Gobernanza verificable de la IA.
La guía.
Casi todas las organizaciones tienen ya una política de IA. Muy pocas pueden demostrar que se cumplió en un sistema concreto, en una fecha concreta, con una persona al mando. Esta guía explica cómo cerrar esa distancia.
Gobernanza verificable de la IA:
de decir qué debería ocurrir a demostrar qué ocurrió.
«Todos los modelos de alto riesgo pasan una evaluación antes de desplegarse.»
«El modelo v3.2 pasó la evaluación E-114 el 14 de marzo. La aprobó la responsable de riesgo. Huella 7f2a…: cualquiera puede comprobar que no ha cambiado.»
Hasta hace poco, una política bien escrita bastaba. Cuatro cambios llegan a la vez y la dejan corta.
Agentes que actúan
La IA abre tickets, ejecuta código, mueve datos. Una acción sin evidencia de quién la autorizó es un riesgo operativo y legal.
Modelos que cambian
Lo evaluado en enero puede no ser lo que opera en junio. Sin evidencia por versión, la evaluación caduca en semanas.
Normas que piden prueba
El EU AI Act e ISO/IEC 42001 se auditan contra hechos: registros, versiones, supervisión humana. No contra intenciones.
Clientes que preguntan
Grandes cuentas y sector público quieren saber cómo se gobierna lo que contratan. Una respuesta verificable cierra la conversación.
No toda evidencia demuestra lo mismo.
Cada nivel responde a una pregunta.
Confundir los niveles es el error más habitual al diseñar un programa de gobernanza verificable. Cada uno añade una garantía y tiene un límite claro.
Integridad
Huella criptográfica del activo. Lo que se examina hoy es exactamente lo que existía al registrarlo.
No dice quién lo hizo ni si era correcto.
Identidad y autoridad
Quién registró la evidencia, con qué rol y bajo qué política.
No dice que esa persona revisara el contenido en detalle.
Supervisión humana
Qué se revisó, qué cambió, qué se aprobó o rechazó. Lo que pide el art. 14 del EU AI Act.
No sustituye la calidad de la revisión; la hace demostrable.
Tiempo
Cuándo existía la evidencia. Permite demostrar que una evaluación precedió a un despliegue.
El sello del registro V-Seal™ no es un sello de tiempo cualificado eIDAS.
Cinco piezas que cambian a ritmos distintos.
Un mismo registro de evidencia.
La IA de una organización no es un objeto. La gobernanza verificable trata cada pieza por separado y las vincula en el registro V-Seal™.
Sistemas y modelos
- Inventario y finalidad
- Nivel de riesgo
- Versiones y evaluaciones
- Aprobaciones
Agentes
- Identidad y autoridad
- Límites y herramientas
- Acciones relevantes
- Intervenciones humanas
Código
- Cambios y revisión
- Ratio IA · Humano
- Despliegues
- Dependencias
Datos y documentación
- Base jurídica y conservación
- Documentación técnica
- Políticas en versiones controladas
Decisiones humanas
- Aprobaciones y rechazos
- Excepciones con plazo
- Incidentes y cierre
Cómo funciona V-Seal™: la huella se registra, el contenido no sale de su perímetro.
Huella
SHA-256 del activo o del manifiesto. El archivo no se envía ni se almacena en V-PROOF.
Contexto
Sistema, versión, política, responsable, ratio IA · Humano y supervisión, vinculados a la huella.
Sello
Registro con referencia única y fecha. Cualquier cambio posterior rompe la correspondencia.
Verificación
Un tercero comprueba en el portal público, sin cuenta: «Coincide» o «No encontrada».
Gobernanza verificable y cumplimiento:
cada marco pide algo, la evidencia es la misma.
No es un marco más. Es la forma de demostrar los que ya tiene o va a tener.
No hace falta gobernarlo todo el primer día.
Hace falta demostrar lo primero.
Los programas fracasan por ambición: quieren cubrir toda la IA antes de tener una sola evidencia verificable. El camino contrario funciona.
Inventario
Qué sistemas de IA hay, quién responde de cada uno, qué nivel de riesgo tienen.
Diagnóstico
Qué obligaciones ya aplican, qué evidencia existe y cuál es solo declarativa. Una semana.
Un sistema
El de mayor riesgo o el que más preguntan los clientes. Se gobierna de principio a fin.
Primeras evidencias
Evaluación, aprobación, versión y supervisión, selladas y verificables. Luego, repetir.
Lo que suelen preguntar antes de empezar.
¿En qué se diferencia de una herramienta GRC o de un SIEM?
Un GRC organiza políticas, riesgos y controles; un SIEM recoge eventos de seguridad. Ninguno produce evidencia que un tercero pueda verificar sin confiar en la propia herramienta. La gobernanza verificable se apoya en ambos y añade esa capa: huella, contexto y registro independiente.
¿Sustituye a la auditoría o a la certificación?
No. Cambia el tiempo y la fiabilidad: en lugar de reconstruir evidencias con correos y capturas, el auditor verifica registros con huella, fecha y responsable.
¿Qué sale del perímetro de mi organización?
La huella y el contexto de gobernanza que usted decide registrar. El contenido del activo, sea documento, modelo, datos o código, no se envía ni se almacena en V-PROOF. Puede verlo parte por parte en Confianza.
¿Qué pasa si el documento o el modelo cambia después de sellarlo?
Cualquier cambio da una huella distinta y la copia modificada devuelve «No encontrada». La versión original sigue siendo verificable; una versión nueva legítima se sella como tal y queda la cadena entre ambas.
¿Es lo mismo que una firma electrónica?
No. La firma electrónica cualificada acredita la identidad del firmante bajo eIDAS. El sello V-Seal™ acredita la integridad de una evidencia, su contexto de gobernanza y el momento en que existía en el registro. Son complementarios.
¿Sirve para la IA que compramos a terceros?
Sí, y es el caso más frecuente. Se gobierna el uso que la organización hace del sistema: finalidad, evaluación, aprobación, configuración, supervisión e incidentes.