Cuando usas una herramienta de IA,
¿sabes dónde se procesan tus datos?
Yo no empezaría pidiendo al proveedor una certificación. Empezaría dibujando el flujo real del dato y marcando en qué puntos cambia de responsable, de ubicación o de finalidad.
Después pediría evidencias para cada salto. La certificación ayuda, pero no sustituye a entender qué está ocurriendo con la información concreta que mi organización introduce en el servicio.
| Tipo de información | Ejemplo de uso con IA | Pregunta de control | Riesgo inicial |
|---|---|---|---|
| Pública | Resumir una nota ya publicada | ¿Existe alguna restricción adicional de propiedad intelectual o uso? | Bajo |
| Interna | Preparar un procedimiento operativo | ¿La política permite introducir información interna en ese servicio? | Medio |
| Confidencial | Analizar contratos o estrategia comercial | ¿Hay aislamiento, no entrenamiento, retención controlada y acceso restringido? | Alto |
| Datos personales | Cribado, soporte, perfiles o expedientes | ¿Se ha definido rol RGPD, base jurídica, DPA, transferencias y necesidad de EIPD? | Alto |
| Especialmente protegida o crítica | Salud, biometría, secretos o información sensible del servicio | ¿El uso está expresamente autorizado y existen controles reforzados? | Crítico |
El riesgo se materializa en el tratamiento concreto. Mismo proveedor, distinto plan, distinta configuración, distinto contrato y distinto tipo de dato pueden producir escenarios radicalmente diferentes.
Dónde se almacena o procesa principalmente el contenido del cliente.
Desde qué países y por qué perfiles puede accederse al contenido o a metadatos.
Qué flujo jurídico y operativo se produce hacia terceros países o entidades externas.
En el inventario de proveedores añadiría un campo específico para «localizaciones de tratamiento» y otro distinto para «localizaciones de acceso administrativo o soporte». Mezclarlos en una sola columna llamada «país» genera una falsa sensación de control.
| Elemento | Qué preguntar | Evidencia útil |
|---|---|---|
| Contenido | ¿Se utiliza para entrenamiento o mejora? ¿La exclusión es contractual o configurable? | DPA, términos del plan, configuración administrativa |
| Historial | ¿Cuánto tiempo permanece accesible para el usuario o el tenant? | Política de retención, consola, prueba de borrado |
| Logs | ¿Qué metadatos o contenido se registran por seguridad y durante cuánto tiempo? | Documentación técnica, anexo de privacidad |
| Soporte | ¿Puede personal humano acceder? ¿Bajo qué aprobación y trazabilidad? | Procedimiento de acceso, controles PAM, registro de actividad |
Si la respuesta depende de buscar contratos dispersos o preguntar a cada departamento, el problema no es solo de IA. Es un problema de gobierno de terceros.
Identificar terceros países, mecanismo de transferencia, transferencias ulteriores y medidas complementarias cuando proceda.
Relacionar el caso de uso con el rol de la organización y las obligaciones aplicables al sistema.
Integrar el servicio externo en el análisis de riesgos, las medidas de protección y el gobierno de la cadena de suministro.
| Ref. | Área | Pregunta y evidencia esperada |
|---|---|---|
| DD-01 | Flujo y localización | Países de procesamiento, almacenamiento, copias de seguridad y acceso de soporte. Diagrama o documentación de arquitectura. |
| DD-02 | Roles y contrato | Rol RGPD, DPA, instrucciones documentadas, responsabilidad de cada parte y procedimiento para derechos o incidentes. |
| DD-03 | Subencargados | Listado vigente, función, localización y mecanismo para notificar incorporaciones o cambios relevantes. |
| DD-04 | Transferencias | Base del capítulo V del RGPD y, cuando proceda, evaluación del tercer país y medidas complementarias. |
| DD-05 | Uso para mejora | Tratamiento de prompts, archivos, outputs y feedback. Condiciones de entrenamiento y controles para excluir contenido. |
| DD-06 | Retención y borrado | Plazos por tipo de dato, copias, logs, excepciones y capacidad de acreditar la eliminación. |
| DD-07 | Acceso privilegiado | Quién puede acceder al contenido, motivos, aprobación, segregación, autenticación y trazabilidad. |
| DD-08 | Seguridad | Cifrado, gestión de claves, aislamiento, gestión de vulnerabilidades, incidentes y evidencias de aseguramiento aplicables. |
No aceptaría «cumplimos RGPD» como respuesta a ninguna de estas preguntas. Tampoco «tenemos ISO 27001». Pediría el documento o la configuración que permita verificar la afirmación.
La due diligence funciona cuando permite tomar una decisión: autorizar, autorizar con condiciones, pedir mitigaciones o rechazar el caso de uso.
Qué se quiere hacer, quién lo hará y qué decisión o proceso se verá afectado.
Datos personales, categorías especiales, confidencialidad, criticidad y restricciones internas.
Entrada, APIs, regiones, persistencia, logs, backups, soporte y salida.
Proveedor contractual, subencargados y dependencias tecnológicas relevantes.
RGPD, AI Act, ENS, obligaciones sectoriales y políticas internas.
No entrenamiento, retención, acceso, cifrado, claves, segregación y trazabilidad.
Propietario, condiciones, excepciones, riesgo residual y fecha de revisión.
Los servicios de IA cambian. Revisa subencargados, términos, funciones y configuración.
| Ref. | Capa de evidencia | Qué debería permitir comprobar |
|---|---|---|
| EV-01 | Inventario de casos de IA | Propietario, finalidad, sistema, usuarios, clasificación de información y estado de aprobación. |
| EV-02 | Mapa de tratamiento | Localizaciones, transferencias, retención, subencargados y puntos de acceso al dato. |
| EV-03 | Expediente del proveedor | DPA, términos aplicables, lista de subencargados, anexos de seguridad y evaluación realizada. |
| EV-04 | Decisión y condiciones | Quién autorizó el uso, riesgo residual y restricciones: datos permitidos, plan empresarial o controles obligatorios. |
| EV-05 | Configuración | Que las opciones de entrenamiento, retención, acceso y administración coinciden con la decisión aprobada. |
| EV-06 | Revisión periódica | Cambios de servicio, subencargados, contrato, funciones y desviaciones detectadas. |
La forma más útil de trabajar este tema es convertirlo en una cadena verificable de decisiones, responsables y evidencias. No basta con afirmar que existe un control: hay que poder reconstruir qué se decidió, con qué información, quién lo ejecutó y cómo se comprobó después.
En Datos de la IA: dónde van y por qué importa, el análisis debería cubrir al menos objetivos, riesgos, controles, responsables, evidencias, excepciones, indicadores y decisiones. Esto exige coordinar a Dirección, Riesgos, Seguridad, Auditoría, Compliance, Operaciones y propietarios de proceso y trabajar sobre objetivos, riesgos, controles, indicadores, incidencias, excepciones, evidencias y decisiones. Cuando cada área conserva una parte distinta de la información, se retrasan decisiones, se duplican controles y se aceptan excepciones sin una visión completa.
Una forma práctica de evitarlo es utilizar un expediente único por servicio, sistema, proceso o decisión relevante. Puede ser una herramienta GRC, un repositorio documental controlado o un registro estructurado. Lo importante es conectar alcance, propietario, riesgo, control, evidencia, excepción y acción, con fecha, fuente y estado.
Ese expediente debe mantenerse durante la operación ordinaria. Si solo se completa antes de una auditoría, la organización obtiene una fotografía preparada, pero no una visión fiable del control. La actualización debería activarse ante cambios de arquitectura, proveedor, alcance, responsables, requisitos, incidentes o resultados de pruebas. También conviene definir una revisión periódica para detectar documentación formalmente vigente pero materialmente obsoleta.
La revisión debe separar cuatro preguntas: si el control está bien diseñado, si se ha implantado en todo el alcance, si funciona de forma sostenida y si reduce realmente el riesgo o cumple el objetivo. Mezclar estas preguntas lleva a conclusiones débiles: una política aprobada puede no haberse desplegado, una herramienta instalada puede no cubrir toda la población y una actividad ejecutada puede no producir el efecto esperado.
| Dimensión | Qué debe quedar definido | Evidencia esperada |
|---|---|---|
| Alcance | Procesos, servicios, sistemas y terceros incluidos en «Datos de la IA: dónde van y por qué importa». | Alcance aprobado, inventario y exclusiones justificadas. |
| Responsabilidad | Quién decide, ejecuta, valida y acepta desviaciones. | RACI, actas, aprobaciones y propietarios nominativos. |
| Operación | Actividades repetibles, entradas, salidas, plazos y escalados. | Procedimiento, tickets, registros, alertas y métricas. |
| Eficacia | Cómo se comprueba que el control cambia el riesgo o el resultado. | Pruebas, tendencias, incidencias, muestreo y acciones. |
Una captura demuestra un estado puntual. Un expediente completo demuestra el proceso, el criterio, la trazabilidad y la capacidad de corregir.
El objetivo no es generar más documentación, sino conservar la documentación que permite gobernar, operar y demostrar. La madurez aparece cuando las evidencias nacen del proceso ordinario y no de una campaña previa a la auditoría.