Aprender haciendo
Laboratorio de decisiones
Ninguno de estos instrumentos da la respuesta correcta. Dan la estructura del problema: lo que sí se puede llevar a una reunión donde nadie está de acuerdo.
- simuladores activos
- 18
- módulos conectados
- 4
- en construcción
- 0
- respuestas guardadas en servidores
- 0
El progreso se conserva únicamente en este dispositivo.
Autopsia de una iniciativa de datos
Los cuatro modos de fracaso están encadenados: la causa de muerte es el primer eslabón roto, no el síntoma más ruidoso.
Autopsia de una iniciativa de datos
Marque las señales que reconoce en una iniciativa real. El diagnóstico no cuenta síntomas: busca el primer eslabón roto.
Señales en la historia clínica
Señales por modo de fracaso
- Sin dueño0
- Sin pregunta0
- Sin consecuencia0
- Sin confianza0
Sin señales marcadas no hay autopsia. Piense en una iniciativa concreta —de su empresa, de su práctica o de la noticia de esta semana— y marque lo que reconozca.
Cuánto vale este dato
Costo, mercado y valor económico sobre el mismo activo. Tres cifras que no se parecen, y un caso de negocio que sí se defiende.
Cuánto vale este dato
El mismo activo, valorado por tres caminos. Si los tres dieran lo mismo, la valoración de información no sería una discusión.
El activo
Cero significa que nadie compra ni vende algo parecido.
La decisión que habilita
Es la parte que hay que defender ante el CFO: la atribución.
Valor del activo a 3 años, por enfoque
- Costo$1,92 mil M
Lo que costaría reponerlo: 3 años de producción y custodia.
- Mercado$298 M
Registros por el precio de un comparable.
- Económico$674 M
Decisiones × valor en juego × mejora × calidad × uso, por 3 años.
Costo: Un dato carísimo e inútil sigue valiendo mucho por este método. Es un piso contable, no un valor.
Mercado: Exige que alguien más compre algo parecido. Para la mayoría de los datos internos, ese mercado no existe.
Económico: Es el único que le habla al CFO, y el único que obliga a atribuir. Por eso es el que nadie quiere firmar.
El caso de negocio que se lleva al comité
Calidad
65% → 89%
Uso real
40% → 74%
VPN a 3 años
$72 M
Recuperación
21 meses
Con estos supuestos la inversión se defiende: el incremento de valor económico paga el programa y deja $72 M de valor presente. Ahora prepárese para la única pregunta que va a recibir: ¿de dónde sale ese 8% de mejora?
¿Gestión o gobernanza?
Diez frases de comité. Lo grande y visible suele ser gestión; lo que parece un trámite suele ser la decisión.
¿Esto es gestión o es gobernanza?
Diez frases que se oyen en cualquier comité de datos. Clasifíquelas antes de leer la respuesta: las que uno falla son las que valen.
1Ejecutar el respaldo nocturno de la base de clientes y probar que se pueda restaurar.
2Fijar cuántos años se conservan las hojas de vida de los aspirantes que no fueron admitidos.
3Comprar e implantar un catálogo de datos empresarial.
4Nombrar a la vicepresidenta de operaciones como dueña del dato de «cliente activo».
5Escribir la regla que rechaza una cédula con dígito de verificación inválido.
6Aprobar que mercadeo use los datos de facturación para entrenar un modelo de propensión.
7Migrar el bodegón de datos a la nube.
8Definir a partir de qué umbral un incidente de datos se reporta a la dirección.
9Documentar el linaje del indicador de deserción, de la fuente al tablero.
10Establecer que los accesos a datos personales caducan a los noventa días si nadie los reconfirma.
La regla que queda
Tres preguntas alcanzan para clasificar casi cualquier frase. ¿Se puede comprar? Si sí, es gestión: las herramientas y las manos se compran, la autoridad no. ¿Hay un nombre propio detrás y una consecuencia si falla? Si sí, es gobernanza. Si esto no existiera, ¿qué se rompe: el dato o la confianza en el dato? El dato, gestión; la confianza, gobernanza.
El ciclo de vida del dato, en dos capas
Siete fases leídas dos veces: qué se hace y qué se decide. Los dos extremos del ciclo son los que nadie gobierna.
El ciclo de vida del dato, leído dos veces
Siete fases, dos capas. Arriba lo que se hace; abajo lo que se decide. Elija una fase para ver quién ejecuta, quién responde y qué se rompe si nadie decide ahí.
Gestión · qué se hace
Dimensionar fuente, volumen y costo
Modelo, esquema, reglas, integraciones
Capturar, ingerir, integrar el origen
Persistir, respaldar, cifrar, sostener
Consultar, servir, entregar, publicar
Cruzar, agregar, entrenar, derivar
Enfriar, archivar, borrar, destruir
¿Tenemos derecho a tener este dato?
¿Qué definición de negocio manda?
¿Qué se recoge y con qué autorización?
¿Dónde puede residir y cuánto dura?
¿Quién accede, para qué, y hasta dónde sale?
¿El uso nuevo sigue amparado?
¿Cuándo deja de existir y quién lo firma?
Gobernanza · qué se decide
El diagrama miente en una cosa: el ciclo no es una línea. Un dato se usa mientras se mantiene, se enriquece y vuelve a usarse. Lo que sí es cierto es el orden de las decisiones: cada fase hereda lo que la anterior no decidió.
Fase 1 · Planear
Gestión · qué se hace
Se estima la fuente, el volumen, el costo de almacenamiento y el modelo de datos que va a sostener el caso de uso.
Ejecuta: Arquitectura de datos, con el área que trae la necesidad.
Gobernanza · qué se decide
Se decide si la organización debe tener ese dato: con qué finalidad declarada, bajo qué base legal, por cuánto tiempo y quién va a responder por él.
Responde: El dueño del proceso de negocio. Nunca TI sola.
Evidencia: El caso de uso escrito, con finalidad declarada y un dueño con nombre propio.
Si nadie decide en esta fase
Se captura porque se puede. La finalidad se redacta después, para el regulador, y no coincide con el uso real. Todo lo que se gobierne más adelante va a heredar ese defecto de origen.
Punto ciego. Es una de las dos fases que casi nadie gobierna —la otra está en el extremo opuesto del ciclo—. Pregunte en su organización quién toma esta decisión y va a recibir el nombre de un área, no el de una persona.
Selector de modelo operativo
Centralizado, federado o malla: la estructura no es una preferencia, es una consecuencia.
Selector de modelo operativo de datos
Mueva los factores de la organización. El modelo no se elige: se deduce del conflicto que hay que resolver.
Ajuste a su organización
- Federado79
Cada dominio decide, un comité coordina y arbitra.
- Hub-and-spoke75
Un núcleo define estándares; equipos embebidos los ejecutan.
- Malla de datos37
El dominio publica su dato como producto, con dueño y SLA.
- Centralizado16
Un equipo central posee, produce y sirve el dato.
Recomendación
Federado
Gana porque: Cuando hay que respetar autonomías reales sin renunciar a un lenguaje común.
Y va a fallar cuando: El comité delibera, nadie decide, y aparecen tres definiciones de cliente.
Portafolio bajo capacidad finita
Priorizar no es ordenar una lista: es firmar la línea de corte. Y abajo, la deuda de datos cobra interés.
Laboratorio de decisión
Firme el criterio, la línea de corte y el pago de la deuda
Tres decisiones consecutivas. Los resultados cambian con sus pesos; la responsabilidad de explicar el no sigue siendo suya.
1. Elija una postura
2. Ajuste los pesos
Comprometido: 22 de 24. Entran 4 de 8.
Lo que produciría este criterio
4/8
iniciativas entran
22/24
meses-persona firmados
Comercial
primera área que recibe un no
La fórmula que está firmando
(valor × 1.0 + pago de deuda × 1.0 − riesgo × 1.0) ÷ esfuerzo
Los pesos pueden discutirse. Lo que no puede ocurrir es cambiarlos después de ver quién quedó fuera.
Orden que resulta de sus pesos
- Reglas de calidad sobre el maestro de clientesDatos · 6 meses-persona · valor 7 · riesgo 2 · paga deuda 3Entra13.3 pts
- Automatizar el reporte regulatorioCumplimiento · 5 meses-persona · valor 8 · riesgo 4 · paga deuda 1Entra10.0 pts
- Tablero de cartera para la juntaFinanzas · 3 meses-persona · valor 5 · riesgo 2 · crea deuda 1Entra6.7 pts
- Catálogo de datos del área comercialDatos · 8 meses-persona · valor 6 · riesgo 3 · paga deuda 2Entra6.3 pts
- Línea de corte · se acabó la capacidadModelo de propensión de fugaComercial · 10 meses-persona · valor 9 · riesgo 6 · crea deuda 2Fuera1.0 pts
- API de datos de producto para tercerosProducto · 12 meses-persona · valor 8 · riesgo 8 · crea deuda 1Fuera-0.8 pts
- Migración del histórico a la nubeTI · 14 meses-persona · valor 4 · riesgo 7 · paga deuda 1Fuera-1.4 pts
- Asistente sobre la base de conocimientoServicio · 4 meses-persona · valor 6 · riesgo 9 · crea deuda 3Fuera-15.0 pts
La conversación difícil
Quedaron fuera 4 iniciativas. La primera es Modelo de propensión de fuga, de Comercial. Escriba la frase exacta con la que se lo dice a esa área, sin usar la palabra «capacidad» ni la palabra «prioridad». Si no le sale, el problema no era priorizar.
- Explica la decisión con suficiente contexto
- No se esconde detrás de “capacidad” o “prioridad”
- Incluye una fecha de revisión
El costo que no aparece en el primer trimestre
Decida cuánto reservar antes de que llegue la urgencia
Compare el valor acumulado durante ocho trimestres. Cero maximiza el arranque; demasiado convierte el programa en limpieza invisible.
Índice de valor entregado acumulado. Lo que importa no es el nivel, es la forma de la curva.
Valor a 8 trimestres
114
Frente a no pagar
+32
Deuda al final
36/100
Con esta capacidad, el máximo de valor entregado en ocho trimestres se alcanza dedicando cerca del 25% a pagar deuda. Ni cero ni la mitad: la deuda de datos se administra como la técnica, con una fracción estable de la capacidad y sin pedir permiso cada trimestre.
Qué supone esta proyección
Es un modelo pedagógico, no un pronóstico financiero: parte de una deuda heredada de 45/100, supone que construir también crea deuda y hace crecer el retrabajo de forma no lineal. Sirve para comparar decisiones, no para prometer una cifra de retorno.
Reglas de calidad sobre un lote real
Sin reglas todo pasa y el tablero miente; con todas, se rechaza tanto que alguien las apaga el martes.
Reglas de calidad sobre un lote real
Ocho ventas como las que envía un ERP cualquier lunes. Encienda reglas y mire qué le pasa al lote — y a la cifra que llega al comité.
Reglas activas
| Registro | Ciudad | Vendedor | Cant. | Precio | Dimensiones que falla | Puntaje |
|---|---|---|---|---|---|---|
| ✓ V-001 | Medellín | Ana Ruiz | 12 | 185.000 | — | 100% |
| ✓ V-002 | medellin | ana ruiz | 4 | 185.000 | — | 100% |
| ✕ V-003 | Bogotá | vacío | 7 | 210.000 | Completitud | 50% |
| ✕ V-004 | Barranquilla | Luis Peña | nulo | 195.000 | Completitud, Validez | 0% |
| ✕ V-005 | Cali | Sara Gil | 9 | -195.000 | Validez | 50% |
| ✓ V-006 | Medellín | Ana Ruiz | 12 | 185.000 | — | 100% |
| ✓ V-007 | Bogotá | Iván Soto | 3 | 210.000 | — | 100% |
| ✓ V-008 | Pereira | Nora Díaz | 6 | 178.000 | — | 100% |
5/8
aprobados al tablero
3
rechazados
75%
puntaje promedio
$6.9 M
ingreso que se reporta
La rueda del DMBOK, con y sin centro
Apague la gobernanza y las otras diez áreas no se apagan: siguen funcionando, cada una bien por su lado. Esa es la escena.
La rueda del DMBOK · once áreas y un centro
Apague el centro. Las diez de afuera no se apagan: es exactamente lo que hace que la ausencia de gobierno sea tan difícil de ver desde adentro.
El número es el capítulo del DMBOK2. La gobernanza es una de las once y a la vez el centro: así dice el marco que gobernar es una función sobre la gestión.
Gobernanza de datos
Planeación, supervisión y control sobre la gestión del dato y sobre el uso del dato y de los recursos relacionados con él.
La decisión que vive aquí
Quién puede definir, cambiar, aprobar y prohibir en las otras diez áreas — y a quién se llama cuando algo se rompe.
Si esta área mejora, se mueven
La trampa de la rueda es leerla como once áreas iguales y armar un comité que las repase todas. Ninguna organización implementa once frentes a la vez, y la que lo intenta reparte el presupuesto en once partes que no mueven ninguna. La pregunta útil no es «¿qué nos falta?» sino «¿cuál de estas, si mejora, mueve a las otras?».
Radar de madurez DAMA-DMBOK
Diagnostica las 11 áreas de conocimiento y descubre dónde está el cuello de botella real.
Radar de madurez · DAMA-DMBOK
Califique cada área de 0 a 5. El diagnóstico no señala la peor: señala la que bloquea a las demás.
Pase el cursor sobre una etiqueta para leer su nivel.
Promedio
2.0
de 5 · Repetible
Áreas bajo el objetivo
11
de 11
Objetivo
Nivel 3
Cuello de botella
Gobernanza
Está en nivel 2 y de ella dependen 5 áreas. Invertir aquí desbloquea a las demás; invertir en la más baja del radar, no necesariamente.
Prioridad de intervención (brecha × dependientes)
- Gobernanza6
- Metadatos6
- Arquitectura4
- Modelado y diseño3
- Integración e interoperabilidad3
- Datos maestros y de referencia3
Once síntomas, once dominios
Ninguno viene etiquetado y todos suenan a «problema de datos». El marco sirve para no atender once problemas distintos como si fueran uno.
Once síntomas de PagoYa · once dominios del DMBOK
Cada área del marco resuelve exactamente uno de estos síntomas. Ninguna se repite: si una le sale dos veces, una de las dos está mal.
1.Los 9.000 usuarios duplicados: el mismo «Juan Pérez» existe tres veces y no hay una versión oficial de cada persona.
2.Un practicante exportó la base completa de usuarios porque nada se lo impedía: nadie clasificó la sensibilidad ni limitó el acceso.
3.«Usuario activo» significa tres cosas distintas en tres reportes distintos, y nadie escribió nunca la definición oficial.
4.Nadie en PagoYa puede dibujar en una pizarra por dónde viaja el dinero de un pago entre sistemas.
5.La app se cayó una semana: el último respaldo probado tenía cuatro meses y nunca habían ensayado una restauración real.
6.En el archivo de clientes, 10 de 72 celdas tienen errores —vacíos, formatos inválidos, fechas futuras—: índice del 86 %.
7.«PagoYa Score» quedó bloqueado seis semanas: nadie tenía autoridad para decidir si se lanzaba ni con qué condiciones.
8.El saldo de un usuario vive en tres sistemas a la vez y no siempre coincide entre ellos.
9.La CEO pide «usuarios activos este mes» a tres personas y recibe tres cifras distintas, ninguna trazable a una fuente única.
10.La tabla Usuarios la diseñó un cofundador en una noche, sin diagrama: hoy nadie sabe qué significa cada columna sin preguntarle.
11.Los contratos, autorizaciones firmadas y soportes de PQR son PDF sueltos, sin reglas de quién los firma ni cuánto se conservan.
Comité de crisis: quién decide qué
Cinco roles y seis decisiones sobre personas con nombre propio. Una sola regla dura: exactamente un aprobador por decisión.
El comité de crisis de PagoYa · quién decide qué
Lunes, 7:40 de la mañana. Nadie sabe quién debe decidir qué — y ese es exactamente el problema que hay que resolver. La gobernanza no contrata gente nueva: reparte autoridad entre la que ya está.
Paso 1 · los cinco roles de gobierno
Antes de repartir decisiones hay que saber qué hace cada rol. Asigne a cada uno su responsabilidad principal.
CDO
Data Owner (Usuarios)
Data Steward (Usuarios)
Data Custodian (TI)
Consejo de gobierno
Ver el organigrama de PagoYa (6 personas)
Valeria Pardo
CEO · cofundadora
Da la cara ante la junta, los inversionistas y los usuarios. Convocó el comité de crisis.
Julián Soto
CTO · cofundador
Construyó la plataforma. Su equipo de cuatro desarrolladores toca la base de datos todos los días.
Marcela Díaz
Directora de operaciones
Su área registra usuarios y responde soporte. El negocio de la tabla Usuarios es su negocio.
Tatiana Vera
Analista senior de soporte
Nadie conoce mejor los datos de usuarios — ni sus errores. Reporta a Marcela.
Ricardo León
Abogado externo · medio tiempo
El único que ha leído completa la Ley 1581. Cobra por horas.
Andrés Parra
Líder de marketing
Autor involuntario del bono triple. Dos practicantes a cargo. Quiere lanzar PagoYa Score ya.
Paso 2 · la matriz de autoridad
Toque cada celda para ciclar R → A → C → I → vacío. Una sola regla dura: exactamente una A por fila.
| Decisión crítica | Valeria · CEO | Marcela · Owner Usuarios | Tatiana · Steward | Julián · TI / Custodian | Ricardo · Legal |
|---|---|---|---|---|---|
| Autorizar (o no) exportaciones masivas de datos de usuarios | |||||
| Definir la regla oficial de «usuario único» para fusionar los 9.000 duplicados | |||||
| Implementar la validación técnica anti-duplicados en el registro | |||||
| Decidir si «PagoYa Score» se lanza y bajo qué condiciones | |||||
| Notificar la filtración a los usuarios afectados y a la autoridad | |||||
| Aprobar la política de acceso a datos por rol (quién ve qué) |
Detective de datos
Diez errores en 72 celdas: índice del 86 %. Uno de los diez es válido, único y completo — y falso. Ninguna herramienta lo encuentra.
Detective de datos · el archivo de usuarios de PagoYa
Hay diez celdas con error entre las 72 evaluables. Toque la celda sospechosa y diga qué dimensión viola. Acierto con dimensión correcta, 2 puntos; celda correcta con dimensión equivocada, 1; falso positivo, −1.
Briefing · lo que no está en el archivo
Hoy es julio de 2026. Los documentos válidos tienen entre ocho y diez dígitos. Y un dato que no está en el archivo: la app estuvo caída por mantenimiento total la semana del 13 al 19 de julio de 2026, así que ningún usuario pudo tener actividad real en ese periodo.
Errores hallados
0/10
Puntos
0
Falsos positivos
0
| ID | Nombre completo | Documento | Correo | Teléfono | Ciudad | Últ. actividad |
|---|---|---|---|---|---|---|
| U-1001 | ||||||
| U-1002 | ||||||
| U-1003 | ||||||
| U-1004 | ||||||
| U-1005 | ||||||
| U-1006 | ||||||
| U-1007 | ||||||
| U-1008 | ||||||
| U-1009 | ||||||
| U-1010 | ||||||
| U-1011 | ||||||
| U-1012 |
Anatomía de un capítulo del DMBOK
El diagrama de contexto sobre un caso real. Tres trampas: la compra anotada como actividad, la reunión como métrica, la RACI como exigencia del marco.
Anatomía de un capítulo · el diagrama de contexto
Caso: el dato de contratación de una alcaldía. Reparta las trece piezas en las ranuras del diagrama.
Entra
- Entradas. Documentos, planes y datos que la actividad necesita para arrancar.
- Proveedores. Quién entrega esas entradas. Un rol o un sistema, con nombre.
Se hace
- Actividades. Lo que se hace, clasificado en planear, desarrollar, controlar y operar.
Sale
- Entregables. Lo que queda al final. Documentos y productos, no intenciones.
- Consumidores. Quién usa el entregable. Si no aparece nadie, el entregable sobra.
Participantes
Los roles responsables y los interesados: quién ejecuta y quién aprueba.
Herramientas
Los tipos de software que sostienen la actividad.
Métricas
Resultados medibles del proceso. Miden el dato o la decisión, no la asistencia.
No entra en el diagrama
Lo que el DMBOK deja deliberadamente afuera, o lo que no mide nada del dato.
Toda actividad se clasifica en cuatro fases — P planear · D desarrollar · C controlar · O operar —. La revisión de 2024 se ocupó, entre otras cosas, de reordenarlas.
La Ley 1712 obliga a publicar la información contractual de la entidad.
El archivo de contratos firmados que llega cada lunes.
SECOP II, la plataforma de donde sale ese archivo.
Acordar qué cuenta como «contrato vigente» y dejarlo escrito.
Perfilar el lote semanal y medir las reglas contra el umbral acordado.
El glosario con la definición aprobada de «contrato vigente».
La Secretaría de Hacienda, que aprueba el umbral de calidad.
Control interno, que usa el tablero para su informe trimestral.
El motor de reglas que ejecuta el perfilado.
Comprar un catálogo de datos corporativo.
Porcentaje de contratos sin fecha de inicio, medido cada semana.
Número de reuniones que tuvo el comité de datos este semestre.
La matriz RACI detallada, actividad por actividad.
El orden de armado de un programa
Diez movimientos con dependencias. No hay un orden correcto: hay miles válidos, y dos que se ven todos los días y no lo son.
El orden de armado · diez movimientos
Ordénelos. No hay un único orden correcto: hay órdenes que no violan ninguna dependencia, y órdenes que garantizan que el programa se caiga en el tercer mes.
- 1
Nombrar la decisión que hoy se toma mal
Una decisión concreta del negocio, con su costo. No «mejorar la calidad de los datos».
- 2
Comprar e implantar la herramientase compra
Catálogo, motor de reglas, linaje. Lo que sostiene lo que ya se decidió.
- 3
Nombrar dueños de datos, con nombre propio
Una persona por dominio, de negocio, con autoridad para aprobar definiciones y umbrales.
- 4
Construir el glosario y los metadatos del alcance
Las definiciones aprobadas de los términos críticos, con su dueño y su fecha.
- 5
Medir dónde estamos
Diagnóstico de madurez por área y, sobre todo, de las dependencias entre ellas.
- 6
Escribir la política mínima exigible
Corta, con excepciones explícitas y con la ruta de quién autoriza cada excepción.
- 7
Escribir reglas de calidad y acordar el umbral
Medibles, sobre los términos del glosario, con un umbral que alguien firma.
- 8
Elegir dos o tres dominios y dejar fuera el resto
Los datos críticos de esa decisión. El resto queda explícitamente afuera, por escrito.
- 9
Definir las métricas del programa y su revisión
Qué se mide del programa, cada cuánto se mira y qué pasa cuando no mejora.
- 10
Definir el modelo operativo y el comité
Quién decide qué, con qué quórum, y a dónde escala lo que no se resuelve.
Dependencias violadas
6
cada una es un reproceso
La compra va de
2.º
de diez movimientos
Órdenes válidos posibles
230
ninguno es «el» del marco
«Comprar e implantar la herramienta» quedó antes de «Escribir la política mínima exigible»
La herramienta configura una política. Si no existe, el proveedor entrega la suya y la organización la hereda sin haberla discutido.
«Comprar e implantar la herramienta» quedó antes de «Construir el glosario y los metadatos del alcance»
Un catálogo sin definiciones aprobadas es un inventario de campos. Se llena solo y no dice nada.
«Comprar e implantar la herramienta» quedó antes de «Escribir reglas de calidad y acordar el umbral»
El motor ejecuta reglas. Comprarlo antes de tenerlas deja una licencia esperando a que alguien escriba lo único que importaba.
«Nombrar dueños de datos, con nombre propio» quedó antes de «Elegir dos o tres dominios y dejar fuera el resto»
No se puede nombrar dueño de un territorio que no se ha delimitado. Sin alcance, el rol se reparte entre todos y no lo ejerce nadie.
«Construir el glosario y los metadatos del alcance» quedó antes de «Elegir dos o tres dominios y dejar fuera el resto»
Un glosario de toda la organización no lo termina nadie. El del alcance elegido se termina en semanas.
«Escribir la política mínima exigible» quedó antes de «Definir el modelo operativo y el comité»
Una política sin instancia que la aplique se firma y no se cumple. Primero el mecanismo, después el texto.
La regla que resume el ejercicio: lo que se puede comprar es gestión; la autoridad no se compra. Nueve de estos diez movimientos son decisiones que alguien tiene que tomar con nombre propio. Sólo uno tiene proveedor — y en la mayoría de los programas es el primero que se ejecuta.
Clasificador de activos de datos
Confidencialidad × criticidad. Clasificar de más es tan costoso como clasificar de menos.
Clasificador de activos de datos
Dos ejes independientes. Confidencialidad: ¿qué daño causa que se filtre? Criticidad: ¿qué daño causa que falte o esté mal?
Tabla de tarifas de matrícula del semestre
Confidencialidad
Criticidad
Cédulas y datos de contacto en la base de admisiones
Confidencialidad
Criticidad
Exámenes médicos ocupacionales de empleados
Confidencialidad
Criticidad
Actas del consejo directivo del año pasado
Confidencialidad
Criticidad
Catálogo de datos y metadatos técnicos
Confidencialidad
Criticidad
Modelo de predicción de deserción estudiantil
Confidencialidad
Criticidad
Registros de acceso al centro de datos
Confidencialidad
Criticidad
Fotografías del evento de bienvenida
Confidencialidad
Criticidad
Su clasificación, en vivo.
Monte Carlo de pérdida esperada
Traduce "riesgo alto" a una distribución de pérdidas anuales en pesos. Estilo FAIR.
Curva de excedencia de pérdidas · método FAIR
Diez mil años simulados. La curva responde: ¿cuál es la probabilidad de perder más de X en un año?
Pérdida esperada
$242 M
sin control: $493 M
Percentil 95
$1,59 mil M
sin control: $2,81 mil M
Excede tolerancia
5.2%
sin control: 11.3%
Retorno del control
+39%
evita $251 M/año
Frecuencia de eventos
Intervalo del 90%: eventos por año.
Pérdida por evento
Intervalo del 90%, en millones de pesos.
Control propuesto
Qué tanto reduce la frecuencia y cuánto cuesta.
Tolerancia al riesgo
La pérdida anual que la junta acepta.
La simulación usa una semilla fija: los mismos parámetros producen siempre el mismo resultado. Eso es deliberado. Un modelo de riesgo que cambia de respuesta cada vez que se ejecuta no se puede auditar, y lo que no se puede auditar no se lleva a un comité.
Sala de crisis: brecha de datos
Las primeras 72 horas. Ninguna decisión mejora los tres medidores a la vez, y no hay forma de volver atrás.
Sala de crisis · las primeras 72 horas
Cuatro decisiones. Ninguna mejora los tres medidores a la vez, y no hay forma de volver atrás.
Más alto, mejor. ¿Se detuvo la exposición y se preservó lo necesario para saber qué pasó?
Más bajo, mejor. ¿Qué tan expuesta queda la organización ante el regulador y ante un juez?
Más alto, mejor. ¿Qué le queda al titular después de todo esto?
Un investigador de seguridad escribe al correo genérico de la universidad: encontró expuesta, sin contraseña, una base con 240.000 registros de estudiantes y egresados — cédula, teléfono, correo y historial de pagos. No es un sistema de ustedes. Es el servidor de la empresa de cobranza que contrataron hace dos años. El vicerrector le acaba de reenviar el correo y espera respuesta.
Escenario ficticio con estructura real. Los deberes de reporte difieren entre Colombia y la Unión Europea; las normas exactas se citan con fuente en el Radar de coyuntura. Ejercicio de decisión, no asesoría legal.
Triage de riesgo de un sistema de IA
Clasifica un caso de uso según el enfoque por niveles de riesgo del EU AI Act.
Triage de riesgo · enfoque del EU AI Act
La obligación no viaja con la tecnología. Viaja con el uso. El mismo modelo cambia de nivel según sobre quién decide.
Pregunta 1 de 3
¿El sistema manipula el comportamiento mediante técnicas subliminales, explota vulnerabilidades de un grupo, hace puntuación social de personas, o realiza identificación biométrica remota en tiempo real en espacios públicos para aplicación de la ley?
Este es el umbral de lo inadmisible. Si la respuesta es sí, no hay conversación de mitigación que valga.
Herramienta pedagógica, no asesoría legal. Las fechas provienen del Radar de coyuntura del curso y se citan con fuente. El calendario del reglamento fue modificado y puede volver a serlo.