Quim: tria una empresa, prem el botó i mira què surt. Després ja parlarem de si t'ho creus.
Sense instal·lar res. Només dades que l'empresa ja genera.
Aquest panell executa un CONSTA sencer sobre una empresa simulada amb dades realistes: les cinc fonts, la prova d'admissió, la unitat de compte, la rúbrica RC-1.1 i els dos índexs. El mateix motor de càlcul que faríem servir amb Actium dijous.
El resultat
RC-1.1 §5.3 i §6.1 · L'IRO i l'IENO no se sumen, no es promitgen i no es combinen mai en un indicador únic, i mai es publica una banda única del conjunt. L'elevació per manca d'evidència no pot fonamentar per si sola una recomanació de remediació.
| Satèl·lit | Àrea | Fonts | IRO | Regles | Banda |
|---|
Fes clic a qualsevol fila per veure d'on surt, com s'ha puntuat i contra quin control de norma es mapeja.
Els descartats s'entreguen al client amb el codi de la regla d'admissió. No són residu: són la prova que el mètode no infla l'inventari.
Què acabes de veure
Tot surt de registres que l'organització ja genera i que gairebé ningú no creua mai. Accessos de només lectura, revocats al tancament amb acta signada.
Entra ID o Google Workspace, finestra de 24 mesos. Quines aplicacions tenen permís sobre correu, fitxers i calendari. És la mina.
90 dies. Quins serveis es fan servir amb la identitat corporativa, i quines identitats queden fora d'abast.
Microsoft i Google. Què s'ha instal·lat des de dins, sovint per algú que no va passar mai per informàtica.
Només si el parc ho està. Si no ho està, es declara no aplicable i surt del denominador. No cobrim el que no existeix, i no ens ho comptem a favor.
12 mesos de càrrecs contra un diccionari d'uns 250 proveïdors amb el seu literal bancari. La font que no mira ningú i la que troba el que no passa per TI.
Un satèl·lit = un parell proveïdor × instància d'accés. Quaranta persones amb ChatGPT corporatiu són un. Tres fluxos amb una clau compartida són quatre.
La rúbrica RC-1.1
Quatre eixos de 0 a 4 amb descriptors ancorats a observables, IRO sobre 32, quatre bandes i quatre regles d'elevació que només pugen. Determinista: dos avaluadors han d'arribar al mateix número i al mateix ordre.
L'entregable
Cada trimestre. Signada per dos professionals identificats, un de cada casa, que han aplicat un procediment publicat. És la peça que el teu client ensenya al seu client, a la seva asseguradora o a qui li pregunti.
Un informe l'escriu qualsevol. Un acta la signa algú que en respon. La diferència no és el contingut: és qui queda exposat si el contingut és fals.
I per això les limitacions van a la pàgina dos i no a la lletra petita. Un document que promet una foto completa quan no ho és, és la manera més ràpida de perdre el segon client.
El forat
Hem revisat més de seixanta actors: consultores, empreses de ciberseguretat, plataformes de programari, eines de detecció i institucions. Totes pregunten on podries fer servir IA. Cap no respon quina IA ja tens i qui la controla.
Aivy, Plantekia, EvolutivaIA, FluctIA, KPMG, NTT DATA, Telefónica Tech. Tots miren endavant: on podries aplicar IA.
Mirar el que ja hi ha, amb criteri de negoci i amb dues firmes. Ningú a Espanya amb preu publicat. Ningú en absolut a Lleida.
Pràcticament ningú. El sector encara no s'ha mogut cap aquí.
Internet Security Auditors, Tarlogic en clau tècnica, i les eines de descobriment de shadow AI. Veuen trànsit, no ús.
Per què ara
És deliberat: les obligacions d'alt risc es van ajornar al 2 de desembre de 2027 pel Reglament (UE) 2026/1744. Vendre urgència regulatòria que no existeix es cau davant del primer advocat.
Criteri AEPD PD-00068-2026, acotat a dades de salut: anticipant el Reglament (UE) 2025/327 de l'espai europeu de dades sanitàries, el dret d'accés del pacient inclou, com a regla, saber qui ha accedit a la seva història. La STS 789/2026 de 24 de juny diu que en el RGPD general això no és automàtic: depèn d'un juí de necessitat. Ho diem tal com és, perquè exagerar-ho es cau davant del primer advocat. El que sí que val per a tothom: qui no pot produir la traça no pot sostenir la resposta.
Primera bretxa notificada a l'AEPD atribuïda a un agent d'IA actuant de manera autònoma: va buscar vulnerabilitats, va autenticar-se correctament, va continuar sondejant sol, va modificar dades personals i va accedir a factures. La font és la notificació i la cobertura de premsa d'aquells dies, no una resolució sancionadora: ho citem com a fet reportat. El que no caduca és l'obligació d'incorporar els atacs assistits per IA a l'anàlisi de riscos.
ISO/Verisk publica els endossos d'exclusió d'IA generativa per a responsabilitat civil: CG 40 47, CG 40 48 i CG 35 08. És mercat nord-americà i encara no és clausulat espanyol: ho posem com a direcció del vent, no com a fet d'avui aquí. Quan l'asseguradora pregunta què fa servir l'empresa, cal poder respondre amb un document.
Que el disparador sigui el client gran preguntant als proveïdors. Només el 2 % de 1.054 guies d'outside counsel menciona la IA, i el 68 % dels responsables jurídics no sap si els seus despatxos externs la fan servir. Aquesta cascada arribarà: és el vent de cua del 2028, no el motor del 2027.
Tu i jo
El que la ciberseguretat pura no fa: llegir l'ús, no el trànsit.
El que un consultor sol no pot: firmar de manera creïble.
Nou altes l'any són nou mil euros per a vosaltres. Això no mou ningú dins d'un grup de disset milions, i vendre-t'ho com un negoci en si mateix seria perdre la conversa al minut tres.
El que sí que mou: cada alta és una oportunitat de ciberseguretat ja qualificada, amb el problema documentat i el pressupost justificat davant del gerent. I és una eina de retenció: la pregunta que impedeix que un client vostre se'n vagi amb la consultora que sí que se la fa.
Actium
Actium s'ofereix a ser el primer client. És dins d'IN GROUP: no hem de vendre res per començar, només ho hem de fer. Si diem que sí aquesta setmana, el primer cas està entregat abans no acabi la primera quinzena d'octubre.
Noranta minuts. Repartiment, qui firma què, i el vostre tècnic amb nom i cognoms.
Carta de manifestacions signada, accés de només lectura a set elements, comunicació prèvia a la plantilla. Informe agregat per sistema i procés, mai per persona.
Exactament el que acabes de veure al panell, però amb dades reals.
Set hores vostres dins dels cinc primers dies hàbils. És el pas que converteix el mètode en una cosa mesurable i no en una opinió ben presentada.
Informe, registre constituït i sessió de decisions. I el paràmetre que de veritat provem: quantes hores ens costa de debò.
Si funciona, al novembre ho portem a un client de fora. I si no funciona, ho sabrem el 9 d'octubre i ens haurà costat una setmana i mitja, no un any.
Honestedat
T'ho poso abans que m'ho preguntis, perquè si t'ho amago ho trobaràs tu i llavors ja no et fies de la resta.
I una cosa més. Si alguna d'aquestes cinc et fa dir que no, ho entendré. Però cap no costa diners de comprovar: costa dotze dies de feina i una empresa que ja s'ha ofert.
El que et demano
Hi porto l'acord redactat, la rúbrica sencera, el paquet legal i el quadern d'hores. No cal que preparis res.