Gobernanza de agentes de IA: autonomía con controles incorporados

Cada decisión que toca un agente se asigna a uno de cinco niveles de autonomía antes de construirlo: asistir, recomendar, actuar con aprobación, actuar e informar o actuar dentro de límites. Antes de producción, el agente recibe los controles descritos en esta página: acceso de mínimo privilegio, casos de referencia, umbrales de revisión humana, pista de auditoría por acción, versiones fijadas de prompts y modelos y apagado inmediato. Después se monitorea y solo cambia si supera las pruebas.

No. No contamos con certificaciones ISO 27001, SOC 2 ni ISO 42001, y no afirmamos tenerlas. Diseñamos controles que respaldan su propio programa de cumplimiento: los relacionamos con sus controles internos y su evidencia de auditoría, generamos los registros, versiones y constancias de aprobación que pide un revisor, y acordamos con usted el acceso, el manejo de datos y el control de cambios antes de la puesta en producción. La certificación de su entorno corresponde a sus auditores.

Una persona identificada, acordada antes de construir el agente. Cada nivel de autonomía define quién decide: la persona en Asistir y Recomendar, un aprobador designado en Actuar con aprobación y, en los dos niveles en que el agente actúa por su cuenta, el responsable del proceso que fijó los límites y quienes revisan excepciones y muestras. Cada acción queda registrada con sus entradas, decisión y versiones, para poder ver qué decidió el agente y por qué.

Los proveedores de modelos se configuran para que sus datos no se usen en entrenamiento, según los términos de cada uno. La región de alojamiento, los flujos de datos y los subencargados aprobados se documentan en el acuerdo. Los datos personales se identifican en el diseño y se minimizan, enmascaran o excluyen antes de llegar al modelo, cuando el proceso lo permite.