Cumplimiento de la IA: normativa y cómo ponerla en producción

El cumplimiento de la IA comienza con una pregunta engañosamente sencilla: para este modelo, asistente, sistema de puntuación o flujo de trabajo automatizado, ¿qué reglas se aplican y qué pruebas demuestran que se han cumplido?

Responder a esta pregunta es cada vez más difícil a medida que la IA se incorpora a las decisiones crediticias, los flujos de trabajo clínicos, la selección de personal, la detección del fraude, la asistencia al cliente y las herramientas internas de productividad. Un modelo puede depender de los datos de entrenamiento de un sistema, los registros de clientes de otro, los resultados de un proveedor de modelos fundacionales y un paso de aprobación humana que se lleva a cabo en una aplicación independiente. Además, cada parte de esa cadena puede generar una obligación normativa, un requisito de una política interna o una cuestión de auditoría que habrá que responder más adelante.

Los programas de cumplimiento de la IA permiten a las organizaciones gestionar esa complejidad antes de que una auditoría o una revisión de incidentes las obligue a abordarla. Vinculan las leyes y normas con controles, asocian esos controles a pruebas y las mantienen actualizadas a medida que cambian los modelos, los datos, los proveedores y los casos de uso.

El cumplimiento de la IA es la disciplina que garantiza que los sistemas de IA, así como el ciclo de vida utilizado para desarrollarlos y operarlos, cumplan las leyes, normativas, estándares del sector y políticas internas aplicables. Abarca los controles que utiliza una organización para demostrar que un sistema de IA se ha diseñado, probado, implementado, supervisado y revisado de acuerdo con sus obligaciones normativas.

Esto hace que el cumplimiento de la IA esté relacionado con varias disciplinas afines, pero sea distinto de ellas:

• La gobernanza de la IA define el modelo operativo: quién es responsable de un caso de uso de IA, quién lo aprueba, quién puede suspenderlo y cómo se escalan las decisiones.
• La ética de la IA define los principios: equidad, transparencia, responsabilidad, privacidad, seguridad y supervisión humana.
• La gestión de riesgos de la IA define la metodología: cómo la organización identifica, mide, prioriza y mitiga los riesgos relacionados con la IA.
• El cumplimiento de la IA demuestra la conformidad: qué reglas se aplican, qué controles las abordan y qué pruebas de auditoría respaldan la certificación de los controles.

Un programa de cumplimiento de la IA suele comenzar con elementos concretos, no con principios abstractos: un inventario de IA, una ficha de modelo, un resumen de los datos de entrenamiento, un responsable del sistema, una política de acceso, un panel de monitorización y un registro de aprobaciones. Estos elementos muestran si un sistema se ha clasificado correctamente, si la IA de alto riesgo se ha sometido a la revisión adecuada, si la supervisión humana es significativa y si realmente se está realizando la supervisión tras la implementación.

Las organizaciones suelen enfrentarse a un entorno normativo articulado en varios niveles: leyes generales sobre IA, normas de privacidad, directrices de supervisión específicas del sector, requisitos de seguridad de los productos, legislación laboral, normas de protección del consumidor y políticas internas de riesgos.

Ley de IA de la UE

La Ley de IA de la UE está ampliamente considerada como uno de los marcos normativos específicos para la IA más completos actualmente en vigor. Utiliza una estructura por niveles de riesgo que distingue entre prácticas de IA prohibidas, sistemas de IA de alto riesgo, sistemas de riesgo limitado, modelos de IA de uso general y usos de menor riesgo. La Ley también tiene alcance extraterritorial, lo que significa que puede aplicarse a proveedores y responsables del despliegue de fuera de la UE cuando los sistemas o resultados de IA se comercializan o utilizan en el mercado de la UE.

La Ley se aplica por fases: las prohibiciones y los requisitos de alfabetización en materia de IA comenzaron en febrero de 2025, las obligaciones relativas a la IA de uso general comenzaron en agosto de 2025 y el despliegue más amplio continuará hasta el 2 de agosto de 2027.

En el caso de los sistemas de IA de alto riesgo, el cumplimiento puede exigir gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, exactitud, solidez, ciberseguridad y, en algunos casos, una evaluación de la conformidad en la que participe un organismo notificado.

Las organizaciones que desarrollan o suministran sistemas de IA de alto riesgo suelen necesitar un expediente técnico que muestre cómo se diseñó, probó y documentó el sistema. Las organizaciones que utilizan esos sistemas suelen necesitar pruebas que demuestren cómo se implementa el sistema, quién revisa sus resultados, cómo se supervisa y cómo se escalan los problemas.

RGPD

El Reglamento general de protección de datos (RGPD) ya se aplica a muchos sistemas de IA que procesan datos personales, incluso cuando dichos sistemas no están regulados por una ley específica sobre IA. El artículo 22 aborda determinados derechos relacionados con la toma de decisiones automatizada, incluida la elaboración de perfiles, cuando las decisiones producen efectos jurídicos o de importancia similar. El artículo 35 exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando sea probable que el tratamiento de datos suponga un alto riesgo para las personas, lo que puede incluir la elaboración de perfiles a gran escala, el tratamiento de datos confidenciales o el uso de tecnologías novedosas.

En la práctica, el cumplimiento del RGPD suele coexistir con el cumplimiento específico de la IA. Un banco que utilice IA para tomar decisiones crediticias puede tener que evaluar el caso de uso conforme a las disposiciones sobre alto riesgo de la Ley de IA de la UE, además de completar una EIPD, documentar la base jurídica, aplicar controles de acceso y demostrar que los datos personales se trataron de acuerdo con los requisitos de limitación de la finalidad, minimización y conservación.

Normas federales y estatales de EE. UU.

El cumplimiento de la IA sigue siendo un mosaico de leyes y normativas. En el ámbito federal, la política ha cambiado desde la orden ejecutiva de 2023 sobre una IA segura, protegida y fiable. En enero de 2025, la orden ejecutiva 14179, “Removing Barriers to American Leadership in Artificial Intelligence”, revocó determinadas políticas anteriores sobre IA y ordenó a la Administración revisar y modificar las medidas que entraran en conflicto con los objetivos de su política de IA.

Sin embargo, ese cambio federal no ha eliminado la presión en materia de cumplimiento. Las organizaciones siguen teniendo que gestionar las directrices de las agencias federales, las medidas de aplicación y los requisitos estatales. El marco AI Risk Management Framework del NIST sigue siendo un marco voluntario muy utilizado para gestionar los riesgos de la IA, y los reguladores sectoriales continúan aplicando sus competencias legales actuales a los sistemas basados en IA.

En los ámbitos estatal y local, varias normas se han convertido en importantes puntos de referencia:

• Colorado AI Act / ADMT: La ley Colorado AI Act 2024 se ha derogado y sustituido por la SB26-189, firmada el 14 de mayo de 2026. La nueva ley limita el marco a la tecnología de toma de decisiones automatizada (ADMT) utilizada para influir de forma sustancial en decisiones importantes, al tiempo que sigue abordando los problemas de sesgo algorítmico mediante obligaciones de transparencia, notificación, corrección, recurso y revisión humana. En general, está previsto que las obligaciones contempladas entren en vigor el 1 de enero de 2027, y que la Fiscalía General de Colorado aporte más detalles sobre su aplicación mediante la normativa que adopte.
• Ley Local 144 de la ciudad de Nueva York: La ciudad de Nueva York regula las herramientas automatizadas para la toma de decisiones laborales, incluidos los requisitos de auditoría de sesgos y notificación para los usos laborales contemplados.
• Normas de California sobre la toma de decisiones automatizada: California ultimó la normativa de la CCPA sobre tecnología de toma de decisiones automatizada, evaluaciones de riesgos y auditorías de ciberseguridad. La normativa entró en vigor el 1 de enero de 2026, con plazos de cumplimiento escalonados para algunos requisitos.

Normas sectoriales sobre IA

El cumplimiento de la IA también depende en gran medida del contexto sectorial. En los sectores regulados, los sistemas de IA suelen revisarse mediante marcos de supervisión existentes, en lugar de leyes específicas sobre IA.

• En el sector bancario, las directrices sobre gestión de riesgos de modelos llevan mucho tiempo determinando cómo las empresas validan los modelos, documentan las hipótesis y mantienen la gobernanza. Las directrices de la Reserva Federal estadounidense sobre el riesgo de los modelos hacen hincapié en el desarrollo, la implementación, el uso, la validación, los controles, el cumplimiento y la supervisión por parte del consejo de administración y la alta dirección; en 2026, los organismos federales de supervisión bancaria también publicaron directrices revisadas sobre la gestión de riesgos de modelos que subrayaban un enfoque basado en el riesgo.
• En el sector sanitario, la HIPAA puede aplicarse cuando los sistemas de IA procesan información sanitaria protegida, mientras que la supervisión de la FDA estadounidense puede resultar aplicable cuando la IA forma parte de un software como producto sanitario (SaMD) o de un producto sanitario basado en IA. La FDA mantiene una lista de productos sanitarios basados en IA autorizados para su comercialización en EE. UU., lo que refleja el creciente papel de la IA en los productos sanitarios regulados.
• En el sector de los seguros, el boletín modelo de la National Association of Insurance Commissioners (NAIC) estadounidense establece expectativas sobre cómo deben gobernar las aseguradoras los sistemas de IA y describe la información que los reguladores pueden solicitar durante una investigación o inspección.
• En los servicios financieros y la divulgación de información por parte de empresas cotizadas, la Comisión de Bolsa y Valores de Estados Unidos (SEC) ha señalado que las afirmaciones sobre IA deben ser precisas y demostrables. En 2024, la SEC acusó a dos asesores de inversión de realizar declaraciones falsas y engañosas sobre su uso de la IA, lo que recuerda que el cumplimiento de la IA también abarca el marketing, la divulgación de información y las afirmaciones dirigidas a los clientes.

Directrices internacionales sobre IA

Fuera de la UE y EE. UU., es posible que las organizaciones también deban tener en cuenta el enfoque del Reino Unido sobre la regulación de la IA basada en principios, las medidas de China sobre IA generativa y el marco Model AI Governance Framework de Singapur. Muchos de estos regímenes difieren en cuanto a fuerza jurídica, alcance y grado de madurez de su aplicación, pero tienden a converger en torno a expectativas recurrentes: clasificación de riesgos, responsabilidad, transparencia, supervisión humana, gobernanza de datos, monitorización y documentación.

Los instrumentos no vinculantes también son importantes porque suelen convertirse en el lenguaje de referencia de leyes, normas y requisitos de contratación. Los Principios de IA de la OCDE promueven la seguridad de la IA mediante una IA fiable que respeta los derechos humanos y los valores democráticos, mientras que la Recomendación de la UNESCO sobre ética de la inteligencia artificial se aplica a los 194 Estados miembros de la UNESCO y hace hincapié en los derechos humanos, la equidad, la transparencia y la supervisión humana.

Las leyes definen obligaciones, pero los marcos ayudan a las organizaciones a convertirlas en prácticas operativas repetibles. Proporcionan a los equipos de cumplimiento, asuntos jurídicos, datos, seguridad e IA un método común para clasificar sistemas, asignar controles, recopilar pruebas y certificar el rendimiento de los controles.

AI RMF de NIST

El marco AI Risk Management Framework del NIST es un marco voluntario para gestionar los riesgos asociados a la IA para las personas, las organizaciones y la sociedad. El NIST organiza el marco en torno a cuatro funciones principales: gobernar, cartografiar, medir y gestionar.

Para los equipos de cumplimiento, el AI RMF de NIST resulta útil porque crea una estructura de gestión de riesgos que puede vincularse a las obligaciones legales e internas.

• Gobernar define los roles, las políticas y la responsabilidad.
• Cartografiar recoge el contexto y el uso previsto.
• Medir evalúa los riesgos y el rendimiento del sistema.
• Gestionar prioriza las respuestas, la supervisión y las medidas correctivas.

ISO/IEC 42001

ISO/IEC 42001 es una norma certificable para sistemas de gestión de IA. La ISO la describe como la primera norma del mundo para sistemas de gestión de IA, diseñada para ayudar a las organizaciones a gestionar los riesgos y las oportunidades relacionados con la IA mediante un sistema estructurado de políticas, procesos, roles y mejora continua.

Para el cumplimiento normativo en materia de IA, ISO/IEC 42001 resulta especialmente útil porque permite aportar pruebas formales sobre el sistema de gestión: alcance, gobernanza, evaluación de riesgos, evaluación de impacto, controles del ciclo de vida, gestión de proveedores, supervisión, auditoría interna y revisión por parte de la dirección. Las organizaciones que necesitan un marco certificable suelen combinar ISO/IEC 42001 con directrices más detalladas sobre riesgos o sectores.

ISO/IEC 23894

La norma ISO/IEC 23894 proporciona orientación para la gestión de riesgos de la IA. Ayuda a las organizaciones que desarrollan, producen, implementan o utilizan sistemas de IA a integrar la gestión de riesgos específica de la IA en sus actividades y funciones.

A diferencia de ISO/IEC 42001, que especifica los requisitos de un sistema de gestión de IA, ISO/IEC 23894 se centra en proporcionar orientación. Puede ayudar a los equipos a definir las fuentes de riesgo, analizar las posibles repercusiones y estructurar el tratamiento de los riesgos a lo largo del ciclo de vida de la IA.

Serie IEEE 7000

La serie IEEE 7000 proporciona normas centradas en el diseño ético y responsable de la tecnología. En un programa de cumplimiento normativo de la IA, estas normas pueden ayudar a estructurar aspectos como la transparencia, los sesgos, la responsabilidad, la privacidad y los valores humanos. Normalmente no constituyen la única base para el cumplimiento, pero pueden ayudar a convertir los compromisos éticos en prácticas de diseño y documentación.

OCDE y UNESCO

Los Principios de IA de la OCDE y la Recomendación de la UNESCO no son vinculantes, pero influyen en la legislación, las políticas y las expectativas de los organismos reguladores. Resultan útiles como referencias normativas cuando las organizaciones necesitan explicar por qué sus políticas internas de IA hacen hincapié en la equidad, la transparencia, la responsabilidad, la supervisión humana y el respeto de los derechos, incluso cuando no existe una única ley vinculante sobre IA aplicable.

Más información sobre la IA responsable

Los controles de cumplimiento normativo en materia de IA permiten a las organizaciones incorporar los marcos y las prácticas de cumplimiento a sus sistemas y flujos de trabajo cotidianos. Una política puede establecer que la IA de alto riesgo requiere supervisión humana, pero un control especifica quién revisa el sistema, dónde se registra la aprobación, cómo accede la persona responsable de la revisión a los resultados pertinentes del modelo y qué ocurre cuando la supervisión detecta desviaciones, sesgos o comportamientos inseguros.

Controles de gobernanza

Los controles de gobernanza determinan quién responde por los sistemas de IA y cómo se toman las decisiones. Suelen incluir la supervisión ejecutiva, una política de IA, criterios de clasificación por niveles de riesgo, asignaciones de roles y vías de escalado.

Por ejemplo, un modelo crediticio de alto riesgo debe tener asignados un responsable del modelo, un responsable de negocio, un responsable técnico y una persona encargada de revisar el cumplimiento. La organización debe poder demostrar quién aprobó el caso de uso, qué nivel de riesgo se asignó, qué conjunto de controles se aplicó y quién puede exigir medidas correctivas, la suspensión o la reversión.

Entre los controles de gobernanza habituales se incluyen:

• Política de IA y normas de uso aceptable
• Propiedad del inventario de IA
• Metodología de clasificación por niveles de riesgo
• Asignación de responsables de IA, del modelo y de los datos
• Aprobación por parte del comité de revisión o de gobernanza
• Gestión de excepciones con fechas de vencimiento
• Certificación de los controles y revisión de auditoría interna

Controles de documentación

Los controles de documentación crean el registro escrito que pueden examinar los organismos reguladores, los auditores, los clientes y los revisores internos. En el cumplimiento normativo de la IA, la documentación no es una tarea puntual que se realice una sola vez durante el lanzamiento; debe acompañar al sistema a medida que cambian los datos, se actualizan las versiones del modelo, cambian los proveedores y se amplían los casos de uso.

Entre los documentos habituales se incluyen fichas de modelos, fichas de datos, resúmenes de los datos de entrenamiento, resultados de evaluaciones, documentación del sistema, diagramas de arquitectura y expedientes técnicos. En virtud de la Ley de IA de la UE, el anexo IV describe los requisitos de documentación técnica para los sistemas de IA de alto riesgo, que pueden incluir información sobre la finalidad, el diseño, el desarrollo, los datos, la supervisión, la validación y la gestión de riesgos del sistema.

En el caso de los sistemas de IA generativa, es posible que la documentación también deba abarcar los prompts, las fuentes de recuperación, los filtros de seguridad, la revisión humana, los usos prohibidos y las certificaciones de los proveedores. El objetivo no es generar más papeleo porque sí, sino conservar el contexto necesario para comprender qué hace el sistema, cómo se probó y qué pruebas respaldan su uso aprobado.

Controles de evaluación

Los controles de evaluación determinan si un sistema de IA es adecuado para el uso previsto. Estos controles pueden incluir evaluaciones de impacto de la IA, evaluaciones de impacto relativas a la protección de datos (EIPD), auditorías de sesgos, informes de operaciones de equipo rojo (red-teaming), pruebas de simulación de adversarios, revisiones de privacidad, revisiones de seguridad de la IA y pruebas previas a la implementación.

Por ejemplo, una herramienta de preselección de personal puede requerir una auditoría de sesgos y una notificación a los candidatos conforme a una ley, una EIPD conforme a otra y una evaluación interna que valore la pertinencia para el puesto, la explicabilidad, la documentación del proveedor y la revisión humana. Un sistema clínico de IA puede requerir una validación respecto al uso previsto, una revisión de la seguridad de los pacientes y la supervisión de los cambios de rendimiento entre distintos grupos de población.

Los controles de evaluación deben generar pruebas duraderas: resultados de las pruebas, notas de los revisores, planes de medidas correctivas, registros de aprobación y cualquier riesgo sin resolver que hayan aceptado los responsables correspondientes.

Controles de operaciones

Los controles de operaciones rigen el comportamiento de los sistemas de IA tras su implementación. Incluyen la gestión del acceso, los registros de auditoría, la monitorización, la notificación de incidentes, la supervisión humana y la supervisión posterior a la comercialización.

Estos controles son importantes porque el cumplimiento normativo de la IA no termina cuando un modelo entra en producción. Un modelo puede sufrir desviaciones, una plantilla de prompt puede cambiar, un proveedor de modelos fundacionales puede actualizar un modelo subyacente, un pipeline de datos puede empezar a suministrar valores diferentes o una política de acceso puede exponer campos confidenciales a un grupo más amplio de usuarios. El cumplimiento depende de la capacidad para detectar esos cambios y conservar las pruebas necesarias para explicarlos.

Entre los controles de operaciones habituales se incluyen:

• Control de acceso basado en roles (RBAC)
• Registros de auditoría de la actividad de datos, modelos y aplicaciones
• Supervisión del rendimiento y las desviaciones de los modelos
• Registro de prompts y respuestas cuando corresponda
• Revisión humana para decisiones con consecuencias importantes
• Procedimientos de notificación y escalado de incidentes
• Supervisión posterior a la comercialización o a la implementación
• Certificación periódica de los controles

Controles de terceros

Muchos sistemas de IA dependen de proveedores, proveedores de modelos fundacionales, herramientas de software como servicio (SaaS), proveedores de datos o capacidades de IA integradas que la organización no ha desarrollado. Los controles de terceros ayudan a los equipos a evaluar esas dependencias antes de la implementación y a supervisarlas a lo largo del tiempo.

La diligencia debida de los proveedores debe recoger el uso previsto, el tratamiento de datos, la documentación del modelo, los controles de seguridad, los subcontratistas, las políticas de retención, los compromisos relativos a los datos de entrenamiento, las condiciones de notificación de incidentes y todas las certificaciones disponibles. En el caso de los modelos fundacionales, las organizaciones también pueden solicitar documentación al proveedor, evaluaciones de seguridad e información que sirva de base para una lista de materiales de IA (AIBOM), en la que se enumeran los modelos, las fuentes de datos, las bibliotecas, las API y los proveedores que intervienen en un sistema de IA.

El cumplimiento normativo de la IA solo puede gestionarse cuando los equipos implementan la trazabilidad: a cada sistema de IA le corresponde un nivel de riesgo; a cada nivel de riesgo, unas obligaciones; a cada obligación, unos controles; y a cada control, unas pruebas.

Hacer un inventario de todos los sistemas de IA

Un inventario de IA debe incluir modelos tradicionales de aprendizaje automático (ML), aplicaciones de IA generativa, asistentes internos, IA integrada en plataformas SaaS y capacidades de IA proporcionadas por proveedores. Los equipos no pueden clasificar, supervisar ni certificar sistemas que no hayan registrado en su inventario.

Un inventario de IA útil suele recoger el nombre del sistema, el responsable, el objetivo empresarial, los usuarios, las fuentes de datos, el tipo de modelo, las dependencias de proveedores, las jurisdicciones, el nivel de riesgo, los grupos de población afectados, el estado de aprobación y la frecuencia de revisión. En el caso de la IA integrada, el inventario también debe registrar qué función SaaS utiliza IA, qué datos procesa y si el proveedor utiliza datos de clientes para el entrenamiento o la mejora.

Clasificar los sistemas por nivel de riesgo

Cada sistema debe clasificarse conforme a los criterios legales e internos aplicables. En virtud de la Ley de IA de la UE, esto puede implicar determinar si un caso de uso está prohibido o presenta un riesgo alto, limitado o bajo. Según la política interna, puede implicar clasificar los sistemas por su posible impacto en los derechos, la seguridad, los resultados financieros, el empleo, la asistencia sanitaria, el acceso a servicios o la exposición normativa.

La clasificación por niveles de riesgo debe basarse en pruebas. Un chatbot que responde a preguntas generales sobre políticas no genera las mismas obligaciones que un modelo que recomienda tratamientos para pacientes o clasifica candidatos para un puesto de trabajo. El registro de clasificación debe explicar el razonamiento, no limitarse a asignar una etiqueta.

Vincular las obligaciones con los controles y las pruebas

Una vez que los equipos identifican las obligaciones aplicables, necesitan un mapa de controles. Para cada obligación, el mapa debe identificar el control pertinente, su responsable, la fuente de las pruebas y la frecuencia de revisión.

Por ejemplo:

Automatizar la recopilación de pruebas

La recopilación manual de pruebas deja de ser viable a medida que aumenta el número de sistemas de IA. Los sistemas de alto riesgo pueden requerir revisiones trimestrales, reevaluaciones anuales, notificación de incidentes y monitorización continua; incluso los sistemas de riesgo limitado pueden necesitar avisos de transparencia, registros de acceso y actualizaciones de la documentación.

La automatización de las pruebas permite capturar señales directamente de los sistemas donde la IA está activa: historial de acceso, linaje, metadatos del registro de modelos, paneles de monitorización, flujos de trabajo de aprobación, sistemas de gestión de incidentes y motores de políticas. El objetivo es reducir la brecha entre el comportamiento real del sistema y el registro de cumplimiento. Cuando un auditor pregunta a qué datos accedió un modelo, quién modificó una política o qué versión del modelo se implementó durante el periodo de un incidente, las pruebas ya deberían estar disponibles.

Establecer una frecuencia de revisión

Los sistemas de IA deben revisarse con una frecuencia acorde con su nivel de riesgo. Los sistemas de alto riesgo suelen requerir revisiones trimestrales, especialmente cuando afectan a derechos, seguridad, elegibilidad, precios, empleo o decisiones reguladas. Los sistemas de riesgo limitado pueden revisarse anualmente, salvo que se produzca un cambio importante.

Las revisiones deben evaluar si han cambiado la finalidad, los datos, el modelo, el proveedor, el grupo de usuarios, la jurisdicción o el perfil de riesgo del sistema. Un caso de uso que comenzó como un asistente interno de productividad puede convertirse en una herramienta de asistencia de cara al cliente; un modelo entrenado para una región puede reutilizarse en otra; una función SaaS puede incorporar IA generativa sin completar un ciclo íntegro de contratación. Una frecuencia de revisión ayuda a detectar esos cambios antes de que el registro de cumplimiento quede obsoleto.

El cumplimiento de la IA depende de las pruebas: qué datos se utilizaron, quién accedió a ellos, cómo se movieron, qué versión del modelo se implementó, qué políticas se aplicaron y qué controles estaban operativos en el momento de la revisión.

Snowflake Horizon Catalog facilita los flujos de trabajo de gobernanza, descubrimiento y cumplimiento al mostrar contexto como el historial de acceso, el linaje, la clasificación y la aplicación de políticas. La vista ACCESS_HISTORY de Snowflake proporciona un registro de los datos a los que se accedió, cuándo se produjo el acceso y cómo se movieron los datos desde los objetos de origen hasta los objetos de destino, lo que puede ayudar a los equipos a generar pruebas de auditoría para los controles de acceso, linaje y uso de datos.

En los sistemas de ML, Snowflake ML Model Registry almacena y gestiona las versiones, métricas y metadatos de los modelos, facilita la gestión del ciclo de vida de los modelos y permite monitorizar su rendimiento y desviación mediante Snowflake ML Observability. También admite el control de acceso basado en roles (RBAC) para acceder a los modelos, lo que ayuda a los equipos a vincular la gobernanza de los modelos con los mismos tipos de controles que utilizan para acceder a los datos.

En los casos de uso de IA generativa, Cortex Guard está diseñado para ayudar a identificar y filtrar respuestas potencialmente inseguras o perjudiciales antes de que los resultados del modelo vuelvan a la aplicación. En función de la arquitectura, los equipos pueden combinar estas medidas de protección con registros de prompts, respuestas, accesos y aplicaciones para respaldar los registros de auditoría de IA generativa.

Snowflake Compliance Center ofrece a los clientes acceso a recursos de seguridad y cumplimiento, incluidos informes y certificaciones que pueden facilitar la diligencia debida de los proveedores y las auditorías de clientes o reguladores. Snowflake también ha obtenido la certificación ISO/IEC 42001 para su sistema de gestión de IA, sujeto a auditorías de seguimiento continuas, lo que ofrece un ejemplo concreto de cómo pueden organizarse la gobernanza de la IA, la gestión de riesgos de la IA y las prácticas de cumplimiento conforme a una norma certificable para sistemas de gestión.

En conjunto, estas capacidades ayudan a las organizaciones a vincular las pruebas de cumplimiento con los sistemas que las generan: rutas de linaje, registros de acceso, metadatos de modelos, métricas de evaluación, registros de aplicación de políticas y elementos de control. Esto no elimina la necesidad de realizar revisiones jurídicas, clasificaciones de riesgos ni de exigir responsabilidades humanas, pero puede reducir el trabajo manual necesario para demostrar que los controles de IA están funcionando.

El cumplimiento de la IA resulta más fácil de demostrar cuando está integrado en el ciclo de vida. Un sistema de IA debería incorporarse al inventario cuando se propone el caso de uso, recibir un nivel de riesgo antes de continuar con el desarrollo, mantener la documentación durante las fase de prueba e implementación, y conservar pruebas a medida que cambian los usuarios, los datos, los modelos y los proveedores.

Este modelo operativo es importante porque los sistemas de IA rara vez permanecen estáticos. Los equipos de cumplimiento solo pueden gestionar esos cambios si pueden rastrear el sistema desde la obligación hasta el control y la evidencia.

Las organizaciones que gestionen bien el cumplimiento de la IA no serán las que tengan los documentos de políticas más sólidos. Serán las que puedan responder con rapidez a preguntas específicas, como qué sistemas de IA se utilizan, cuáles son de alto riesgo, qué datos utilizan, qué controles se aplican, cuándo se revisaron por última vez y qué pruebas demuestran la conformidad.