Lo que pide un auditor, o el motor de evidencias de Sekit.
Inventario de sistemas de IA
El registro único y actualizado de los sistemas de IA que la empresa construye o utiliza, con su propósito, dueño, etapa del ciclo de vida y qué tan crítico es cada uno, junto con los modelos, librerías, plataformas, datos e infraestructura de los que depende.
Del catálogo de evidencias de Sekit
En la práctica
Documentar los recursos de IA implica mantener un solo registro que enumere cada sistema de IA que la empresa construye o compra, su propósito, su responsable y de qué depende: el modelo subyacente, la fuente de datos, la plataforma de hospedaje. Un auditor pide el inventario de sistemas de IA y verifica que esté actualizado, no que sea una exportación única, y que nombre dependencias lo bastante específicas como para que importen, como qué versión del modelo usa una función. El vacío común es un inventario que lista una herramienta por su nombre comercial sin responsable, sin detalle de dependencias y sin ninguna actualización desde que se creó para un ciclo de auditoría anterior.
Brechas habituales
El inventario de sistemas de IA enumera nombres de herramientas pero no responsable, ni detalle de dependencias, ni versión del modelo, así que no sirve para responder a un incidente.
Una nueva función de IA entró en producción sin nunca añadirse al inventario, y solo se descubrió cuando un auditor preguntó directamente.
El inventario se construyó una vez para una auditoría anterior y no se ha actualizado conforme cambiaron las dependencias de IA desde entonces.
Preguntas que hará tu auditor
¿Dónde está la lista actual de sistemas de IA que usa la empresa?
En el inventario de sistemas de IA, que enumera el propósito, el responsable, la etapa de ciclo de vida y las dependencias de cada sistema, mantenido al día y no creado solo para auditoría.
¿Cómo sabes de qué depende una función de IA?
El inventario registra los modelos, bibliotecas, plataformas y fuentes de datos de cada sistema como dependencias, revisadas para detectar puntos únicos de falla.
¿Quién es responsable de cada sistema de IA del inventario?
Cada entrada nombra a un responsable, siguiendo la misma disciplina de registro de dependencias de servicios usada para los demás servicios críticos de la empresa.
Dónde lo exige la regulación
El control op.exp.1 del ENS (Inventario de activos) exige ese inventario, que para la IA se extiende a los modelos, fuentes de datos y plataformas de los que depende cada sistema.
Pregúntale a Sekura: «¿Qué evidencia demuestra A.4.2?»