Lo que pide un auditor, o el motor de evidencias de Sekit.
Monitorización y registros de eventos del sistema de IA
Cómo se vigila un sistema de IA en uso y qué se registra: monitorización de desempeño, deriva del modelo, mal uso, resultados dañinos y fallos de control frente a umbrales y respuestas definidas, y qué recoge el registro de eventos sobre entradas, salidas, decisiones y anulaciones humanas.
Del catálogo de evidencias de Sekit
En la práctica
Esto significa que las entradas, salidas, decisiones y anulaciones humanas del sistema de IA quedan registradas con suficiente detalle y una marca de tiempo confiable para reconstruir lo ocurrido, no solo que algo se ejecutó. Un chatbot de soporte debe conservar transcripciones de muestra, puntuaciones de confianza y cada caso en que una persona anuló la respuesta. Un auditor pide los registros de monitoreo y eventos de IA y verifica tres cosas: si hay umbrales definidos de desviación y mal uso, si los registros alimentan la misma plataforma central que el resto de los sistemas, y si la retención alcanza para investigar un incidente. La brecha habitual es una herramienta de proveedor sin acceso a sus propios registros.
Brechas habituales
Un equipo adopta una herramienta de IA de proveedor que no permite exportar sus propios registros, de modo que anulaciones y errores no dejan rastro en ninguna parte.
Nunca se definen umbrales de desviación y mal uso, por lo que nadie notaría un chatbot degradándose en silencio o mal usado durante semanas.
Los registros de eventos de IA quedan en el panel del proveedor en vez de la plataforma central de registros, y la retención y el acceso terminan apartándose del resto de los sistemas.
Preguntas que hará tu auditor
¿Cómo sabes si este sistema de IA empieza a producir salidas dañinas o incorrectas?
Monitoreo contra umbrales definidos de desviación, mal uso y salidas dañinas, registrado en los registros de monitoreo y eventos del sistema de IA, con una respuesta definida al cruzar un umbral.
¿Dónde se guardan los registros de este sistema de IA, y por cuánto tiempo?
Los registros alimentan la misma plataforma central de registros que otros sistemas, con una retención definida y aplicada de forma consistente, no dejada al valor por defecto del proveedor.
¿Puedes mostrarme un caso donde una persona anuló la salida de la IA?
Se conservan registros de muestra de entradas, salidas y anulaciones humanas en el registro de eventos, de forma que se puede extraer y revisar una anulación específica.
¿Quién revisa estos registros, y con qué frecuencia?
Un responsable de seguridad o TI designado revisa los registros de monitoreo y eventos del sistema de IA en un ciclo fijo, por ejemplo mensual, verificando umbrales, señales de desviación y cualquier anulación sin seguimiento.
Dónde lo exige la regulación
El deber de seguridad del tratamiento del RGPD (32.1.b) cubre sistemas de IA que manejan datos personales: sin registros de eventos no puedes demostrar integridad ni investigar una falla.
NIS2 art. 3.2 (Supervisión y registro) no exime a la IA; un chatbot o modelo necesita la misma disciplina de registro que cualquier otro sistema.
Pregúntale a Sekura: «¿Qué evidencia demuestra A.6.2.8?»