Cumplimiento y postura del CISO
Detallamos los marcos regulatorios por región: GDPR, DORA y la EU AI
Act para Europa; SOC 2, GLBA, SOX, secreto profesional y residencia de
datos para EE. UU. y el mercado global; y los regímenes de protección
de datos junto con la LGPD para América Latina. Esta visión consolida
los requisitos por sector de nuestras páginas de Industrias. El
aislamiento de agentes y el control de acceso se definen como
mecanismos de seguridad explícitos y verificables.
Marcos regulatorios por región
Cada región opera bajo exigencias regulatorias específicas. A
continuación presentamos las normativas principales y la arquitectura
dentro de su red diseñada para satisfacerlas.
EE. UU. y mercado global
Versión principal: /en/ (English).
-
Modelo de control SOC 2 (Trust Services Criteria)
Los Criterios de Servicios de Confianza (Trust Services Criteria) que las empresas y sus auditores exigen. La infraestructura dentro de su red mantiene los controles de seguridad, disponibilidad, integridad de procesamiento, confidencialidad y privacidad certificados en el informe SOC 2. Su organización retiene el control directo, sin depender del modelo de responsabilidad compartida de la nube pública.
-
Salvaguardas GLBA (Safeguards Rule)
La norma Safeguards Rule regula la protección de la información financiera no pública de los clientes. El acceso, almacenamiento y eliminación de los datos se gestionan exclusivamente dentro de su red, aislados de entornos compartidos en la nube pública.
-
Controles internos de SOX sobre información financiera
Obligaciones de control interno y gobernanza para empresas públicas. Reguladores, auditores y contrapartes pueden verificar el secreto profesional y la residencia de datos directamente dentro de la infraestructura operada en su red.
UE y Europa Central y Oriental
Versión principal: /pl/ (Polski).
-
GDPR
El Reglamento General de Protección de Datos de la Unión Europea. La infraestructura dentro de su red mantiene el procesamiento, la retención y la transferencia de datos en la jurisdicción que usted elige, sin depender de regiones de nube pública.
-
DORA (resiliencia operativa)
El Reglamento de Resiliencia Operativa Digital (DORA) regula los sistemas TIC en el sector financiero y el riesgo de terceros. La infraestructura dedicada dentro de su red, junto con la telemetría local, le da control operativo directo. El procesamiento y la telemetría permanecen dentro de su red de forma predeterminada, y cualquier conexión externa es una configuración explícita que su equipo define y puede revocar.
-
EU AI Act (clasificación de riesgo)
La clasificación basada en riesgo que la Ley de IA de la UE impone a los sistemas en el sector legal, financiero y tecnológico, desde la documentación técnica hasta la evaluación continua. Planificamos cada implementación según el nivel de riesgo específico de su caso de uso.
América Latina
Versión principal: /es/ (Español).
-
LFPDPPP de México
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares regula el tratamiento de datos en México. La residencia y el procesamiento se ejecutan dentro de la red gestionada por su organización, evitando entornos compartidos en la nube.
-
Ley 25.326 de Argentina
La Ley de Protección de los Datos Personales de Argentina regula el tratamiento en su jurisdicción. La infraestructura dentro de su red mantiene el procesamiento y el almacenamiento de datos en la jurisdicción que usted elige, y eso es lo que examinan los regímenes locales de residencia y tratamiento de datos.
-
Ley 1581 de Colombia
La Ley 1581 de 2012 regula el tratamiento de datos personales en Colombia. La residencia y el procesamiento de los datos se mantienen íntegramente dentro de la red de su organización.
-
Ley 19.628 de Chile
La Ley 19.628 sobre Protección de la Vida Privada regula la protección de datos en Chile. La infraestructura dentro de su red mantiene el procesamiento y el almacenamiento de datos en la jurisdicción que usted elige, y eso es lo que examinan los regímenes locales de residencia y tratamiento de datos.
-
Ley 29733 de Perú
La Ley 29733 de Protección de Datos Personales regula el tratamiento de información en Perú. La infraestructura dentro de su red mantiene el procesamiento y el almacenamiento de datos en la jurisdicción que usted elige, y eso es lo que examinan los regímenes locales de residencia y tratamiento de datos.
-
Preparación para la LGPD (Brasil)
La Lei Geral de Proteção de Dados (LGPD) rige el tratamiento de datos personales de titulares en Brasil. El despliegue dentro de su red mantiene la residencia de datos y los controles técnicos en su interior, y apoya su postura frente a la LGPD desde el primer día.
Ámbito de control
Sandboxing de agentes y control de acceso
Los marcos normativos establecen los requisitos, pero la seguridad
depende de la arquitectura técnica. Nuestro modelo ofrece al CISO una
base auditable: los agentes de IA se ejecutan exclusivamente en
infraestructura privada dentro de su red. Las llamadas de inferencia y
las herramientas operan en un entorno de sandbox estricto. Los
permisos de acceso garantizan la residencia de datos exigida en cada
región.
-
Dentro de su red de forma predeterminada. En la configuración
predeterminada, nada de lo que procesa el sistema sale de su red: las
llamadas a los modelos, las acciones de herramientas y la telemetría
quedan dentro. Cuando un despliegue decide conectar un servicio externo,
esa conexión es una configuración explícita que su equipo define y puede
revocar - y la pasarela registra cada llamada que transporta.
-
Inferencia y herramientas en sandbox. Todas las llamadas
al modelo y la ejecución de herramientas ocurren estrictamente dentro
de su red. Las acciones de las herramientas están limitadas a entornos
de ejecución aislados, impidiendo que los agentes excedan sus permisos
autorizados.
-
Acceso alineado con los controles regionales. El acceso
se adapta estrictamente a los requisitos de control y residencia de
datos de cada región. El principio de mínimo privilegio se aplica a
nivel de red y no mediante etiquetas genéricas de cumplimiento.
La ruta de cada solicitud
En la configuración predeterminada, cada solicitud permanece dentro
de su red: viaja de su estación de trabajo al servidor de inferencia
y de regreso, y el límite de la red se mantiene cerrado. Esa es la
ruta de la derecha. La ruta de la izquierda es la excepción que un
despliegue puede configurar: la solicitud cruza el límite de su red
hacia una región pública de la nube y regresa, y cada cruce es una
configuración explícita que su equipo define y puede revocar.
Pasos siguientes
Los marcos anteriores consolidan los requisitos de cumplimiento de
nuestras páginas de Industrias. En la etapa de Desarrollo y validación,
comprobamos estos controles de aislamiento y acceso sobre
infraestructura real antes de comprometer capital. Explore los detalles
por sector, revise la validación técnica o agende una consulta inicial a
continuación.
