¿Controlas tu IA o la alquilas con otro nombre?

En las propuestas de IA que hoy llegan a un directorio conviven tres adjetivos: privada, soberana, segura. Los tres prometen lo mismo — que la empresa mantiene el control — y ninguno lo demuestra por sí solo. Un adjetivo no es una cláusula: se imprime gratis en cualquier folleto.

El control real se responde con verificables: un país, un nombre, una cláusula, un archivo que puedes descargar. Para eso construimos el Test de Control de IA: tres preguntas, doce verificables y un semáforo, en una página.

El vocabulario cambia cada año; las preguntas, no

Hoy el mercado corporativo dice IA privada; en el sector público se dice IA soberana; el año pasado se decía otra cosa y el que viene se dirá una nueva. Las etiquetas rotan porque las pone el marketing. Las preguntas de fondo no rotan, porque las pone la realidad: ¿quién puede leer tus datos?, ¿qué te llevas el día que cambies de proveedor?, ¿quién responde cuando falla?

Por eso el instrumento no pregunta cómo se llama la solución. Pregunta quién manda sobre ella.

Tres preguntas que separan control de marketing

1 · ¿Bajo qué jurisdicción vive tu IA? Un servidor tiene país, y ese país tiene leyes que pueden obligar a tu proveedor sin consultarte — el CLOUD Act estadounidense es el ejemplo más citado, no el único. Si no sabes en qué país corre la inferencia, esa ley la eliges a ciegas.

2 · ¿Dónde viven los pesos y los datos? La pregunta no es si el proveedor promete confidencialidad, sino qué te llevas el día que te vayas: pesos, índices, embeddings, registros. Una promesa sin salida ordenada es la definición operativa del lock-in.

3 · ¿Quién opera, y con qué compromisos verificables? El control no lo demuestra el fierro propio: lo demuestran compromisos que alguien puede auditar. El servidor puede ser tuyo, rentado o del proveedor — lo que no puede faltar es el compromiso por escrito, con nombres, SLA y penalidad.

Y la regla que ordena las doce respuestas: si no te la pueden dar por escrito, no cuenta. "Confía en nosotros" no es una respuesta.

Cómo se usa, en tres escenarios

• Sobre tu despliegue actual. Es una autoevaluación: la aplicas tú, sin nosotros, y el resultado queda contigo. Doce respuestas después sabes si tienes control o costumbre.
• Dentro de un TDR o RFP. Las doce preguntas están escritas para citarse tal cual como requisitos de información. El proveedor que las responde por escrito se diferencia solo.
• Con una propuesta en la mesa. Cada verificable que falte se negocia mejor antes de firmar que después. El semáforo lo resume: de 10 a 12 respuestas por escrito, control real; de 6 a 9, sabes exactamente qué negociar; con 5 o menos, tienes un folleto.

Aplícalo a quien quieras — a nosotros incluidos

El Test no lleva marca en el título a propósito: evalúa cualquier despliegue — un on-premise, un "cloud soberano", un SaaS con API — de cualquier proveedor, incluido el nuestro. Esa es la vara con la que pedimos que nos midan.

Aplica el Test de Control de IA — se lee completo sin registro, y si quieres llevártelo, hay una versión en PDF lista para circular en tu comité.