin límite, controles críticos fallidos, incidentes repetidos y evidencias que contradicen la aprobación vigente. Después trata cobertura, eficiencia y automatización.

Distingue corrección, contención y mejora estructural. La contención reduce exposición ahora; la corrección restaura el requisito; la mejora cambia el sistema para evitar recurrencia o ampliar capacidad. Una plantilla nueva puede ayudar, pero no cierra una brecha operacional hasta que se usa, verifica y sostiene.

Diseña un plan de noventa días basado en resultados

Agrupa acciones en estabilizar, definir, comprobar y escalar. Durante las primeras semanas contiene exposiciones, asigna dueños y corrige rutas críticas. Después documenta estándares mínimos y conecta artefactos. Luego prueba controles y operación sobre una muestra. Solo entonces automatiza o delega lo que ya tiene criterio estable.

Cada acción necesita resultado verificable, responsable con autoridad, fecha, recursos, dependencia, criterio de cierre y evidencia esperada. Vincúlala con riesgo, hallazgo o decisión. Si una acción condiciona continuidad, agrega una fecha de pausa o un límite técnico; una fecha en una hoja no contiene por sí sola.

Equilibra quick wins con capacidades base. Un dashboard puede dar visibilidad, pero no reemplaza inventario, definiciones ni fuentes confiables. Capacitar ayuda, pero no corrige un permiso excesivo. Automatizar intake acelera solicitudes, pero no resuelve derechos de decisión. Ordena las dependencias para evitar digitalizar una ambigüedad.

Reevalúa por evidencia nueva, no para defender la línea base

Establece una línea base con fecha, alcance y confianza. Revisa acciones de acuerdo con su riesgo y realiza una nueva evaluación cuando cambien estructura, plataforma, proveedor, autonomía, datos, región o exposición. Un incidente, una falla de control o un hallazgo material puede reabrir una capacidad antes del calendario.

Compara con el periodo anterior usando las mismas definiciones. Explica si el cambio proviene de evidencia nueva, cobertura ampliada, criterio corregido o mejora real. Descubrir una brecha puede bajar el nivel y, al mismo tiempo, demostrar mejor capacidad de detección. No castigues la transparencia ni premies la ausencia de reportes.

Mide cierre a tiempo, reincidencia, cobertura, acciones que cambiaron controles y dependencia de excepciones. Observa también costo, espera y carga sobre especialistas. La evaluación debe mejorar el gobierno, no convertirse en una ceremonia anual que compite con el trabajo de gobernar.

Evita los atajos que fabrican madurez

No copies un cuestionario sin adaptarlo al contexto, no permitas autoevaluación sin contraste para asuntos materiales y no midas éxito por documentos producidos. Evita una sola nota corporativa, colores sin evidencia y comparaciones públicas con organizaciones cuyo alcance desconoces. Una escala detallada no corrige una muestra sesgada.

No conviertas el diagnóstico en auditoría o certificación si no tiene mandato, independencia, criterios y procedimientos para ello. Tampoco prometas cumplimiento de todas las obligaciones. La evaluación interna puede preparar trabajo posterior, identificar preguntas legales y mejorar evidencia, pero sus conclusiones permanecen dentro del alcance declarado.

No uses madurez para justificar más autonomía por defecto. Una organización puede mejorar inventario, observabilidad y respuesta mientras conserva revisión humana en decisiones comerciales. La capacidad para controlar una función no demuestra que deba delegarse más autoridad al sistema.

• Promediar hasta ocultar una brecha crítica.
• Aceptar políticas como prueba de eficacia.
• Elegir solo casos exitosos para la muestra.
• Tratar no evaluado como aprobado o inexistente.
• Confundir sofisticación, automatización o autonomía con madurez.

Aplica la evaluación a los límites reales de Cerravi

En Cerravi, una evaluación puede comprobar si el equipo conserva dueño por oportunidad y caso, catálogos vigentes, permisos apropiados, revisión humana, trazabilidad de cambios y rutas para feedback e incidentes. También puede revisar si las sugerencias del Copilot se contrastan con contexto y si las decisiones comerciales siguen en manos autorizadas.

Copilot organiza información y propone siguientes pasos; no envía mensajes ni cambia etapas automáticamente. Las propuestas utilizan productos y precios cargados en el catálogo. Cuando falta un importe, debe confirmarse y no inventarse. MXN, USD y otras monedas permanecen separadas salvo una conversión aprobada. Una apertura de Buyer Room aporta actividad, pero no demuestra identidad, aceptación, contrato, pago o intención. Forecast usa reglas transparentes del CRM y no garantiza cierres.

Esos límites deben comprobarse en la versión y configuración observadas. Una integración o automatización añadida por la empresa puede cambiar el recorrido y requiere su propia evaluación. Cerravi aporta funciones y evidencia del producto dentro de su alcance; no certifica la madurez, el cumplimiento ni la eficacia general del gobierno de una organización.