Cómo preparar tu empresa para una auditoría de agentes de IA en LATAM
La notificación llega un viernes por la tarde: el regulador (APDP, CMF o auditor corporativo) solicita el expediente completo de las decisiones tomadas por tus agentes de IA en los últimos 6 meses. Tienes 30 días. ¿Tu empresa tiene evidencia matemática de cada acción, o solo archivos .log editables en CloudWatch?
Las 4 preguntas críticas que hará todo auditor de IA en LATAM
- (a) Mapa de decisiones. ¿Qué herramientas mutativas (execute_payment, approve_credit, update_record) ejecuta el modelo sin supervisión humana directa?
- (b) Fundamentación legal (Grounding & RAT). ¿Bajo qué base jurídica específica (Art. 13 Ley 21.719 / LGPD / RGPD) se procesó cada dato en el instante exacto de la inferencia?
- (c) Integridad y no-repudio. ¿Cómo demuestra la empresa que los registros no fueron alterados retrospectivamente por un administrador de sistemas?
- (d) Ejercicio de derechos ARSOP (Chile) / ARCO (resto de LATAM). ¿Qué canal técnico permite pausar, rectificar o suprimir el tratamiento de un titular en menos de 30 días (Art. 11, Ley 21.719)?
El checklist de preparación de 5 puntos (Readiness Checklist)
Inventario de agentes y control de autoridad
Delimita permisos mediante listas de control de acciones (Action ACL) deterministas, fuera del prompt.
Sanitización de datos personales (DLP activo)
Constata que la PII (RUT, cuentas bancarias, emails) no se filtra hacia proveedores LLM externos (ActiveRedact).
Ledger criptográfico de decisiones
Expedientes inmutables sellados con Ed25519 y estampillado temporal RFC 3161 (Ley 19.799).
Protocolo de atención ARSOP
Flujo automatizado para responder acceso o supresión en plazos legales (Art. 11 Ley 21.719).
Trazabilidad del ciclo de vida de las reglas
Documenta quién creó cada regla, cuándo, con qué base legal y qué versión estaba activa en el momento de cada decisión. El GRC Wizard de EAB-64 lo registra automáticamente con sellado criptográfico.
De los logs mutables al Evidence Package: qué presentas ante la fiscalización
Presentar logs tradicionales (Datadog/ELK) no alcanza. Ante una fiscalización se presenta el Evidence Package: evidencia verificable en O(1), sin otorgar credenciales de base de datos ni accesos a la nube del cliente (vía /validar o el comando CLI offline eab64 verify). El registro de bloqueos preventivos (Fail-Closed) sirve además como prueba de debida diligencia: demuestra que el sistema frenó transacciones no autorizadas.
| Dimensión | Logs (Datadog / ELK) | Evidence Package (EAB-64 Sentinel) |
|---|---|---|
| Integridad | Mutable por administradores | Inmutable — Ed25519 + Merkle + RFC 3161 |
| Base legal | Sin vínculo a RAT/grounding | Vincula rule_id + versión + base legal |
| Verificación | Requiere acceso a la infraestructura | O(1), sin credenciales, vía /validar o CLI |
| Valor probatorio | Narrativa | Evidencia forense (Ley 19.799) |
El cronómetro regulatorio en LATAM: plazos que no puedes ignorar
Entrada en vigencia plena de la Ley 21.719 (Chile) y fiscalización activa de la APDP.
Plazo perentorio para responder requerimientos ARSOP (Art. 11, Ley 21.719).
Notificación obligatoria de incidentes graves a la CMF para entidades de Bloque 3 (NCG 502 / NCG 454).
Prescripción de infracciones gravísimas (Art. 40, Ley 21.719; multas hasta 20.000 UTM).
Nota de precisión: para el contexto chileno se usa estrictamente ARSOP (Ley 21.719), con su correlato ARCO para el resto de LATAM. El RAT documenta qué datos se tratan. La Ley 19.799 da marco de validez probatoria a firmas electrónicas y sellos de tiempo. No existe una «IA certificada por la CMF»: los reguladores fiscalizan a la entidad, no homologan software. Este artículo no constituye asesoría legal.
Prepara tu sandbox de auditoría
Despliega un entorno y comprueba un paquete de evidencias en vivo antes de la próxima fiscalización.