Para cumplimiento y riesgo
Qué marco corresponde a qué evidencia, qué contiene un informe, qué no afirma y qué no mapeamos en absoluto.
La evidencia que hay debajo de todo.
Cada decisión de política se escribe como evento de auditoría en una cadena de hashes SHA-256, con instantáneas Merkle cada hora y una verificación de cadena que puedes ejecutar tú sobre cualquier rango de fechas. Borrar o modificar a posteriori se detecta. Los eventos llevan el agente, la herramienta, los argumentos, la decisión y el motivo, con redacción de datos personales aplicada a la entrada, y se exportan a tus propios sistemas.
Qué corresponde a qué.
- SOC 2 — siete criterios de los Trust Services Criteria (CC6.1, CC6.2, CC6.3, CC7.1, CC7.2, CC7.3, CC8.1), con el control de accesos y la vigilancia de cambios evidenciados desde decisiones reales del proxy, no desde capturas de pantalla.
- ISO/IEC 42001 — ocho controles del Anexo A son atestiguables por máquina desde evidencia viva (A.2.2, A.6.2.6, A.6.2.8, A.7.5, A.8.4, A.9.2, A.9.4, A.10.3). El resto del Anexo A y las cláusulas del sistema de gestión son evidencia documental.
- EU AI Act — documentación técnica del Anexo IV y notificación de incidentes graves del artículo 73. Las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027 para los sistemas del Anexo III y desde el 2 de agosto de 2028 para los productos del Anexo I, según el Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744; los artículos de prácticas prohibidas ya están en vigor.
- NIST AI RMF 1.0 — ocho subcategorías son atestiguables por máquina desde evidencia viva. El resto son evidencia documental, y el informe dice cuál es cuál en lugar de mezclarlas.
Lo que el informe no es.
No es una opinión SOC 2 Tipo I ni Tipo II, no lo emite un organismo acreditado y no es un certificado de conformidad. Es el paquete de evidencia que te pide un auditor o el equipo de seguridad de tu cliente. Cada informe generado lleva esa advertencia en su propia portada: no está en la letra pequeña de una página comercial.
Lo que no mapeamos, y no vamos a fingir que sí.
Hoy no hay mapeo de DORA, ni de NIS2, ni del ENS en el producto. Si estás sujeto a ellos, lo que te damos es el registro de base — qué agente, qué herramienta, qué datos, qué se bloqueó y por qué —, que es el material con el que se responden esas obligaciones. Quien te ofrezca un informe DORA terminado generado desde el tráfico de tus agentes te está describiendo algo que todavía no existe.
Empieza por un piloto
Dos semanas, en modo observación, contra tus propios agentes. Al final te llevas el registro de llamadas, el conjunto de políticas que habríamos aplicado y la lista de llamadas que se habrían bloqueado. Si esa lista sale vacía, también es una respuesta útil.