Una hoja de ruta de producto de IA a 90 días que un patrocinador puede gobernar

Las empresas piden una hoja de ruta de IA y reciben un catálogo: un chatbot, un copiloto, una plataforma y la promesa de que el valor se "desbloqueará" cuando la plataforma exista. Noventa días después tienen un tenant, una diapositiva y ninguna operación que funcione distinto. La hoja de ruta era una lista de tecnologías. No era una secuencia de decisiones.

S·CORP planea los noventa días alrededor de una decisión de producto que el negocio puede sentir. Un flujo. Un usuario. Una definición de terminado. La seguridad y la entrega van en los mismos noventa días, porque un flujo que no se puede explicar o apagar no está terminado.

Días 1 a 15: nombre el trabajo y el límite

Las primeras dos semanas no son para construir. Son para una frase que un patrocinador va a firmar. Quién es el usuario. Qué unidad de trabajo cambia. Qué no va a hacer el sistema. Qué datos puede ver. Qué decisión se queda en una persona. Qué será cierto el día 90 que no es cierto hoy, en el lenguaje del operador.

Si la frase necesita una metáfora, no está lista. "Transformar la experiencia de reclamos" no es una frase a la que se le pueda asignar gente. "Los ajustadores de esta línea reciben una cronología y una lista de documentos faltantes en cada expediente nuevo, y ellos siguen fijando la reserva" es una frase a la que se le puede asignar gente.

Traiga a seguridad y privacidad a la sala en esta ventana, no en la puerta del día 80. El Top 10 de OWASP para aplicaciones de LLM, el Marco de Gestión de Riesgos de IA de NIST y las preguntas básicas del RGPD (propósito, base, conservación, acceso) alcanzan para dar forma al límite. No está intentando terminar una certificación. Está intentando no construir la tubería equivocada.

Mate el trabajo aquí si el patrocinador no puede nombrar al usuario. Una hoja de ruta que sobrevive a esa prueba ya va delante de una que empieza por la selección de una plataforma.

Días 16 a 45: el camino delgado, sobre trabajo real

Construya el camino más pequeño que cumple la frase. No una plataforma para frases futuras. El camino incluye el sistema de registro real, la identidad real y un registro. Un prototipo sobre hojas exportadas le enseña al equipo cómo se siente una demostración. No le enseña cómo se siente un martes.

La práctica de entrega importa tanto como el modelo. El camino desde el cambio hasta el entorno del piloto debe ser uno que el equipo pueda repetir: una rama, una revisión, un despliegue, una forma de volver. La automatización del SDLC en esta ventana significa que el equipo deja de usar un programa privado que solo una persona entiende. No significa un programa para automatizar cada repositorio de la empresa.

El usuario ve el flujo en esta ventana, sobre su trabajo, con una persona al lado. Observe qué corrige. Cada corrección es un defecto o una discusión de alcance. Escríbala como una de las dos. No la "deje en el backlog" si cambia la frase. Vuelva al patrocinador.

Un dato que apareció en la demostración y no está en el mapa de datos es un defecto, aunque la respuesta haya sido impresionante. Quítelo. Los equipos que conservan defectos impresionantes pasan el año siguiente explicándolos.

Días 46 a 75: controles a la misma profundidad que la función

Este es el tramo que los programas se saltan, y el tramo por el que preguntan examinadores, clientes y asesores de incidentes. Listas de herramientas permitidas. Validación de los argumentos de las herramientas. Autenticación que no depende de la opinión del modelo. Transparencia, si un cliente va a oír al agente. Un traspaso a una persona. Una conservación que coincida con la operación. Un ajuste del proveedor que no entrene con el contenido del piloto, verificado y no supuesto.

Escriba los ensayos de fallo. Alguien pega una instrucción hostil en un documento que el agente lee. Alguien pide datos fuera del expediente. Alguien aprueba demasiado rápido. Los ensayos no son una obra de teatro de red team. Son unas horas con las personas que van a operar el sistema, y una lista de lo que tiene que ser cierto antes de que el piloto se amplíe.

ISO 27001 y PCI DSS entran aquí solo si el entorno ya vive en ese mundo. No levante un proyecto paralelo de cumplimiento. Muestre dónde se sienta este flujo dentro de los controles que la empresa ya opera, y cierre las brechas específicas del agente: trazas, incrustaciones y credenciales de herramientas.

El trabajo de producto en esta ventana es aburrido a propósito. Estados vacíos, protecciones de cuenta equivocada, una etiqueta clara de "automatizado" en todo lo que escribió el agente, y una vista de supervisor. Una hoja de ruta que es toda capacidad y nada de supervisión es un calendario de demostraciones.

Días 76 a 90: decida, en público

Las últimas dos semanas son una decisión, no una vuelta de honor. El patrocinador, el operador y el dueño de seguridad miran la frase del día 15 y la evidencia del piloto. Continuar, estrechar o parar. Las tres son formas exitosas de usar noventa días. Continuar sin mirar la evidencia no lo es.

El registro de la decisión es corto. Qué estaba en alcance. Qué pasó cuando los usuarios reales lo tocaron. Qué defectos quedan. Qué se necesita para operarlo el trimestre siguiente, en personas y compromisos de proveedor que la empresa de verdad está dispuesta a hacer. Qué será cierto en el próximo punto de control. Si el registro necesita un retorno ficticio para verse aceptable, la decisión es "parar" o "estrechar."

Las agencias y los equipos internos de producto comparten un fallo aquí: presentan la hoja de ruta como una marca. La marca del trabajo es si la operación cambió de una forma que el operador va a defender. Un plan de noventa días que produce esa respuesta es un plan de producto. Un plan de noventa días que produce un diagrama de plataforma gastó el trimestre en un preludio.

Qué pueden ser los siguientes noventa días

Si la decisión es continuar, el trimestre siguiente recibe una frase más, no cinco. La plataforma, si todavía la quiere, es lo que el primer flujo le obligó a hacer repetible: identidad, registros, evaluación sobre sus propios casos, y un camino a producción. Compre o construya esas piezas porque el flujo las necesita. No las compre para que un flujo futuro quizás las necesite.

En banca, seguros, centros de contacto y agencias, la forma es la misma. El contenido de la frase cambia. La negativa a empezar sin una frase no debería cambiar.