Cómo funciona
Tres disciplinas. Tres superficies. Una cadena de evidencia.
El Aseguramiento de IA no es un servicio de consultoría: es una arquitectura. Tres disciplinas de ingeniería convierten la conformidad regulatoria en algo ejecutable, y tres superficies de producto la entregan al equipo correcto en cada momento.
01 · Las tres disciplinas
Cómo trabajamos por dentro
Tres maneras de trabajar que mueven la conformidad regulatoria de una hoja paralela al sistema que produce los resultados. Las tres se aplican siempre — en el SDK, en la pasarela y en la plataforma.
- 01
GovOps — Gobernanza integrada en cada release
Las verificaciones de gobernanza se ejecutan automáticamente en cada release del modelo. Un sistema que no supera el umbral regulatorio no se despliega — el bloqueo es técnico y trazable, no una nota en un acta. Mismo patrón que DevOps movió las operaciones a la cadena de despliegue y DevSecOps hizo con la seguridad: la disciplina pasa de un comité paralelo al ciclo natural del producto.
Ejemplo concreto
Un modelo no se despliega si su métrica de equidad cae por debajo del umbral fijado por la política. La cadena de despliegue lo detecta y lo detiene automáticamente — mismo flujo que una prueba que falla, sin necesidad de comité paralelo.
- 02
Conformidad como Código — Controles versionados y revisables
Las obligaciones regulatorias se expresan como controles versionados con umbrales medibles — el mismo concepto que NIST OSCAL e ISO 42001 Anexo A formalizan. Cada artículo del Reglamento de IA (Arts. 9 a 15) se traduce en un control concreto que el equipo de cumplimiento puede revisar y aprobar antes de cada release. Los controles se comparan entre marcos solapados, evitando duplicar el trabajo entre Reglamento de IA, ISO 42001, DORA o MDR.
Ejemplo concreto
El Art. 10 del Reglamento de IA queda recogido como umbral medible (la regla del 80 % entre cohortes protegidas) en un fichero de política versionado que el equipo de cumplimiento puede revisar y aprobar antes de cada entrega.
- 03
Ingeniería de la Evidencia — Prueba auditable como resultado natural del trabajo
La evidencia regulatoria se genera automáticamente en cada release: linaje de datos, inventario de modelos, métricas de rendimiento y trazas de ejecución. Cada artefacto queda enlazado a la política que lo gobernó. El portafolio de evidencia que antes llevaba semanas compilar a mano queda actualizado en cada commit y se exporta en formatos abiertos para auditores y reguladores.
Ejemplo concreto
Cada entrega produce automáticamente: linaje de datos, inventario de modelos, métricas de rendimiento y trazas de ejecución. El portafolio de evidencia que antes llevaba semanas compilar a mano queda actualizado en cada cambio y exportable en formatos abiertos para auditores y reguladores.
Cobertura cruzada
Un control. N marcos a la vez.
La superposición normativa se materializa como una matriz: cada control versionado conecta con varios marcos por su cláusula correspondiente. Pase el ratón sobre una fila para ver qué marcos cubre; sobre una columna para ver qué controles le aplican. Click en cualquier celda para abrir el texto oficial.
| Control | Reg. IA | ISO 42001 | DORA | MDR | RGPD | NIS2 |
|---|---|---|---|---|---|---|
| Equidad de datos3/6 | Art. 10 | A.7.4 | Art. 5.1.a | |||
| Trazabilidad de datos6/6 | Art. 12 | A.7.5 | Art. 9-11 | Anexo II | Art. 30 | Art. 21 |
| Supervisión humana3/6 | Art. 14 | A.9 | Art. 22.3 | |||
| Gestión de riesgos6/6 | Art. 9 | A.5 | Art. 6 | Anexo I | Art. 35 | Art. 21.2 |
| Documentación técnica4/6 | Art. 11 + Anexo IV | A.6.2.4 | Art. 5 | Anexo II | ||
| Control predespliegue4/6 | Art. 17 + 43 | A.6.2.5 | Art. 24-26 | Anexo VII |
02 · Las tres superficies
Una plataforma, tres puntos de contacto.
Las disciplinas se materializan en tres superficies que cubren el ciclo completo: del primer cambio del modelo a la inferencia en producción y la coordinación con el equipo de cumplimiento.
SDK
Equipos de ingeniería de IA
Conformidad por Diseño en el código.
Una librería de código abierto que se integra en su flujo de entrenamiento, evaluación y entrega. Recoge linaje de datos, métricas de equidad y rendimiento, e inventaria los modelos sin imponer arquitectura ni dependencia de un MLOps concreto.
Pasarela
Operaciones de IA
Cada inferencia se contrasta con la política activa antes de devolver la respuesta.
La pasarela aplica las políticas de conformidad en cada decisión: bloquea las que incumplen umbrales, escala a supervisión humana las que lo requieren y registra evidencia firmada. Compatible con sus modelos actuales — usted decide qué pasa por la pasarela.
Plataforma
Cumplimiento y dirección
El plano de control que une todo y lo presenta auditor-ready.
Catálogo de sistemas, políticas, evidencia agregada, panel del Compliance Officer y exportación de informes en formatos abiertos para auditores y reguladores. Sin lock-in: sus datos siguen siendo suyos, en formato OSCAL.
03 · La cadena de evidencia
De un cambio en el código al panel del auditor.
Cada paso firma su salida y queda enlazado al artículo o cláusula que cubre. La cadena no se reconstruye: se mantiene viva.
- 01
Captura en el código
El SDK registra linaje, métricas y eventos del modelo en el momento exacto en que se producen — sin paso intermedio.
- 02
Verificación en producción
La pasarela compara cada inferencia con la política activa, firma el resultado y deja un asiento en el registro.
- 03
Agregación en el plano
La plataforma une los hechos del SDK y la pasarela en una sola cadena trazable, organizada por cláusula y artículo.
- 04
Entrega al auditor
El informe se exporta en OSCAL 1.1.2 — formato canónico del NIST. El auditor recibe los hechos firmados, sin reescritura.
Política versionada en Git — `assessment-plan` YAML
auditor-readyassessment-plan:
metadata:
title: "Política de scoring de crédito · Alpha Corp"
reviewed-controls:
control-implementations:
- description: "Reglas de equidad y rendimiento"
implemented-requirements:
- control-id: gender-disparate-impact
description: "Equidad de género (Disparate Impact > 0.8)"
props:
- name: metric_key
value: disparate_impact
- name: operator
value: gt
- name: threshold
value: "0.8"
- name: severity
value: block
- name: "input:dimension"
value: gender
- control-id: age-disparate-impact
description: "Equidad de edad (Disparate Impact > 0.5)"
props:
- name: metric_key
value: disparate_impact
- name: operator
value: gt
- name: threshold
value: "0.5"
- name: severity
value: block
- name: "input:dimension"
value: age
- control-id: accuracy-floor
description: "Utilidad mínima del modelo (Accuracy > 70%)"
props:
- name: metric_key
value: accuracy_score
- name: operator
value: gt
- name: threshold
value: "0.7"
- name: severity
value: warnSiguiente paso
¿Quiere ver cómo encaja en su organización?
En 3 minutos sabe en qué fase está; en 20 minutos lo recorremos con usted.