Mantén las obligaciones durante toda la vida del sistema
¿Cubren nuestros controles el sistema antes de que exista y después de apagarlo, o solo mientras funciona?
Baseline: 1Enhanced: 23 controles
A quién se aplica
Se entra en cada sistema de IA. Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Aplica el marco a lo largo de toda la vida de cada sistema de IA —desde antes de construirlo hasta después de retirarlo— y no solo en el momento del lanzamiento. El fallo habitual es concentrar todo el gobierno en la compuerta de puesta en marcha y dejarlo caducar después: el sistema se aprueba y entonces funciona sin vigilancia, deriva sin monitorización y acaba abandonado en vez de retirado. Un gobierno que se detiene en el lanzamiento gobierna el momento menos arriesgado de la vida de un sistema. Repártelo por todas las fases, y asegúrate de que alcanza a las fases que todo el mundo olvida: el diseño que precede a la construcción y la baja que debería seguir al abandono.
Qué hacer
Incorpora las obligaciones desde el diseño hasta la retirada, no solo en el lanzamiento. Los controles pertinentes de todos los dominios aplican en todas las fases: requisitos y diseño, construcción y adaptación, despliegue e integración, operación y monitorización, y retirada. El marco ya reparte controles por estas fases; esta área es la instrucción de comprobar que ninguno caduca una vez que el sistema está en marcha, es decir, que la monitorización, la supervisión y la gestión de riesgos continúan tanto tiempo como el sistema.
No dejes que el lanzamiento sea la última decisión. Pon compuertas de aprobación entre fases para los sistemas por encima de tu umbral de riesgo y —la fase que casi siempre se salta— trata la retirada como un evento gobernado con sus propias obligaciones: la disposición segura de los datos, la destrucción o el archivado del modelo, la purga de los almacenes derivados y la revocación de todas las credenciales y conexiones, tal como fija el ciclo de vida de gobernanza. Un sistema apagado pero no retirado es un riesgo permanente que simplemente se ha quedado callado.
Controles
Baseline1 controles
Control 238
Al retirar un sistema, suprime o devuelve los datos que contenía y revoca sus credenciales y conexiones.
BaselinePreventivotodos los rolespor sistema
Qué es
Lo mínimo que hace toda organización cuando se apaga un sistema, para que las claves de un agente abandonado no sigan siendo una puerta abierta; el desmantelamiento completo del Dominio 1 añade el archivo del modelo, la purga de los almacenes derivados y la transferencia de conocimiento.
Cómo implantarlo · Pasos
Enumera lo que contenía el sistema: archivos subidos, historial de conversaciones, datos guardados en el proveedor, carpetas conectadas
Bórralo, o solicita al proveedor su borrado o devolución, y conserva la confirmación
Revoca claves de API, tokens de acceso, cuentas de servicio y licencias de usuario
Desconecta las integraciones: correo, almacenamiento de archivos, aplicaciones de negocio, webhooks, automatizaciones programadas y cualquier permiso de agente
Registra la fecha, quién lo hizo y qué se eliminó o revocó
Cómo arrancar
Cuando se apague una herramienta, la persona responsable completa esa misma semana una lista de comprobación de una página con estos pasos.
Evidencia
La confirmación de borrado o devolución y el registro de revocación de cada sistema retirado.
Modo: ligero / estándar / completo
ligero
El responsable recorre la lista y archiva la confirmación de borrado del proveedor.
estándar
Sistemas la completa con el responsable y comprueba en la gestión de accesos que no queda nada.
completo
La retirada se tramita como cambio; seguridad verifica la revocación y se añade el desmantelamiento completo.
Enhanced2 controles
Control 236
Aplica los controles pertinentes de cada dominio en todas las fases del ciclo de vida.
EnhancedPreventivotodos los rolespor sistema
Qué es
Diseño, construcción, despliegue, operación y retirada, sin que ninguno decaiga una vez que el sistema está en producción.
Cómo implantarlo · Contenido mínimo
Fases: diseño, construcción o adaptación, despliegue o integración, operación y monitorización, retirada
Por sistema: cada control aplicable asignado a la fase o fases en que actúa
Controles que deben seguir funcionando tras el lanzamiento: monitorización, supervisión humana, actualización de riesgos, revisión de accesos, cada uno con responsable y frecuencia
Estado por control: en funcionamiento, interrumpido o aún no aplicable
Comprobación cada seis meses de que los controles posteriores al lanzamiento siguen funcionando
Controles de retirada definidos de antemano, antes de la puesta en producción
Cómo arrancar
Para cada sistema en uso, enumera los controles aplicados en el lanzamiento y comprueba cuáles siguen funcionando hoy.
Evidencia
El mapa de fases y controles con su estado actual y los registros generados por los controles en operación.
Modo: ligero / estándar / completo
ligero
Cada responsable mantiene una lista breve por fase y marca dos veces al año los controles vivos.
estándar
Los responsables mantienen el mapa; gobierno revisa cada seis meses los interrumpidos.
completo
El ciclo de vida se sigue en el inventario, con alertas por controles interrumpidos.
Control 237
Establece compuertas en las transiciones de los sistemas de mayor riesgo y gobierna la retirada como un evento.
EnhancedPreventivotodos los rolespor sistema
Qué es
Aprobación entre fases; desmantelamiento con todas sus obligaciones, no un apagado discreto.
Cómo implantarlo · Pasos
Fija el umbral: p. ej. todo sistema en Enhanced o Advanced pasa por puntos de aprobación
Define las aprobaciones diseño → construcción, construcción → despliegue y operación → retirada, cada una con aprobador nominal y criterios de entrada
Considera pendiente de retirada todo sistema sin responsable o sin uso durante un periodo fijado (p. ej. tres meses)
Plan de retirada: disposición segura de los datos, destrucción o archivo del modelo, purga de almacenes derivados, revocación de toda credencial y conexión
Firma de retirada solo cuando la lista de comprobación esté completa y evidenciada
Cómo arrancar
Redacta la lista de comprobación de retirada y aplícala primero a cualquier sistema de IA que ya no se use pero siga encendido.
Evidencia
Las aprobaciones de cambio de fase y los registros de retirada completados por sistema.
Modo: ligero / estándar / completo
ligero
La dirección aprueba cada transición por correo y firma la retirada.
estándar
El responsable de gobierno de IA aprueba transiciones y retiradas con la evidencia del responsable.
completo
Las aprobaciones son pasos formales del comité de IA; seguridad verifica la retirada.
Evidencia
La evidencia de que los controles persisten durante la operación y no solo en el lanzamiento; las aprobaciones de transición entre fases; los registros de retirada completados. Los registros de borrado o devolución y los registros de revocación de cada sistema retirado.