Cumplimiento · Matriz de evidencia
Cada obligación regulatoria se mapea a un control de runtime con evidencia exportable. Sin herramientas de auditoría añadidas, sin sprint trimestral — la plataforma produce el artefacto en el momento de la ejecución.
Superficie regulatoria
Cinco marcos condicionan el despliegue de IA empresarial en 2026. Cada uno se mapea a controles específicos de plataforma y a la evidencia que producimos a demanda.
Alineado · los 10 controles ASI mapeados a funcionalidades de plataforma
Alcance
Base de seguridad para aplicaciones agénticas — 10 categorías de riesgo para sistemas autónomos.
Control
Mitigaciones ASI01–ASI10 nativas del runtime
Evidencia que producimos
Mapeo funcionalidad-por-riesgo (ver abajo)
Control
Cobertura continua de red-team en categorías ASI
Evidencia que producimos
Informe de pentest externo trimestral bajo solicitud
Nativo · Botón de Parada + logs inmutables por defecto
Alcance
Obligaciones para sistemas de IA de alto riesgo: logging, supervisión humana, transparencia.
Control
Art. 12 — logging automatizado de eventos en todo el ciclo de vida del agente
Evidencia que producimos
Pista de auditoría firmada criptográficamente, exportable por flujo
Control
Art. 14 — supervisión humana efectiva y apagado
Evidencia que producimos
Botón de Parada por flujo + superficie HITL con puntuación de incertidumbre
Control
Art. 13 — instrucciones de uso y transparencia
Evidencia que producimos
Tarjeta de modelo por flujo + inventario de herramientas generado en el despliegue
Integrado · evidencia recolectada automáticamente en cada despliegue
Alcance
Sistema de gestión de IA — gobernanza, riesgo, ciclo de vida, obligaciones de proveedores.
Control
Registro de riesgos de IA vinculado a cada flujo
Evidencia que producimos
Mapeo riesgo-a-control exportado como parte del manifiesto de despliegue
Control
Gestión del cambio con políticas versionadas
Evidencia que producimos
Plano de política respaldado en Git, cada cambio revisable y reversible
Control
Registro de modelos y herramientas de terceros
Evidencia que producimos
Inventario de proveedores con procedencia y fijación de versión
Alineado · auditoría externa anual, informe bajo NDA
Alcance
Criterios de servicios de confianza — seguridad, disponibilidad, confidencialidad.
Control
Revisiones de acceso y aplicación del mínimo privilegio
Evidencia que producimos
Informes trimestrales de certificación de acceso
Control
Gestión del cambio y segregación de funciones
Evidencia que producimos
Log de cambios en producción + atestaciones del revisor
Control
Runbooks y SLAs de respuesta a incidentes
Evidencia que producimos
Repositorio de post-mortems, métricas MTTR bajo solicitud
Integrado · controles mapeados directamente a las secciones 4–6 de la circular
Alcance
Servicios financieros suizos — riesgo operacional y externalización de servicios de IA.
Control
Inventario de riesgo de modelos y validación continua
Evidencia que producimos
Informe de validación por flujo, refrescado en cada reentrenamiento
Control
Supervisión de externalización y plan de salida
Evidencia que producimos
Controles de residencia de datos (CH/UE) + procedimientos de salida documentados
Control
Acceso de auditoría independiente a la evidencia de decisión
Evidencia que producimos
Rol de auditoría de solo lectura con visibilidad completa del rastro de ejecución
Nativo · flujo de contestación incluido en cada superficie de decisión
Alcance
Decisiones individuales automatizadas — transparencia, contestación, revisión humana.
Control
Notificación de decisiones automatizadas a los interesados
Evidencia que producimos
Aviso plantillado generado por clase de decisión
Control
Derecho a revisión humana de los resultados automatizados
Evidencia que producimos
Cola de revisión integrada enrutada a los revisores designados
Control
Lógica, alcance y consecuencias divulgados a solicitud
Evidencia que producimos
Justificación por decisión exportable en lenguaje claro
OWASP ASI 2026 — Mapeo completo
Cada fila mapea una categoría de riesgo ASI a su estrategia de mitigación y a la funcionalidad de producto que la aplica. Ninguna es desactivable — son el runtime.
Pack de evidencia
El informe SOC 2 Type II, la declaración de aplicabilidad ISO 42001, el mapeo FINMA y muestras de logs de auditoría firmados están disponibles bajo NDA. Los participantes del taller reciben el pack completo en el scoping.
'%20id='g10'%3e%3cg%20transform='translate(209.3489,350.9344)'%20id='g12'%3e%3cpath%20id='path14'%20style='fill:%235ec3ec;fill-opacity:1;fill-rule:nonzero;stroke:none'%20d='M%200,0%20-141.225,88.478%20V%20-311.375%20L%200,-222.897%20Z'%20/%3e%3c/g%3e%3cg%20transform='translate(441.4519,237.5764)'%20id='g16'%3e%3cpath%20id='path18'%20style='fill:%235ec3ec;fill-opacity:1;fill-rule:nonzero;stroke:none'%20d='m%200,0%20-119.697,-83.923%2091.317,-65.603%20128.91,79.567%20z'%20/%3e%3c/g%3e%3cg%20transform='translate(208.7007,244.2463)'%20id='g20'%3e%3cpath%20id='path22'%20style='fill:%235ec3ec;fill-opacity:1;fill-rule:nonzero;stroke:none'%20d='m%200,0%20113.055,-90.593%20207.391,145.249%200.468,143.882%20z'%20/%3e%3c/g%3e%3cg%20transform='translate(293.1854,417.8399)'%20id='g24'%3e%3cpath%20id='path26'%20style='fill:%2387daf6;fill-opacity:1;fill-rule:nonzero;stroke:none'%20d='M%200,0%200.337,159.148%20-225.061,21.572%20-83.836,-66.906%20Z'%20/%3e%3c/g%3e%3cg%20transform='translate(293.1854,417.8399)'%20id='g28'%3e%3cpath%20id='path30'%20style='fill:%236ec1db;fill-opacity:1;fill-rule:nonzero;stroke:none'%20d='M%200,0%200.337,159.148%20236.429,24.944%2095.205,-63.534%20Z'%20/%3e%3c/g%3e%3c/g%3e%3c/svg%3e){kind=small}