Lo que pide un auditor, o el motor de evidencias de Sekit.
Gestión de cambios y de versiones
El proceso para revisar y aprobar los cambios en los sistemas de producción antes de aplicarlos, y cómo se publican las nuevas versiones de forma controlada.
Del catálogo de evidencias de Sekit
En la práctica
Desplegar un sistema de IA debería seguir la misma disciplina que cualquier cambio en producción: revisado, aprobado, con un plan de reversión si algo sale mal. Los registros de gestión de cambios y despliegues muestran esto para el sistema de IA en específico, no solo para la aplicación que lo rodea. Un vacío común es una función de IA de un proveedor que se activa desde un panel de configuración sin ningún ticket de cambio, porque "no es código". Los auditores preguntan si un cambio reciente relacionado con IA, una nueva versión de modelo o una nueva plantilla de prompt, pasó por la misma aprobación que cualquier otro cambio en producción.
Brechas habituales
Activar una función de IA de un proveedor desde un panel de configuración se salta el proceso de gestión de cambios porque no se considera código.
No hay plan de reversión para un sistema de IA, así que una mala actualización del modelo sigue en producción mientras se resuelve el problema.
Los criterios de preparación para el lanzamiento existen para el software en general pero nunca se adaptaron a riesgos específicos de IA como un modelo degradado.
Preguntas que hará tu auditor
¿Activar una función de IA de un proveedor pasa por la gestión de cambios?
Sí, habilitar o reconfigurar una función de IA se trata como un cambio en producción que requiere la misma revisión y aprobación que cualquier otro.
¿Cuál es el plan de reversión si un sistema de IA falla tras el despliegue?
Un paso de reversión documentado, revertir la versión del modelo o desactivar la función, registrado en los registros de gestión de despliegues.
¿Quién autoriza el lanzamiento de un sistema de IA?
La persona designada en el proceso de gestión de cambios, la misma autoridad usada para cualquier lanzamiento en producción.
¿Cómo sabes que un lanzamiento fue realmente probado y aprobado antes de salir a producción?
Los registros de gestión de cambios y despliegues muestran juntos el resultado de la prueba, quien aprobó y la fecha de despliegue.
Dónde lo exige la regulación
NIS2 art. 6.4 (Gestión de cambios, reparaciones y mantenimiento) cubre esto, que aplica al despliegue de un sistema de IA igual que a cualquier cambio en producción.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.