Inventario de activos de IA

Qué exige este control

Mantener un inventario integral y continuamente actualizado de todos los activos de IA en toda la organización, incluidas las aplicaciones de IA autorizadas, las API, los modelos, los complementos, las extensiones de navegador, las herramientas de IA en la sombra (shadow AI) detectadas mediante monitoreo, y los componentes de IA incorporados en software de terceros. Cada entrada del inventario debe registrar el nombre del activo, el proveedor, la clasificación de datos de las entradas y salidas, el propietario del negocio, el estado de la revisión de seguridad y el estado de aprobación.

Cómo implementarlo

Definir el esquema de inventario y la clasificación

Establecer un esquema estandarizado para los registros de activos de IA que capture: nombre del activo, tipo (SaaS, API, modelo autoalojado, componente incorporado, complemento/extensión), proveedor, versión, entorno de despliegue, clasificación de datos de las entradas y salidas, método de integración (clave de API, OAuth, extensión de navegador, SDK), propietario del negocio, fecha de la última revisión de seguridad, estado de aprobación (aprobado, condicional, en revisión, prohibido) y calificación de riesgo. Almacenar el inventario en una base de datos de gestión de configuración (CMDB) o en una herramienta de gobernanza dedicada.

Poblar mediante múltiples métodos de descubrimiento

Combinar el registro manual (exigir que los propietarios del negocio registren las nuevas herramientas de IA a través del proceso de admisión) con el descubrimiento automatizado: análisis de tráfico de red para detectar llamadas a la API de servicios de IA, escaneos de agentes de endpoint para aplicaciones de escritorio de IA y extensiones de navegador, integración con la plataforma de gestión de SaaS para identificar herramientas de IA en el inventario de concesiones de OAuth, e integración con el sistema de adquisiciones para señalar las órdenes de compra relacionadas con IA. Cotejar todas las fuentes mensualmente para identificar brechas.

Asignar la propiedad y mantener la vigencia

Designar un propietario del negocio y un contacto técnico para cada activo inventariado. Exigir que los propietarios certifiquen trimestralmente la exactitud de los registros de sus activos. Implementar alertas automatizadas cuando se detecten activos sin propietarios registrados o cuando venzan las fechas de revisión de seguridad. Eliminar los activos dados de baja y agregar los activos recién descubiertos dentro de los 5 días hábiles posteriores a su detección.

Integrar con los flujos de trabajo de gobernanza

Conectar el inventario con los procesos posteriores: la aplicación de la política de uso aceptable (bloquear los activos no aprobados), los disparadores de evaluación de seguridad de proveedores (los nuevos proveedores se ponen automáticamente en cola para su evaluación), la respuesta a incidentes (identificar rápidamente los activos afectados por proveedor) y los informes de cumplimiento (generar informes bajo demanda de los activos de IA por clasificación de datos, estado de aprobación o calificación de riesgo).

Evidencia y auditoría

• Inventario de activos de IA con todos los campos de esquema requeridos completados
• Configuraciones de herramientas de descubrimiento automatizado y resultados de los escaneos
• Formularios de admisión de registro manual y registros de aprobación
• Registros trimestrales de certificación del propietario que confirman la exactitud del inventario
• Informes de conciliación que comparan el descubrimiento automatizado con el inventario registrado
• Documentación de integración que conecta el inventario con los flujos de trabajo de gobernanza
• Registros de baja de los activos eliminados, con justificación y fecha