Cumplimiento normativo y controles de gobernanza que lo respaldan

La mayoría de las organizaciones descubren la desconexión entre la gobernanza de datos y el cumplimiento en el peor momento posible: llega una solicitud de auditoría y el equipo se da cuenta de que las políticas que redactó no se corresponden claramente con las pruebas que puede aportar. Las prisas que vienen después (reconstruir el historial de acceso, localizar a los propietarios de los datos y documentar controles que nunca se definieron formalmente) se pueden evitar.

La gobernanza proporciona el modelo operativo y el plano de control que ayudan a generar y conservar los registros de auditoría necesarios para el cumplimiento normativo. Un programa de gobernanza bien gestionado puede ayudar a que el cumplimiento de varios marcos normativos sea más sostenible. Puede ayudar a convertir los requisitos normativos en controles aplicables, favorecer la retención continua de pruebas y permitir la reutilización de los controles para distintas obligaciones.

En el contexto de los datos, el cumplimiento normativo consiste en satisfacer las obligaciones externas de carácter legal, contractual y sectorial relativas a cómo se recopilan, procesan, protegen, comparten, conservan y eliminan los datos. El RGPD, la CCPA, la HIPAA, el PCI DSS, la SOX, DORA, NIS2 y las normativas emergentes sobre IA definen distintas expectativas legales, sectoriales u operativas, pero muchas se basan en las mismas familias de controles: clasificación de datos, control de acceso, registros de auditoría, conservación, respuesta ante brechas de seguridad y responsabilidad demostrable.

Un enfoque centrado primero en la gobernanza ayuda a las organizaciones a implantar esos controles una sola vez, vincularlos a numerosas obligaciones y mantener las pruebas disponibles antes de que se soliciten para una auditoría.

Gobernanza de datos y cumplimiento normativo

Para comprobar hasta qué punto están conectados la gobernanza y el cumplimiento, resulta útil considerar esta cadena operativa como eje central: política → control → registro de auditoría → prueba.

Un requisito legal o normativo suele tener su origen en el texto de una ley, un estándar, un contrato o un marco de auditoría. Para el equipo de datos, ese texto debe convertirse en un conjunto de decisiones: qué columnas contienen datos personales, qué tablas incluyen información sanitaria protegida, qué roles pueden consultar valores en texto no cifrado, qué filas deben ser visibles en cada región, cuánto tiempo debe conservarse un registro y quién puede aprobar una excepción.

La gobernanza proporciona el sistema de registro para esas decisiones. Por ejemplo, cuando un administrador de datos clasifica una columna como confidencial, le asigna una etiqueta de privacidad, define un propietario y vincula el conjunto de datos a una regla de conservación; los equipos de la plataforma pueden convertir esos estándares en políticas de enmascaramiento, políticas de acceso a filas, control de acceso basado en roles y supervisión. A continuación, los equipos de cumplimiento pueden vincular el control operativo con la obligación que respalda, ya esté relacionada con la minimización de datos, el acceso con privilegios mínimos, la separación de funciones, la conservación, la eliminación o la respuesta ante brechas de seguridad.

La preparación para las auditorías surge de esa misma cadena. En lugar de recopilar pruebas a posteriori, la organización puede conservar el linaje, el historial de clasificación, el historial de acceso, los cambios en las políticas y las aprobaciones como parte de las operaciones habituales con los datos. Esto no hace que las auditorías sean sencillas ni elimina la necesidad de interpretación jurídica, pero agiliza y mejora la fiabilidad de la recopilación de pruebas al conservar los registros de auditoría, el historial de políticas y los registros de aprobación que los equipos necesitan antes de que los solicite un auditor.

Descubre cómo gestiona DraftKings el cumplimiento normativo a gran escala:

Las normativas difieren en su redacción, alcance y modelo de aplicación, pero muchas plantean las mismas preguntas fundamentales sobre los datos:

• ¿Qué datos tienes?
• ¿Dónde se almacenan y utilizan?
• ¿Quién puede acceder a ellos?
• ¿Cómo se protegen los datos confidenciales?
• ¿Durante cuánto tiempo se conservan?
• ¿Puedes mostrar qué ocurrió cuando algo cambió, falló o alguien accedió a los datos?
• ¿Puedes responder cuando una persona, un organismo regulador, un auditor o un cliente solicita pruebas?

Para responder satisfactoriamente a estas preguntas, se necesita un conjunto común de familias de controles:

• Clasificación e inventario de datos: Las organizaciones deben identificar los datos personales, los datos de pagos, los datos sanitarios, los datos de información financiera y los datos esenciales para las operaciones, así como otras categorías confidenciales, antes de poder aplicar las políticas adecuadas. La clasificación también ayuda a los equipos a delimitar el alcance de las obligaciones normativas, ya que una tabla que contenga identificadores de clientes, historiales de transacciones o información sanitaria protegida puede estar sujeta a requisitos distintos de una tabla que contenga métricas operativas agregadas.
• Control de acceso y aplicación de políticas: Las normativas suelen exigir que el acceso se limite a las personas adecuadas para la finalidad correcta. El acceso con privilegios mínimos, el acceso basado en roles, el enmascaramiento, las restricciones a nivel de fila y los flujos de aprobación ayudan a convertir ese principio en controles aplicables.
• Registros de auditoría y pruebas: Los programas de cumplimiento necesitan registros que muestren quién accedió a los datos, cuándo lo hizo, qué cambió y qué controles se aplicaron. Los registros de auditoría también permiten la certificación, la revisión de incidentes y la responsabilidad interna.
• Conservación y eliminación: Las normativas sobre privacidad, finanzas, sanidad y otros sectores suelen exigir que las organizaciones conserven determinados registros durante un periodo definido y eliminen otros datos cuando ya no sean necesarios. La gobernanza ayuda a vincular la lógica de conservación con las categorías de datos, los propietarios y las políticas de ciclo de vida, en lugar de dejar las decisiones de eliminación a criterios ad hoc.
• Flujos de trabajo de respuesta y gestión de brechas de seguridad: Cuando se produce un incidente, los equipos deben saber qué datos se han visto afectados, qué sistemas estaban implicados, quién tenía acceso y qué notificaciones podrían ser necesarias. La clasificación, el linaje y el historial de acceso ayudan a los equipos de seguridad, asuntos jurídicos y cumplimiento a pasar de un registro genérico del incidente a un flujo de trabajo de respuesta específico para los datos.

Esta capa común de controles permite que un único programa de gobernanza respalde numerosas normativas a la vez. Las etiquetas pueden cambiar de una obligación a otra, pero la organización sigue necesitando saber qué datos tiene, cómo se controlan y qué pruebas demuestran que el control funcionó según lo previsto.

Las normativas de privacidad de datos se centran en los derechos de las personas en relación con sus datos, no solo en la seguridad de los sistemas. Por ejemplo, cuando un registro de cliente, un archivo de empleado o un identificador de dispositivo pasa por flujos de trabajo de marketing, asistencia, IA u otros ámbitos, la organización debe saber dónde se encuentran esos datos, por qué se procesan, quién puede utilizarlos y durante cuánto tiempo deben conservarse.

RGPD

El RGPD regula el tratamiento de datos personales en la UE e incluye principios como la licitud, la lealtad, la transparencia, la limitación de la finalidad, la minimización de datos, la exactitud, la limitación del plazo de conservación, la integridad, la confidencialidad y la responsabilidad proactiva. Los controles de gobernanza ayudan a las organizaciones a identificar datos personales, documentar el contexto del tratamiento, restringir el acceso, aplicar políticas de retención y conservar pruebas que respalden la responsabilidad proactiva.

Más información sobre el RGPD →

CCPA y CPRA

La Ley de privacidad del consumidor de California otorga a los consumidores de California derechos relacionados con la información personal, incluidos los derechos a saber, eliminar y oponerse a determinados usos o ventas de dicha información. La Ley de derechos de privacidad de California modificó y amplió la CCPA el 1 de enero de 2023 e introdujo obligaciones adicionales relacionadas con la información personal confidencial y la creación de la California Privacy Protection Agency. Los programas de gobernanza respaldan los requisitos de la CCPA y la CPRA mediante la clasificación de la información personal confidencial, la aplicación de restricciones de acceso y la adecuación del uso de los datos a los fines declarados.

Más información sobre la CCPA y la CPRA →

LGPD

La Lei Geral de Proteção de Dados de Brasil se aplica al tratamiento de datos personales y comparte muchos conceptos con el RGPD, como las bases jurídicas para el tratamiento, los derechos de los interesados y los requisitos de seguridad y responsabilidad. La clasificación, el seguimiento del consentimiento, el control de acceso y las políticas de conservación ayudan a las organizaciones a operacionalizar esas obligaciones en todos los sistemas de datos.

PDPA

Las leyes de protección de datos personales de jurisdicciones como Singapur y Tailandia exigen que las organizaciones gestionen los datos personales de forma responsable, lo que suele incluir la notificación, el consentimiento, la limitación de la finalidad, la protección, la conservación y los derechos de acceso. Un programa de gobernanza ayuda a vincular esos requisitos con los inventarios de datos, el acceso basado en roles, el enmascaramiento y los controles del ciclo de vida.

POPIA

La Ley de protección de la información personal de Sudáfrica regula el tratamiento de información personal e incluye condiciones relacionadas con la responsabilidad, la limitación del tratamiento, la especificación de la finalidad, las medidas de seguridad y la participación de los interesados. La gobernanza respalda la POPIA mediante la documentación del contexto del tratamiento, la asignación de responsabilidades, la aplicación de controles de protección de datos y la conservación de pruebas de auditoría.

PIPL de China

La Ley de protección de la información personal de China regula el tratamiento de información personal e incluye requisitos relacionados con el consentimiento, la transparencia, la limitación de la finalidad, los derechos de los interesados, la información personal confidencial y las transferencias transfronterizas. Los controles de gobernanza ayudan a las organizaciones a clasificar la información personal, realizar un seguimiento de los fines del tratamiento, aplicar políticas de acceso y documentar las decisiones de transferencia o intercambio.

DPDP de la India

La Ley de protección de datos personales digitales de la India de 2023 estableció un marco para el tratamiento de datos personales digitales que reconoce tanto el derecho de las personas a proteger sus datos personales como la necesidad de tratarlos con fines lícitos. Para las organizaciones, la implicación en materia de gobernanza es conocida: los datos personales digitales deben identificarse, protegerse, utilizarse para fines definidos, conservarse de manera adecuada y vincularse a flujos de trabajo que respalden los derechos individuales y la responsabilidad de la organización.

Las normativas de servicios financieros suelen centrarse en la integridad de los informes, la resiliencia de las operaciones críticas y la capacidad de demostrar que los controles funcionan en entornos complejos de datos y tecnología. Un modelo de riesgo, un cálculo de capital, un informe de operaciones o un panel de resiliencia operativa pueden obtener datos de muchos sistemas, por lo que el cumplimiento normativo depende del linaje, la asignación de controles, el historial de acceso, la calidad de los datos y la asignación documentada de responsabilidades.

Cuanto más distribuido esté el patrimonio de datos financieros, más importante será mantener una capa de gobernanza coherente para los informes, las analíticas, la gestión de riesgos, la supervisión de terceros y la resiliencia operativa.

DORA

El Reglamento sobre la resiliencia operativa digital de la UE se aplica a las entidades financieras y al entorno de riesgos derivados de terceros relacionados con las tecnologías de la información y la comunicación (TIC) que las respaldan. Se centra en la capacidad de resistir las interrupciones de las TIC, responder ante ellas y recuperarse. DORA entró en vigor el 17 de enero de 2025. La gobernanza respalda DORA al ayudar a las organizaciones financieras a comprender qué datos, sistemas y dependencias de terceros sustentan las operaciones críticas, cómo se controla el acceso y qué pruebas están disponibles para la respuesta ante incidentes, las pruebas y la supervisión.

SOX

La Ley Sarbanes-Oxley se centra en la integridad de la información financiera y los controles internos. Para los equipos de datos, los controles pertinentes para SOX suelen abarcar los sistemas, los flujos de datos y los derechos de acceso que sustentan la información financiera, los procesos de cierre y las pruebas de auditoría. La gobernanza puede ayudar a identificar fuentes de datos oficiales, documentar el linaje, aplicar la segregación de funciones y conservar el historial de cambios de los datos clave para la elaboración de informes.

Basilea III

Basilea III establece normas bancarias internacionales sobre suficiencia de capital, pruebas de tensión y riesgo de liquidez. Aunque no es solo una normativa de datos, su aplicación depende de datos fiables sobre riesgos, exposiciones, liquidez y capital. La gobernanza ayuda a los bancos a definir fuentes oficiales, mantener la calidad de los datos, documentar las transformaciones y respaldar procesos de elaboración de informes reproducibles.

BCBS 239

BCBS 239 establece principios para la agregación de datos sobre riesgos y la elaboración de informes de riesgos. La norma es especialmente relevante para la gobernanza porque depende de la exactitud, la integridad, la puntualidad, la adaptabilidad y la trazabilidad de los datos en todos los procesos de elaboración de informes de riesgos. Los controles de gobernanza, como el linaje, la propiedad, la supervisión de la calidad de los datos y los registros de auditoría, ayudan a cumplir esas expectativas.

APRA CPS 234

APRA CPS 234 establece requisitos de seguridad de la información para las entidades reguladas de Australia, con expectativas relativas a la identificación de activos de información, la eficacia de los controles, la notificación de incidentes y la gestión de terceros. La gobernanza de datos respalda CPS 234 al ayudar a las organizaciones a identificar activos de datos confidenciales y críticos, asignar responsabilidades, aplicar políticas de acceso y conservar pruebas del funcionamiento de los controles.

Algunas obligaciones de cumplimiento vienen definidas por el tipo de datos confidenciales que gestiona una organización, en lugar de por un régimen de privacidad amplio o un marco de información financiera. La HIPAA se aplica a la información sanitaria protegida, mientras que PCI DSS se aplica a los entornos de datos de titulares de tarjetas. En ambos casos, el cumplimiento depende de saber dónde residen los datos regulados, qué roles pueden acceder a ellos, cómo se protegen los valores confidenciales y si la actividad de acceso puede revisarse posteriormente.

HIPAA

La ley HIPAA regula la información sanitaria protegida en el ecosistema sanitario de Estados Unidos. La gobernanza respalda la HIPAA al identificar la información sanitaria protegida, restringir el acceso según el rol y la finalidad, documentar los flujos de datos, aplicar las protecciones adecuadas y conservar los registros de auditoría que muestran cómo se accedió a los datos sanitarios confidenciales y cómo se utilizaron.

PCI DSS

El Estándar de seguridad de datos del sector de las tarjetas de pago (PCI DSS) se aplica a las organizaciones que almacenan, procesan o transmiten datos de titulares de tarjetas. PCI DSS v4.0.1 se publicó en junio de 2024, y el PCI Security Standards Council confirmó que la revisión no modificaba la fecha de entrada en vigor del 31 de marzo de 2025 para los requisitos con fecha de aplicación futura. La gobernanza ayuda a los equipos de pagos a delimitar el alcance de los entornos de datos de los titulares de tarjetas, clasificar los datos de pago, restringir el acceso, supervisar la actividad y conservar pruebas para las evaluaciones.

Algunas obligaciones de cumplimiento se centran menos en un único tipo de datos regulados y más en si la organización puede confiar en los sistemas, los controles y los datos que sustentan las operaciones reguladas. NIS2 establece obligaciones de gestión de riesgos de ciberseguridad y notificación de incidentes para los sectores de la UE incluidos en su ámbito de aplicación, mientras que ISO 8000 proporciona una norma de calidad de los datos que puede reforzar los procesos de elaboración de informes, auditoría y recopilación de pruebas.

NIS2

La Directiva NIS2 amplía las obligaciones de ciberseguridad en los sectores críticos e importantes de la UE. Los Estados miembros de la UE debían transponer NIS2 a su legislación nacional antes del 17 de octubre de 2024, y las medidas eran aplicables desde el 18 de octubre de 2024. La gobernanza de datos respalda NIS2 mediante la identificación de los datos y sistemas vinculados a servicios esenciales, el apoyo a los flujos de trabajo de respuesta ante incidentes y la ayuda a las organizaciones para documentar el acceso, la propiedad y la cobertura de los controles.

ISO 8000

ISO 8000 es una norma de calidad de los datos centrada en la calidad y el intercambio de datos. En los programas de datos orientados al cumplimiento, ISO 8000 resulta útil porque la solidez de las pruebas normativas depende directamente de la calidad de los datos subyacentes. La propiedad, las definiciones de datos, las reglas de calidad, el linaje y la gestión de incidencias ayudan a garantizar que los informes, las auditorías y las certificaciones se basen en datos fiables.

A medida que evoluciona la normativa sobre gobernanza de datos, las organizaciones deben estar preparadas para defender la precisión, el sesgo, la explicabilidad y la seguridad de sus sistemas de IA, incluidos los datos que se utilizaron para entrenar, validar, probar o fundamentar el sistema; de dónde procedían esos datos; cómo se prepararon y qué controles rigieron su uso.

Para los equipos de datos, el cumplimiento normativo de la IA convierte los datos de entrenamiento y validación, los prompts, las fuentes de recuperación y los resultados de los modelos en activos gobernados. El conjunto de controles es el mismo, pero el objeto del cumplimiento es el sistema de IA cuyo comportamiento depende de las decisiones tomadas sobre los datos de origen.

Ley de IA de la UE

La Ley de IA de la UE establece de forma explícita la relación entre el cumplimiento de la IA y la gobernanza de datos para los sistemas de IA de alto riesgo. El artículo 10 exige que los sistemas de IA de alto riesgo que utilizan datos de entrenamiento se desarrollen a partir de conjuntos de datos de entrenamiento, validación y prueba que cumplan criterios de calidad, con prácticas de gobernanza y gestión de datos que abarquen aspectos como la recopilación y preparación de datos, el análisis de sesgos, las carencias de datos y la pertinencia y representatividad de los datos para el contexto previsto del sistema.

AI RMF de NIST

El marco AI Risk Management Framework de NIST no es una normativa, pero proporciona a las organizaciones una estructura útil para gestionar los riesgos de la IA. Sus funciones principales (gobernar, asignar, medir y gestionar) conectan las políticas, el contexto del sistema, la medición y la respuesta continua ante los riesgos.

En la práctica, esas funciones dependen de datos gobernados. Los equipos deben asignar el uso previsto de un sistema de IA, medir el rendimiento y el sesgo con datos pertinentes, gestionar los riesgos a medida que cambian los datos y el comportamiento del modelo, y conservar pruebas que puedan revisar las partes interesadas de los ámbitos jurídico, de riesgos, cumplimiento y auditoría. Un inventario de modelos no basta si la organización no puede rastrear las fuentes de datos, las transformaciones, las políticas de acceso y los datos de evaluación que dieron forma al sistema.

La gobernanza, el riesgo y el cumplimiento (GRC) conectan tres disciplinas relacionadas: cómo una organización establece y aplica normas operativas, cómo identifica y gestiona los riesgos y cómo demuestra que cumple sus obligaciones externas. En el contexto de los datos, GRC depende de los mismos detalles operativos que los equipos de datos gestionan a diario: responsables, clasificaciones, políticas de acceso, rutas de linaje, aprobaciones, excepciones y registros de auditoría.

Un programa de GRC puede definir la taxonomía de riesgos, el marco de control y la cadencia de elaboración de informes, pero la gobernanza de datos aporta las pruebas. Si un control exige restringir el acceso a datos regulados, la organización debe saber qué datos están regulados, qué roles pueden acceder a ellos, qué políticas se aplican y si queda alguna excepción abierta. Si un control exige conservar datos de información financiera, la organización necesita reglas de ciclo de vida, rendición de cuentas por parte de los responsables y pruebas de que los registros se conservaron o eliminaron de acuerdo con la política.

Más información sobre gobernanza, riesgo y cumplimiento →

Un programa de gobernanza bien gestionado adquiere más valor a medida que aumentan las obligaciones normativas, porque un mismo control puede respaldar numerosos requisitos. Por ejemplo, el linaje de datos puede respaldar la auditabilidad de la información financiera, la explicabilidad de los modelos de riesgo, el análisis de impacto para la respuesta ante incidentes y la documentación de los sistemas de IA. El control de acceso puede contribuir a la confidencialidad, la segregación de funciones, el acceso con privilegios mínimos y la minimización de datos.

Pensemos en una organización sanitaria que debe ajustarse a la HIPAA, las leyes estatales de privacidad, las políticas internas de seguridad y las obligaciones contractuales con sus partners. Sin un programa de gobernanza compartido, cada obligación podría dar lugar a un inventario independiente, una revisión de accesos independiente y una solicitud de pruebas independiente. Sin embargo, con un entorno de control común, la organización puede clasificar una sola vez la información sanitaria protegida y otros datos personales, asociar responsables y políticas a esas clasificaciones, aplicar el enmascaramiento o el acceso a filas cuando corresponda, documentar los flujos de datos y reutilizar las mismas pruebas en varias revisiones.

Esto no significa que un único control cumpla automáticamente todos los requisitos. La interpretación jurídica sigue siendo importante, y las distintas normativas pueden exigir umbrales, documentación y ciclos de revisión diferentes. Sin embargo, el cumplimiento basado en la gobernanza proporciona a los equipos una base reutilizable: los controles pueden asignarse a las obligaciones, las pruebas pueden conservarse de forma continua y las nuevas normativas pueden evaluarse con respecto a los controles existentes.

Snowflake ayuda a las organizaciones a conectar los controles de gobernanza con los flujos de trabajo de cumplimiento al acercar los metadatos, la aplicación de políticas y la auditabilidad a los propios datos. Con Snowflake Horizon Catalog, los equipos pueden descubrir, clasificar, gobernar y proteger los datos en Snowflake, incluidos los controles de acceso, enmascaramiento, restricciones a nivel de fila, linaje y clasificación de datos confidenciales.

El historial de acceso de Snowflake añade otro eslabón a la cadena operativa al registrar cuándo las consultas leen datos y cuándo las instrucciones SQL realizan operaciones de escritura, como inserciones, actualizaciones, eliminaciones y copias. Para los equipos de cumplimiento, este historial de acceso ayuda a vincular la aplicación de políticas con el registro de auditoría y las pruebas.

Además, Snowflake Compliance Center permite supervisar la posición de seguridad de una cuenta al ofrecer información general sobre esta, incluidos los hallazgos de analizadores, la preparación para la autenticación segura y la seguridad de los datos. Snowflake también proporciona documentación y certificaciones de cumplimiento a través de sus recursos de cumplimiento, incluidas certificaciones globales como SOC 1 Type II, SOC 2 Type II y certificaciones ISO, así como información adicional sobre cumplimiento por región y programa.

En conjunto, estas capacidades ayudan a las organizaciones a pasar de las intenciones por escrito a las operaciones gobernadas, y de estas a pruebas que pueden respaldar auditorías, certificaciones y revisiones normativas.

Las normativas definen obligaciones distintas, pero suelen depender de los mismos hechos operativos: qué datos existen, adónde se trasladan, quién puede acceder a ellos, cómo se protegen y si la organización puede demostrar que el control ha funcionado.

Un programa de gobernanza bien gestionado registra esos hechos como parte de las operaciones de datos habituales. La clasificación, la propiedad, el linaje, las políticas de acceso, las reglas de conservación y los registros de auditoría se convierten en controles reutilizables que pueden asociarse a leyes de privacidad, requisitos de información financiera, normas de resiliencia operativa, estándares sanitarios y de pagos, y marcos de gobernanza de la IA.