En resumen: las mejores herramientas de gobernanza de IA en 2026, según nuestra puntuación ponderada (datos a noviembre de 2026), son IBM watsonx.governance (4,55/5), Credo AI (4,50), ModelOp (4,05), Saidot (4,00), Holistic AI y OneTrust (3,90 cada una), ServiceNow AI Control Tower (3,65) y Truyo (3,10). Solo IBM publica precios. Saidot (Finlandia) es el único proveedor con sede en la UE; Holistic AI es británica y las otras seis son estadounidenses. Si tu riesgo principal es que la plantilla pegue datos en ChatGPT o Copilot, necesitas gobernanza del uso (por ejemplo, Microsoft Purview) antes que una plataforma de gobernanza de modelos.
La mayoría de las empresas ya usan más IA de la que son capaces de enumerar. El Cost of a Data Breach Report 2025 de IBM concluyó que el 63 % de las organizaciones que sufrieron una brecha no tenía política de gobernanza de IA o aún la estaba elaborando, que solo el 34 % de las que sí la tenían auditaba con regularidad el uso de IA no autorizada, y que una de cada cinco organizaciones sufrió una brecha por IA en la sombra (shadow AI). Ese es el hueco que cubren las herramientas de gobernanza de IA: un inventario único de cada modelo, agente y proveedor de IA, vinculado a las normas que le aplican y con evidencias que un auditor acepte.
La categoría ya tiene cobertura propia de los analistas. Gartner publicó su primer Magic Quadrant de plataformas de gobernanza de IA el 17 de junio de 2026, según el anuncio de IBM, y «evaluó a 13 proveedores según su capacidad de ejecución y su visión», según Holistic AI. La definición de Gartner marca el listón que usamos en toda la guía: las plataformas de gobernanza de IA están diseñadas para «definir, aprobar y aplicar de forma centralizada políticas de IA responsable» (según la cita de Airia).
Puntuamos ocho de esas plataformas con el mismo marco publicado y un enfoque explícito para el comprador europeo: el calendario del Reglamento de IA (AI Act) tras el Ómnibus de IA y la certificación ISO/IEC 42001. Los datos de producto y precios se verificaron en las páginas oficiales de cada proveedor en noviembre de 2026.
¿Qué son las herramientas de gobernanza de IA y qué problema resuelven?
Las herramientas de gobernanza de IA son plataformas que mantienen un inventario vivo de los sistemas de IA de una organización, clasifican cada uno por riesgo, aplican los controles que exige la norma o el estándar correspondiente y guardan la evidencia de que esos controles se aplicaron. En la práctica sustituyen el proceso de hoja de cálculo y correo con el que empiezan casi todos los equipos de cumplimiento.
Una plataforma completa cubre cuatro tareas:
- Descubrimiento e inventario: localizar modelos, agentes, copilotos y funciones de IA de terceros en nubes, repositorios de código y SaaS, incluidos los que nadie registró (shadow AI).
- Clasificación y evaluación del riesgo: decidir si un caso de uso está prohibido o es de alto riesgo, riesgo limitado o riesgo mínimo según el AI Act, y realizar evaluaciones de impacto o de riesgo.
- Controles y flujos de trabajo: aprobaciones, puertas de despliegue, paquetes de políticas y pruebas (sesgo, robustez, alucinaciones) vinculados a cada caso de uso.
- Evidencias y monitorización: documentación lista para auditoría, registros y monitorización continua tras la puesta en producción.
Lo que estas herramientas no hacen: no hacen que un sistema de IA cumpla la normativa por sí solas ni sustituyen el análisis jurídico de si eres proveedor o responsable del despliegue. Hacen que la gobernanza sea repetible y demostrable. Si aún estás definiendo las políticas que una plataforma tendría que aplicar, empieza por nuestros servicios de consultoría de IA antes de comprar software.
Gobernanza del uso de la IA frente a gobernanza de modelos: ¿cuál necesitas?
La gobernanza del uso controla cómo emplea la plantilla herramientas como ChatGPT, Copilot o Gemini; la gobernanza de modelos controla los sistemas de IA que tu organización desarrolla, compra o despliega. Muchas pymes necesitan la primera antes que la segunda, y los productos son distintos.
| Gobernanza del uso de la IA | Gobernanza de modelos y sistemas de IA | |
|---|---|---|
| Pregunta principal | ¿Qué datos envía la gente a las herramientas de IA? | ¿Qué sistemas de IA usamos, cuánto riesgo tienen y podemos demostrar que los controlamos? |
| Controles típicos | Prevención de pérdida de datos, etiquetas de confidencialidad, inspección de navegador y red, auditoría de prompts | Inventario, clasificación de riesgo, aprobaciones, pruebas, monitorización, evidencias |
| Ancla normativa | RGPD, confidencialidad, alfabetización en IA | AI Act (artículos 17 y 26), ISO/IEC 42001, NIST AI RMF |
| Herramientas de ejemplo | Microsoft Purview, capas de seguridad en tiempo de ejecución como Airia | Las ocho plataformas puntuadas más abajo |
Microsoft documenta que Purview puede auditar los prompts y respuestas de Copilot, aplicarles etiquetas de confidencialidad y prevención de pérdida de datos, e impedir que se peguen datos sensibles en sitios de IA generativa de terceros como ChatGPT desde equipos Windows incorporados. Eso cubre el uso, no un registro de sistemas de IA de alto riesgo. La mayoría de las medianas empresas acaban necesitando las dos capas.
Cómo hemos puntuado las mejores plataformas de gobernanza de IA: nuestro marco de evaluación
Cada plataforma recibió una nota de 1 a 5 en seis criterios. La nota ponderada (máximo 5,00) decide el ranking; si dos herramientas empatan, desempata la nota en controles del ciclo de vida, y lo indicamos.
| Criterio | Peso | Qué evaluamos |
|---|---|---|
| Cobertura regulatoria | 25 % | Contenido listo para el AI Act, ISO/IEC 42001 y NIST AI RMF, verificado en las páginas del propio proveedor |
| Inventario y descubrimiento | 20 % | Descubrimiento automático de modelos, agentes y shadow AI; mapa de dependencias |
| Controles del ciclo de vida y evidencias | 20 % | Evaluaciones, aprobaciones, pruebas, monitorización y evidencias listas para auditoría |
| Integración y ecosistema | 15 % | Conectores documentados con nubes, plataformas de ML, ticketing y herramientas GRC |
| Transparencia de precios | 10 % | Si la web oficial publica precios o, al menos, el modelo de precios |
| Encaje UE | 10 % | 5 = sede en la UE; 4 = región de alojamiento en la UE u opción on-premise documentadas en páginas oficiales; 3 = solo contenido del AI Act |
Cuatro principios detrás del marco:
- La cobertura regulatoria pesa más (25 %) porque el principal motivo por el que una empresa europea compra una plataforma de gobernanza en 2026 es demostrar el cumplimiento del AI Act y prepararse para la certificación ISO/IEC 42001.
- Solo puntuamos lo documentado. Si un marco o una funcionalidad no figura en las páginas oficiales del proveedor, no suma puntos, aunque lo prometa una presentación comercial.
- Se puntúa la transparencia de precios, no el precio. Solo uno de los ocho proveedores publica precios; el resto vende bajo petición de oferta, algo relevante si necesitas una cifra antes de hablar con ventas.
- Es un análisis documental, no una prueba de laboratorio. No hemos probado los ocho productos en la práctica. Las notas reflejan la documentación pública, así que la lista de pruebas para la prueba de concepto que verás más abajo es donde debe empezar tu propia evaluación.
Criterio de inclusión. Partimos de los proveedores que anunciaron públicamente su posición en el Magic Quadrant 2026 de Gartner, añadimos dos especialistas con contenido normativo sólido y documentado (Credo AI, Leader en la Forrester Wave del T3 de 2025, y Saidot, la opción europea) y nos quedamos con los que documentan un inventario de IA multiplataforma y contenido para al menos dos de los tres marcos principales (AI Act, ISO/IEC 42001, NIST AI RMF). Otros siete productos revisados pero no puntuados aparecen, con el motivo, en «Otras opciones analizadas», junto a las principales opciones de código abierto.
Sobre las posiciones de Gartner. El informe de Gartner es de pago, así que solo indicamos una posición cuando el propio proveedor la ha anunciado, y enlazamos ese anuncio en cada sección. No encontramos ningún anuncio público de Credo AI ni de Saidot, por lo que su casilla de Gartner indica «No anunciada». Las categorías se mantienen en inglés, como en el informe: Leader (Líder), Visionary (Visionario), Challenger (Aspirante) y Niche Player (Jugador de nicho). La posición del analista orientó la investigación, pero no fijó nuestras notas.
Las 8 mejores herramientas de gobernanza de IA en 2026, comparadas y puntuadas
IBM watsonx.governance es primera con 4,55/5 gracias al contenido regulatorio documentado más amplio y a la única lista de precios pública; Credo AI la sigue con 4,50 y el conjunto de funciones más sólido entre las especialistas, y ModelOp es tercera con 4,05 por la automatización del ciclo de vida en grandes carteras de modelos.
Notas y posiciones de Gartner a noviembre de 2026.
| # | Plataforma | Sede | Nota | Ideal para | Gartner MQ 2026 | Marcos documentados | Precio |
|---|---|---|---|---|---|---|---|
| 1 | IBM watsonx.governance | EE. UU. | 4,55 | Contenido regulatorio amplio con precios públicos | Leader | AI Act, ISO 42001, NIST AI RMF | Público, desde 3.500 $/mes |
| 2 | Credo AI | EE. UU. | 4,50 | Paquetes de políticas y registro de agentes en empresas reguladas | No anunciada | AI Act, ISO 42001, NIST AI RMF | A consultar |
| 3 | ModelOp | EE. UU. | 4,05 | Grandes carteras de ML, IA generativa y agentes | Visionary | AI Act, ISO 42001, NIST AI RMF, SR 11-7 | A consultar |
| 4 | Saidot | Finlandia (UE) | 4,00 | Compradores que quieren un proveedor europeo | No anunciada | AI Act, ISO 42001, NIST AI RMF | A consultar |
| 5 | Holistic AI | Reino Unido | 3,90 | Pruebas, red teaming y aseguramiento de modelos | Challenger | AI Act, ISO 42001, NIST AI RMF | A consultar |
| 6 | OneTrust AI Governance | EE. UU. | 3,90 | Empresas que ya usan OneTrust para privacidad | Visionary | AI Act, ISO 42001, NIST AI RMF | A consultar (modelo publicado) |
| 7 | ServiceNow AI Control Tower | EE. UU. | 3,65 | Empresas cuya CMDB está en ServiceNow | Leader | AI Act, NIST AI RMF (ISO 42001 en revisión) | A consultar |
| 8 | Truyo | EE. UU. | 3,10 | Equipos de privacidad que necesitan descubrimiento y anonimización | Leader | AI Act, NIST AI RMF | A consultar |
Notas por criterio a noviembre de 2026 (Reg. = cobertura regulatoria, Inv. = inventario, Ciclo = controles del ciclo de vida, Int. = integración, Precio = transparencia de precios, UE = encaje UE):
| Plataforma | Reg. | Inv. | Ciclo | Int. | Precio | UE | Ponderada |
|---|---|---|---|---|---|---|---|
| IBM watsonx.governance | 5 | 4 | 5 | 4 | 5 | 4 | 4,55 |
| Credo AI | 5 | 5 | 5 | 5 | 2 | 3 | 4,50 |
| ModelOp | 4 | 4 | 5 | 5 | 2 | 3 | 4,05 |
| Saidot | 5 | 4 | 4 | 3 | 2 | 5 | 4,00 |
| Holistic AI | 4 | 4 | 5 | 4 | 2 | 3 | 3,90 |
| OneTrust AI Governance | 4 | 4 | 4 | 4 | 3 | 4 | 3,90 |
| ServiceNow AI Control Tower | 3 | 5 | 4 | 4 | 2 | 3 | 3,65 |
| Truyo | 3 | 4 | 3 | 3 | 2 | 3 | 3,10 |
Holistic AI y OneTrust empatan a 3,90; Holistic AI queda quinta por el desempate en controles del ciclo de vida (5 frente a 4). La diferencia entre IBM y Credo AI (0,05) se debe por completo al encaje UE y a los precios: IBM documenta alojamiento en la UE y una opción on-premise y publica precios, mientras que Credo AI no documenta ninguna de las dos cosas en sus propias páginas. Sin esos dos criterios, Credo AI quedaría primera.
1. IBM watsonx.governance: la plataforma más completa y con precios públicos (4,55/5)
IBM watsonx.governance es la única plataforma de esta lista que publica precios, y lo combina con el contenido regulatorio documentado más amplio. La página del producto incluye contenido regulatorio y de riesgo para el AI Act, NIST AI RMF e ISO 42001, además de un grafo de gobernanza, detección de shadow AI, monitorización continua y aplicación de políticas, con despliegue en la nube y on-premise. IBM fue nombrada Leader en el Magic Quadrant 2026 de Gartner, según el anuncio de IBM.
Su nota de 4 en encaje UE se apoya en dos hechos documentados: la página de disponibilidad regional de IBM incluye Fráncfort entre las regiones de watsonx.governance tanto en IBM Cloud como en AWS, y la edición Advanced se vende como software empresarial para despliegue autogestionado. Ten en cuenta que un proveedor estadounidense sigue sujeto a la ley de EE. UU. aunque los datos estén en Fráncfort.
Precios verificados en noviembre de 2026 en la página oficial de precios: prueba gratuita de 14 días en un entorno compartido; Model Management en IBM Cloud, de pago por uso tras 30 días de prueba, con un precio de partida cuya unidad de facturación IBM no publica; Risk & Compliance Basic en IBM Cloud desde 3.500 $ al mes (una instancia, un módulo, un usuario concurrente; con complementos, hasta un máximo de 25 usuarios concurrentes); Risk & Compliance Advanced, vendido como software empresarial, desde 6.450 $ al mes (hasta 200 usuarios concurrentes); y un plan en AWS Marketplace «desde 42.000 $» con una instancia, cinco casos de uso de IA, 12.000 evaluaciones y 25 usuarios concurrentes (la página no indica el periodo del contrato). El software autogestionado se factura por núcleos de procesador virtual. IBM advierte de que los precios son orientativos y varían por país.
Dónde flojea: el precio por usuario concurrente se encarece rápido si muchos responsables de negocio tienen que rellenar evaluaciones, así que calcula los complementos antes de que acabe el piloto.
2. Credo AI: la especialista en paquetes de políticas para empresas reguladas (4,50/5)
Credo AI es la plataforma especialista más sólida y solo pierde el primer puesto por transparencia de precios y encaje UE. Su web documenta un registro de agentes con fichas de agente, detección de shadow AI, clasificación de riesgos, mapa de dependencias, una biblioteca de riesgos y controles pensada para riesgos agénticos como el mal uso de herramientas o el desvío de alcance, y paquetes de políticas listos para el AI Act, NIST AI RMF e ISO 42001. Sus integraciones nativas incluyen Snowflake, Databricks, AWS, Azure, ServiceNow, Jira, Confluence, Slack, GitHub y MLflow.
Credo AI fue nombrada Leader en The Forrester Wave: AI Governance Solutions, Q3 2025, con la máxima puntuación posible en 12 criterios, entre ellos gestión de políticas de IA y auditoría de cumplimiento normativo. No hemos encontrado ningún anuncio público de Credo AI sobre su posición en el Magic Quadrant 2026 de Gartner.
Ojo con: no hay precios públicos ni alojamiento en la UE documentado en sus propias páginas. Pide ambas cosas por escrito en la primera llamada.
3. ModelOp: automatización del ciclo de vida para grandes carteras de IA (4,05/5)
ModelOp encaja con organizaciones que ya tienen cientos de modelos en marcha y necesitan una gobernanza integrada en la entrega, no añadida encima. Su web describe un inventario de cartera que abarca ML, IA generativa, IA agéntica e IA de proveedores; automatización del ciclo de vida desde la idea hasta producción; controles de gobernanza integrados en los flujos de trabajo; y visibilidad de coste, tokens, riesgo y retorno. Declara integración con más de 50 tecnologías y soporte para el AI Act, ISO/IEC 42001, NIST AI RMF y SR 11-7, la guía estadounidense de riesgo de modelos que conocen bien los bancos.
ModelOp fue nombrada Visionary en el Magic Quadrant 2026 de Gartner, según su anuncio de junio de 2026, que también recoge una nota de 3,97/5 en el caso de uso de gobernanza de agentes, empatada con IBM.
El inconveniente: está pensada para empresas con muchos modelos; una compañía con una docena de casos de uso pagará por capacidades que no utilizará.
4. Saidot: la opción europea y centrada en agentes (4,00/5)
Saidot es la elección para compradores europeos que quieren un proveedor sujeto a la misma regulación que ellos. La empresa tiene su sede en Helsinki (Finlandia), según su página de precios, y su web describe un grafo de conocimiento de gobernanza con más de 260 riesgos, 620 controles, 110 políticas y 170 modelos de IA de terceros, con contenido curado para el AI Act, ISO/IEC 42001 y NIST AI RMF. Conecta agentes, sistemas, modelos y conjuntos de datos en un único inventario, sigue los riesgos heredados de los modelos que usa cada agente y se conecta con Azure AI Foundry, Amazon Bedrock y otras plataformas mediante API REST que, según la empresa, permiten operar el 95 % de sus funciones. También ofrece servidores MCP para conectar tus propios asistentes y agentes de IA a la plataforma. Saidot afirma contar con la certificación ISO/IEC 27001:2022.
Por qué la integración se queda en 3: la cobertura de API y MCP es amplia, pero conectar Saidot a tu stack exige sobre todo desarrollo por tu parte, mientras que Credo AI cita diez integraciones nativas y ModelOp más de 50. Su página de precios no muestra importes.
5. Holistic AI: pruebas y red teaming integrados (3,90/5)
Holistic AI destaca por el aseguramiento técnico. Su web describe descubrimiento en nube, código y SaaS con más de 20 integraciones, red teaming frente a inyección de prompts y jailbreaks, más de 40 pruebas de sesgo, alucinaciones, privacidad y robustez, y controles vinculados al AI Act, NIST AI RMF e ISO/IEC 42001. Sus «Guardian Agents» supervisan agentes autónomos en tiempo real y pueden bloquear, redirigir o escalar acciones.
Según su anuncio sobre Gartner, Holistic AI fue nombrada Challenger en el Magic Quadrant 2026 y quedó primera en el informe complementario Critical Capabilities para el caso de uso de riesgo y cumplimiento de IA (3,90/5), y entre las tres primeras en gobernanza de agentes.
La pega: no hay precios públicos, y la profundidad de las pruebas se desaprovecha si lo que necesitas es un registro de políticas y no aseguramiento de modelos.
6. OneTrust AI Governance: la opción natural si ya trabajas con OneTrust (3,90/5)
OneTrust amplía una plataforma de privacidad y GRC que muchos DPD europeos ya usan. Su página de AI Governance describe descubrimiento continuo de IA, evaluación de riesgos homogénea para IA propia y de terceros, clasificación automática de riesgos para el AI Act, NIST AI RMF e ISO 42001, monitorización de modelos y agentes en Amazon Bedrock y Microsoft Foundry, y conectores para Google Vertex, Databricks Unity Catalog, Jira y Palo Alto Networks. OneTrust fue nombrada Visionary en el Magic Quadrant 2026 de Gartner, según esa misma página.
OneTrust gana un punto extra en precios porque su página de precios explica el modelo: usuarios administradores e inventario de IA, con precio a consultar. Y obtiene un 4 en encaje UE porque su documentación de alojamiento ofrece alojamiento en Alemania y Francia, entre otras ubicaciones.
A tener en cuenta: fuera de un entorno OneTrust ya implantado, la plataforma es una compra grande para una necesidad solo de IA.
7. ServiceNow AI Control Tower: la mejor si ServiceNow ya gestiona tu TI (3,65/5)
ServiceNow es la opción más fuerte en inventario si tu CMDB ya está allí. El 15 de octubre de 2026 ServiceNow, que ahora se presenta como «the Super Intelligence Control Tower for business reinvention», anunció AI Passport, que da «control en tiempo de ejecución sobre lo que los agentes de IA y los servidores MCP están autorizados a hacer», además de detección de shadow AI, gestión de costes de IA y un interruptor de apagado; AI Passport, la detección de shadow AI y la gestión de costes están previstas para el T4 de 2026. Las notas de versión de junio de 2026 ya habían añadido conectores de descubrimiento para Databricks, Snowflake y Hugging Face y paquetes de cumplimiento predefinidos para el AI Act y las leyes de IA de California y Colorado, mientras que el contenido de ISO 42001 figuraba como «currently in legal review». ServiceNow informa en su página del informe de Gartner de que fue nombrada Leader en el Magic Quadrant 2026.
Dónde flojea: el contenido regulatorio de ISO 42001 aún no estaba publicado cuando salieron esas notas, lo que le resta puntos con nuestros pesos.
8. Truyo: descubrimiento y anonimización con enfoque de privacidad (3,10/5)
Truyo es Leader para Gartner, pero queda última aquí porque nuestro marco premia sobre todo el contenido normativo documentado. Su página sobre Gartner confirma la posición de Leader, y su página de gobernanza de IA describe escaneo para descubrir el uso de IA, un inventario de IA, evaluaciones por caso de uso, cobertura del AI Act y NIST AI RMF, pruebas de sesgo y «Scramble», que genera conjuntos de datos anonimizados para entrenar y probar modelos. ISO/IEC 42001 no aparece en esas páginas.
Ojo con: poco contenido documentado de ISO 42001 y de agentes. Su punto fuerte: un equipo de privacidad que necesita descubrimiento de IA y anonimización de datos en una sola herramienta.
Gobernanza de agentes: ¿qué plataformas cubren agentes de IA y servidores MCP?
La gobernanza de agentes es hoy el criterio que más rápido evoluciona, así que lo seguimos aparte en lugar de incluirlo en los pesos. En el informe complementario Critical Capabilities de Gartner, ModelOp declara una nota de 3,97/5 en el caso de uso de gobernanza de agentes de IA, que según ella fue la más alta (empatada), y Holistic AI afirma haber quedado entre los tres primeros en ese caso de uso.
| Plataforma | Gobernanza de agentes documentada |
|---|---|
| IBM watsonx.governance | La página del producto revisada no detalla controles específicos para agentes; pide una demo del inventario y la monitorización de agentes |
| Credo AI | Registro de agentes con fichas de agente; biblioteca de riesgos para mal uso de herramientas y desvío de alcance |
| ModelOp | 3,97/5 en AI Agent Governance en Critical Capabilities (dato del proveedor); IA agéntica en el inventario de cartera |
| Saidot | Agentes, modelos y conjuntos de datos en un único inventario; riesgos heredados de los modelos subyacentes; servidores MCP para conectar tus propios asistentes y agentes |
| Holistic AI | «Guardian Agents» que bloquean, redirigen o escalan acciones de agentes; entre los tres primeros en el caso de uso de agentes |
| OneTrust | Monitorización de modelos y agentes en Amazon Bedrock y Microsoft Foundry |
| ServiceNow | AI Passport con control en tiempo de ejecución de lo que pueden hacer agentes y servidores MCP, interruptor de apagado (varias funciones previstas para el T4 de 2026) |
| Truyo | Sin controles específicos para agentes en las páginas revisadas |
Otras opciones analizadas: por qué Airia, Monitaur, Microsoft Purview y otras no están entre las 8
Revisamos siete productos más y los dejamos fuera de la puntuación por los motivos siguientes, no por ser débiles.
| Herramienta | Situación | Por qué no la puntuamos aquí |
|---|---|---|
| Airia | Visionary en Gartner; primera en el caso de uso de seguridad de IA de Critical Capabilities, según Airia | Prioriza la seguridad y la aplicación en tiempo de ejecución (guardarraíles, restricciones de agentes, red teaming); buena capa de uso y ejecución, pero nuestro marco pondera el registro de cumplimiento |
| Monitaur | Visionary en Gartner; «Customer Favorite» de Forrester, según Monitaur | Centrada a propósito en seguros y otros sectores regulados; merece estar en la lista corta si ese es tu sector |
| Cranium AI, Relyance AI | Opciones centradas en seguridad (Cranium) y en privacidad (Relyance) | No puntuadas en esta ronda; revísalas si ya forman parte de tu stack de seguridad o privacidad |
| SAP AI Agent Hub | Gestión de agentes en SAP | Alcance ligado a entornos SAP; relevante sobre todo para empresas centradas en SAP |
| Microsoft Purview | Fuera del MQ | Gobernanza del uso y de los datos para Copilot y apps de IA, no un registro de sistemas de IA de alto riesgo (ver sección anterior) |
| Collibra AI Command Center | Fuera del MQ | Opción basada en catálogo de datos, con registro unificado de casos de uso, modelos y agentes y plantillas para el AI Act y NIST AI RMF, según Collibra; ideal si ya usas Collibra |
Opciones gratuitas y de código abierto. Existen herramientas gratuitas, pero ninguna iguala a las plataformas comerciales en descubrimiento automático y conectores. Esto es lo que cubre cada una:
| Herramienta | Licencia | Qué cubre |
|---|---|---|
| VerifyWise | Código disponible (gratis para uso no comercial y sector público; licencia comercial para empresas) | Plataforma de gobernanza de IA autoalojada: inventario de modelos, evaluación de riesgos por caso de uso, riesgo de proveedores e incidentes, con correspondencias para el AI Act, ISO/IEC 42001 y NIST AI RMF |
| IBM AI Fairness 360 | Apache 2.0 | Métricas de equidad y algoritmos para mitigar sesgos en datos y modelos |
| Fairlearn | Código abierto | Evaluación y mitigación de la equidad para equipos de ciencia de datos |
| Giskard | Apache 2.0 | Pruebas de agentes basados en LLM: inyección de prompts, jailbreaks, alucinaciones, calidad de RAG, red teaming |
| MLflow Model Registry | Código abierto | Versiones de modelos, trazabilidad hasta el entrenamiento y alias: un inventario técnico, no un registro de cumplimiento |
Las bibliotecas de pruebas generan evidencias; VerifyWise es lo más parecido a un registro. Si añades el NIST AI RMF y el texto del AI Act, ambos gratuitos, y la prueba de 14 días de IBM, un equipo pequeño puede construir un primer inventario antes de pagar una licencia.
¿Cómo encajan las herramientas de gobernanza de IA con el AI Act e ISO 42001?
Las herramientas de gobernanza de IA encajan con el AI Act convirtiendo sus obligaciones en registros trazables, y con ISO/IEC 42001 haciendo funcionar el sistema de gestión que exige el estándar. En términos de marco, el AI Act es ley, ISO/IEC 42001 es un estándar voluntario y certificable, y el NIST AI RMF es un marco de riesgos voluntario; una buena plataforma vincula un mismo inventario a los tres.
En cuanto a la ley, los plazos cambiaron en 2026. La página del AI Act de la Comisión Europea indica que, tras la entrada en vigor de las modificaciones del Ómnibus de IA el 27 de julio de 2026, las normas para los ámbitos de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027, y las de la IA integrada en productos regulados desde el 2 de agosto de 2028. Las prohibiciones 1 a 8 y la obligación de alfabetización en IA se aplican desde el 2 de febrero de 2025, una novena prohibición (IA que genera contenido íntimo no consentido o material de abuso sexual infantil) entra en vigor en diciembre de 2026, y la Comisión sitúa la entrada en vigor de las normas de transparencia en agosto de 2026. Para ver todas las obligaciones por rol en España, consulta nuestra guía del Reglamento de IA.
En cuanto al estándar, ISO/IEC 42001:2023 se publicó el 18 de diciembre de 2023 y especifica los requisitos para establecer, implantar, mantener y mejorar de forma continua un sistema de gestión de IA. El NIST AI RMF, publicado el 26 de enero de 2023, es voluntario y se organiza en cuatro funciones: Govern, Map, Measure y Manage.
| Obligación | Fuente | Qué debe aportarte una plataforma de gobernanza |
|---|---|---|
| Sistema de gestión de la calidad para proveedores de IA de alto riesgo | AI Act, artículo 17 | Procesos documentados, gestión de riesgos, seguimiento poscomercialización y registro de incidentes |
| Supervisión humana y conservación de registros para responsables del despliegue (al menos seis meses) | AI Act, artículo 26 | Responsables nominales por sistema, flujos de supervisión, evidencia de conservación de registros |
| Sistema de gestión de IA y controles | ISO/IEC 42001:2023 | Registro de políticas, tratamiento de riesgos, rastro de auditoría interna |
| Funciones de gestión de riesgos | NIST AI RMF 1.0 | Vinculación de casos de uso con Govern, Map, Measure y Manage |
Para la vía de certificación, consulta nuestra guía sobre la certificación ISO 42001; para el solapamiento entre datos personales y obligaciones de IA, nuestra guía de cumplimiento del RGPD y el AI Act.
«El retraso hasta diciembre de 2027 no es un motivo para esperar. Es, más o menos, un año para construir el inventario, porque una plataforma de gobernanza solo puede gobernar los sistemas de IA que ya has encontrado». — Alfons Marques, fundador de Technova Partners
¿Cuánto cuesta el software de gobernanza de IA?
Solo IBM publica precios entre las ocho plataformas analizadas, así que la mayoría de los presupuestos parten de una oferta comercial. Verificado en noviembre de 2026 en las páginas oficiales:
| Plataforma | Precios publicados |
|---|---|
| IBM watsonx.governance | Prueba gratuita de 14 días; Model Management de pago por uso (IBM no publica la unidad de facturación); Risk & Compliance Basic (IBM Cloud) desde 3.500 $/mes, hasta 25 usuarios concurrentes con complementos; Advanced (software empresarial) desde 6.450 $/mes, hasta 200 usuarios concurrentes; AWS Marketplace desde 42.000 $ (5 casos de uso, 12.000 evaluaciones, 25 usuarios concurrentes; periodo no indicado) |
| OneTrust AI Governance | A consultar; precio según usuarios administradores e inventario de IA |
| Credo AI, ModelOp, Saidot, Holistic AI, ServiceNow, Truyo | A consultar; sin precios en la web oficial |
Tres factores de coste se aplican sea cual sea el proveedor:
- Unidad de precio. Usuarios concurrentes (IBM), usuarios administradores más tamaño del inventario (OneTrust) o casos de uso escalan de forma distinta. Modela los próximos dos años, no el piloto.
- Implantación. Construir el inventario y adaptar los paquetes de políticas a tu organización requiere tiempo interno que ninguna suscripción cubre.
- Solapamiento. Si ya tienes licencia de una suite de GRC, privacidad, catálogo de datos o ITSM con módulo de IA, compara ese complemento antes de comprar una herramienta independiente.
Cómo elegir una herramienta de gobernanza de IA para tu organización
Elige partiendo del sistema que ya usas, filtra después por el marco que necesitas demostrar y por si tu riesgo está en el uso o en los propios modelos.
| Tu situación | Prueba primero | Por qué |
|---|---|---|
| El riesgo principal es que la plantilla use ChatGPT o Copilot con datos de la empresa | Microsoft Purview o una capa de ejecución como Airia | La gobernanza del uso va antes que un registro de modelos |
| Ya usas OneTrust para privacidad | OneTrust AI Governance | Aprovecha inventario, flujos y procesos del DPD |
| Tu CMDB y tus flujos de TI están en ServiceNow | ServiceNow AI Control Tower | El inventario y los responsables ya existen allí |
| Necesitas la certificación ISO/IEC 42001 | IBM, Credo AI, ModelOp, Saidot, Holistic AI u OneTrust | Documentan hoy contenido de ISO 42001 |
| Desarrollas y operas muchos modelos o agentes | ModelOp, Credo AI o Holistic AI | Los controles más profundos de ciclo de vida, riesgo de agentes y pruebas |
| Quieres un proveedor con sede en la UE | Saidot | Con sede en Helsinki (Holistic AI está en el Reino Unido, fuera de la UE); pregunta a todos dónde se guardan las evidencias |
| Necesitas una cifra antes de hablar con ventas | IBM watsonx.governance | La única lista de precios pública |
Sobre la residencia de datos, pregunta por escrito a cada proveedor dónde se almacenan el inventario y las evidencias. Nuestros servicios de protección de datos y RGPD cubren esa evaluación.
Qué probar en una prueba de concepto de 30 días
Una secuencia que funciona en la mayoría de las medianas empresas: crear un primer inventario en hoja de cálculo, clasificar el riesgo según el AI Act y probar después dos plataformas en paralelo durante 30 días con tus casos de uso reales. Cinco pruebas separan rápido a las plataformas:
- Importa tu inventario y comprueba cuántos sistemas se descubren automáticamente y cuántos hay que introducir a mano.
- Clasifica un caso de uso de alto riesgo de principio a fin y exporta el paquete de evidencias resultante.
- Registra un agente con sus herramientas o servidores MCP y comprueba si aparecen los riesgos heredados del modelo.
- Abre la vista de auditoría interna que pediría un auditor de ISO 42001, no solo el paquete de políticas.
- Calcula el precio del segundo año con tu número real de usuarios, casos de uso y evaluaciones.
Pide también a cada proveedor sus propios certificados, no solo sus plantillas. El centro de confianza de OneTrust incluye ISO/IEC 27001, 27701 y 27017 además de SOC 2 Type II, y Saidot declara ISO/IEC 27001:2022; ninguna de las páginas revisadas incluye un certificado ISO/IEC 42001 del propio proveedor. Un proveedor que vende preparación para ISO 42001 sin haber certificado su propio sistema de gestión de IA debería poder explicar por qué.
Nuestro equipo de servicios de datos e IA lleva ese proceso de principio a fin, y si tus casos de uso incluyen agentes autónomos, nuestra comparativa de AI agents para empresas ayuda a dimensionar el inventario.
Conclusión
- IBM watsonx.governance encabeza nuestra puntuación gracias al amplio contenido regulatorio documentado, el alojamiento en la UE documentado y la única lista de precios pública.
- Credo AI es la plataforma especialista más sólida, con paquetes de políticas para el AI Act, ISO 42001 y NIST AI RMF, y sería primera si no contaran los precios y el alojamiento en la UE.
- Saidot es la opción europea; OneTrust y ServiceNow ganan cuando ya trabajas con sus plataformas.
- Si tu exposición está en el uso de herramientas públicas de IA por parte de la plantilla, empieza por la gobernanza del uso, como Microsoft Purview, antes que por una plataforma de gobernanza de modelos.
- Los plazos de alto riesgo del AI Act se movieron a diciembre de 2027 y agosto de 2028: es tiempo para construir el inventario, no para saltárselo. La obligación de alfabetización en IA ya se aplica, elijas la plataforma que elijas.
¿Necesitas ayuda para elegir o implantar una plataforma de gobernanza de IA? Habla con nuestro equipo de datos e IA o consulta nuestros servicios de protección de datos.
Sobre el autor. Alfons Marques es el fundador de Technova Partners, una consultora que ayuda a empresas europeas a adoptar datos e IA, incluidos proyectos de preparación para el AI Act y programas de ISO/IEC 42001. Las notas de esta guía proceden únicamente de la documentación pública de los proveedores, con el marco publicado más arriba.
Preguntas frecuentes sobre herramientas de gobernanza de IA
¿Qué herramienta de gobernanza de IA debe elegir una empresa europea?
Depende más de tu stack que del ranking. IBM watsonx.governance encaja si necesitas una cifra de presupuesto y alojamiento en la UE; Saidot, si quieres un proveedor con sede en la UE; OneTrust o ServiceNow, si ya trabajas con ellas; Credo AI o ModelOp, para grandes carteras de modelos y agentes.
¿Qué es un marco de gobernanza de IA?
Un marco de gobernanza de IA es el conjunto de políticas, roles, criterios de riesgo y controles con que una organización aprueba y supervisa la IA. La mayoría de las empresas lo construyen sobre tres referencias: el AI Act (ley), ISO/IEC 42001 (sistema de gestión certificable) y el NIST AI RMF (Govern, Map, Measure, Manage). Una plataforma aplica el marco; no lo sustituye.
¿Cómo implantar la gobernanza de IA en una empresa?
Empieza por un inventario de todos los sistemas y herramientas de IA en uso; después clasifica cada uno según el riesgo del AI Act, nombra un responsable y redacta las reglas de aprobación y supervisión. Forma a la plantilla en alfabetización en IA, que el AI Act ya exige. Solo entonces haz una prueba de concepto de 30 días con dos plataformas y tus casos de uso reales.
¿Qué diferencia hay entre gobernanza de IA y gobernanza de datos?
La gobernanza de datos controla la calidad, la propiedad y el acceso a los datos; la gobernanza de IA controla los sistemas de IA que usan esos datos, incluidos su clase de riesgo, aprobaciones, pruebas y monitorización. Se solapan en datos de entrenamiento y privacidad, por eso proveedores de catálogo de datos y privacidad como Collibra y OneTrust ya venden módulos de gobernanza de IA.
¿Qué funciones debe tener una herramienta de gobernanza de IA?
Como mínimo: descubrimiento e inventario automáticos de modelos, agentes y proveedores de IA; clasificación de riesgos según el AI Act; flujos de evaluación y aprobación; contenido listo para ISO/IEC 42001 y NIST AI RMF; monitorización tras la puesta en producción; y evidencias exportables y listas para auditoría. En 2026, añade gobernanza de agentes y conectores con tus plataformas de nube y ML.
¿Quién necesita una plataforma de gobernanza de IA?
Cualquier organización que despliegue IA de alto riesgo según el AI Act, busque la certificación ISO/IEC 42001 o gestione más sistemas de IA de los que una hoja de cálculo puede seguir con fiabilidad. Las empresas con pocos casos de uso de bajo riesgo pueden empezar con documentos y añadir una plataforma cuando crezca el inventario o la carga de auditoría.
¿Existen herramientas de gobernanza de IA gratuitas o de código abierto?
Sí, pero ninguna iguala a las plataformas comerciales en descubrimiento y conectores. VerifyWise es una plataforma de gobernanza de código disponible con plantillas para el AI Act e ISO 42001 (gratis para uso no comercial); IBM AI Fairness 360, Fairlearn y Giskard cubren las pruebas, y MLflow, el registro de modelos. IBM ofrece además una prueba gratuita de 14 días.
¿Una plataforma de gobernanza de IA te hace cumplir el AI Act?
No. Organiza y demuestra el cumplimiento: inventario, clasificación de riesgos, controles y evidencias. Sigues teniendo que decidir si eres proveedor o responsable del despliegue y qué obligaciones te aplican. Con el Ómnibus de IA, las normas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027, según la Comisión Europea.
¿Cuánto cuesta una plataforma de gobernanza de IA?
Solo IBM publica precios: Risk & Compliance Basic parte de 3.500 $ al mes y Advanced de 6.450 $ al mes, verificado en noviembre de 2026. Las demás plataformas analizadas, como Credo AI, OneTrust o Holistic AI, tienen precio a consultar.
