DATOS
Responsable: Oficial de Protección de Datos / Equipo de Privacidad / CISO
Controles de datos de IA
Abordar los riesgos únicos de la entrada, retención y generación de datos en los sistemas de IA, que a menudo difieren de las necesidades estándar de protección de datos.
Mapeo de marcos de referencia
Controles de cada marco de referencia de origen que se mapean a este dominio.
| Marco de Referencia | Controles Mapeados |
|---|---|
| ISO 42001 |
A.8 Datos para sistemas de IA
Cl.7 Soporte
Cl.8 Operación
|
| NIST AI RMF |
GV-1 Políticas
MP-2 Contexto y propósito
MP-4 Requisitos de datos
MS-2 Rendimiento
|
| OWASP LLM |
LLM06 Divulgación de información sensible
LLM02 Salida insegura
|
| OWASP Agentic |
ASI03 Envenenamiento de datos y modelos
ASI08 Cumplimiento y regulación
|
Controles
3 controles distribuidos entre el Nivel 1 (esencial) y el Nivel 2 (avanzado).
Lista de verificación de auditoría
Elementos de la lista de verificación agrupados por control.
- ☐ La política de entrada de datos existe, está actualizada y vincula explícitamente los niveles de clasificación de datos con las interacciones de IA permitidas
- ☐ Los controles DLP están activos en todas las rutas de acceso aprobadas de herramientas de IA (navegador, gateway de API, endpoint)
- ☐ Los registros de reconocimiento de usuarios confirman la aceptación de la política antes del acceso a la herramienta de IA
- ☐ Las auditorías trimestrales de muestra de interacciones de IA están documentadas con hallazgos y acciones de remediación
- ☐ Los pipelines de datos automatizados incluyen puntos de control de validación de clasificación antes del envío a la IA
- ☐ El cronograma de retención existe y vincula cada categoría de datos de interacción con IA a un período de retención definido con justificación regulatoria
- ☐ Los DPA con proveedores de IA abordan explícitamente la retención de datos, la exclusión del entrenamiento y los procedimientos de eliminación
- ☐ Los avisos de privacidad se presentan a los usuarios antes de que se recopilen o almacenen los datos de interacción con IA
- ☐ Los mecanismos de purga automatizada están operativos y los registros confirman la ejecución según el cronograma
- ☐ Las auditorías trimestrales verifican que no existan datos de interacción huérfanos más allá de los períodos de retención
- ☐ El escaneo de PII posterior a la generación está activo en todos los canales de salida de IA en producción
- ☐ Las reglas de detección cubren, como mínimo: nombres, correos electrónicos, números de teléfono, identificadores nacionales y números de cuentas financieras
- ☐ El procedimiento de respuesta a incidentes de fuga de PII está documentado e incluye los plazos de notificación regulatoria
- ☐ Se realizan evaluaciones de riesgo de reidentificación inferencial para los casos de uso de IA de alto riesgo
- ☐ Las políticas de salida basadas en roles ajustan la supresión de PII según el nivel de autorización del consumidor