Herramientas que construyo para el problema que audito.

No solo audito y asesoro: diseño y opero herramientas propias de seguridad y compliance. Cada una nace de un problema real que veo en campo. Dos ya están disponibles, una está en acceso anticipado y otra todavía se está construyendo. Y al final, lo que uso yo.

A la venta: disponible ahora

Lo que puedes comprar aquí hoy mismo.

Kit Operativo del Artículo 50 · A la venta

El expediente de transparencia del Reglamento de IA. El artículo 50 se aplica desde el 2 de agosto de 2026. Este kit decide cuáles de tus sistemas entran, por qué ruta y con qué rol, y deja el expediente instruido de principio a fin.

Qué cubre: 24 ficheros · 649 páginas · 7 plantillas editables. 79,99 € + IVA (96,79 € totales · factura a nombre de tu empresa). No es descarga instantánea: cada ejemplar se sella a tu nombre y llega en un día hábil.

Apps, microapps y automatizaciones: gratis y de pago.

Piezas de IA pequeñas que resuelven un problema concreto de seguridad, cumplimiento o productividad. Las iré publicando aquí, con la misma regla que aplico al auditar: datos mínimos, registro y nada que no se pueda explicar.

• Apps (gratis y de pago): Herramientas completas para un problema, como Atalaya o Salvik.
• Microapps (gratis y de pago): Una sola tarea, resuelta en el navegador y sin instalar nada.
• Automatizaciones (gratis y de pago): Flujos que conectan tus herramientas con IA y te quitan trabajo repetitivo.

¿Necesitas una a medida para tu empresa? Consultoría y soluciones de IA

Atalaya, en acceso anticipado para un grupo reducido; Salvik, abierta con 7 días gratis; y Cota, en construcción.

Atalaya · Acceso anticipado

Detección de phishing multi-superficie. Analiza el phishing donde de verdad llega al usuario: dentro de Outlook, en correos sueltos, en enlaces y en códigos QR — incluido el escaneo en vivo desde la cámara del móvil para quishing en tiempo real.

Qué cubre: Complemento de Outlook · Email (.eml/.msg) · Enlaces / URLs · QR en vivo (cámara).

• Score 0-100 con clasificación P1-P4 alineada con la priorización de un SOC.
• Botón «Analizar con Atalaya» dentro de Outlook, de escritorio y web, entrando con la cuenta de Microsoft de la empresa.
• El veredicto declara qué se pudo comprobar y qué no — defendible ante un auditor, no un sí/no opaco.
• Cada empresa da de alta su organización y configura su detección por pasos, sin repartir una clave entre todos.
• Privacy-first: cada capa de enriquecimiento externo es un opt-in explícito del operador.

Ver Atalaya

Salvik · Disponible · 7 días gratis

Cumplimiento continuo, nativo UE. Compliance continuo estilo Vanta pero nativo de Europa y España: ISO 27001, ISO 42001, NIS2 y ENS, con cross-mapping cuantificado entre marcos.

Qué cubre: ISO 27001 · ISO 42001 · NIS2 · ENS.

• Cross-mapping entre marcos: un control implementado puntúa en varias normas a la vez, y cada mapeo lleva confianza, justificación y cita.
• Empieza por el alcance y no por los controles: del perfil de la organización al SoA, con el catálogo ya mapeado a los cuatro marcos.
• Incidentes con el reloj de NIS2 a la vista: 24 horas, 72 horas y un mes, con aviso antes de que venza cada plazo.
• Inventario de sistemas de IA para la 42001 y el Reglamento de IA, y Trust Center público para enseñar el estado sin mandar un PDF.
• Kit de auditoría exportable en CSV: SoA por marco y registros de controles, riesgos, evidencias e incidentes.

Conocer Salvik · Empezar gratis: 7 días

Cota · En construcción

El libro de registro de la cláusula 9.1. Los indicadores de un sistema de gestión con la evidencia de cómo salieron: qué se midió, quién lo cargó, contra qué umbral aprobado de antemano y quién firmó la conclusión. Un cuadro de mando enseña el número de hoy; esto conserva el rastro.

Qué cubre: ISO 27001 · 9.1 · ISO 9001 · ISO 42001 · ENS · NIS2.

• «Sin dato» no es cero: un hueco es un estado con su motivo y su responsable, no un verde por casualidad.
• El umbral se aprueba antes de ver el dato, queda versionado y la serie conserva el que estaba vigente en cada periodo.
• La medición es de solo-añadir: nada se sobrescribe, rectificar exige motivo y la rectificación queda a la vista.
• Un periodo con dato pero sin análisis firmado sale incompleto, porque la norma pide autor y no una columna de comentarios.
• Las cifras entran a mano, por fichero o por conector — Odoo, Microsoft 365, Keeper —, siempre por la misma ingesta.

En construcción: el motor está escrito y probado — 1.080 pruebas en verde —, pero todavía no se ha ejecutado contra la base de datos ni el Odoo de ningún cliente.

Lo que uso yo

El Cerebro · Uso propio

Mi sistema de agentes de IA para el negocio. Cada agente tiene una tarea y solo los permisos que necesita: uno escribe y comprueba los artículos del blog, otros miden el SEO y preparan LinkedIn, y un orquestador reparte el trabajo de la semana. Los que leen internet no tocan datos privados, cada ejecución tiene un tope de gasto y queda registrada, y lo que se envía a terceros lo hago yo. Es donde aplico a mis propios agentes lo que reviso como auditor de la ISO 42001.

Qué cubre: IA · Agentes · ISO 42001.

Cuadre · Uso personal

Mi app de finanzas personales. Junta en un solo sitio los movimientos de varios bancos, leídos por PSD2 con mi consentimiento, y cuadra el gasto con las inversiones para saber en qué se va el dinero. La hice porque las apps que probé no llegaban a todos mis bancos.

Qué cubre: PSD2 · Finanzas personales.

¿Necesitas a alguien que entienda compliance a este nivel?

Estas herramientas nacen del mismo rigor que pide tu auditoría. Si tu proyecto de compliance necesita ese nivel, hablemos: Hablar de tu auditoría.