Marcos de cumplimiento

ShieldAgent se mapea con los tres principales marcos de gobernanza de IA: Ley de IA de la UE, ISO 42001 y NIST AI RMF. La evidencia se recopila automáticamente del registro de auditoría en tiempo real.

Ley de IA de la UE

Fecha límite Anexo III: 2 dic. 2027

La Ley de IA de la UE impone requisitos de documentación, gestión de riesgos y supervisión humana a los sistemas de IA de alto riesgo. ShieldAgent genera documentación técnica del Anexo IV a partir de tus datos proxy en tiempo real, cubriendo, en parte, 5 de los 9 puntos del Anexo IV (1, 2, 3, 4 y 6) — los puntos 5, 7, 8 y 9 no están cubiertos. Para despliegues en Verdict API (Posiciones 2 y 3), la documentación del Anexo IV incluye el mecanismo de aplicación del cliente y la tasa de inscripción de confirmaciones REST — telemetría declarada por el cliente, no una prueba independiente de que tu código aplicó el veredicto.

Cobertura

✓S1Descripción general del sistema (Anexo IV, punto 1)

✓S2Proceso de diseño y desarrollo (Anexo IV, punto 2)

✓S3Monitoreo y supervisión humana (Anexo IV, punto 3)

✓S4Idoneidad de las métricas de rendimiento (Anexo IV, punto 4)

✓S5Cambios a lo largo del ciclo de vida (Anexo IV, punto 6)

✓S6Evaluación de la supervisión humana (subapartado de los puntos 2 y 3 del Anexo IV)

✓S7Precisión, solidez y ciberseguridad (subapartado de los puntos 2 y 3 del Anexo IV)

✓S8Gobernanza y gestión de datos (subapartado del punto 2 del Anexo IV)

Ejemplo Ley de IA de la UE →

ISO 42001

Norma Internacional

ISO/IEC 42001:2023 es una norma de sistemas de gestión de IA. ShieldAgent mapea evidencias de auditoría a las cláusulas 4–10, pero los eventos de ejecución no satisfacen ninguna automáticamente. Cada cláusula requiere documentación y atestación propias antes de marcarse como cubierta.

Cobertura

○Cláusula 4Contexto de la organización

○Cláusula 5Liderazgo y política de IA

○Cláusula 6Planificación y evaluación de riesgos

○Cláusula 7Apoyo y competencia

○Cláusula 8Operaciones y controles del sistema de IA

○Cláusula 9Evaluación del rendimiento y auditoría

○Cláusula 10Mejora y gestión de incidentes

Ejemplo de puntuación de riesgo →

NIST AI RMF

Marco voluntario de EE. UU.

El Marco de Gestión de Riesgos de IA del NIST proporciona una estructura voluntaria para gestionar los riesgos relacionados con la IA. Organiza los controles en cuatro funciones principales: Gobernanza, Mapeo, Medición, Gestión.

Cobertura

✓GOVERNPolíticas, responsabilidad, cultura

✓MAPContexto e identificación de riesgos

✓MEASUREMétricas, pruebas, monitoreo

✓MANAGEPriorizar, responder, recuperar

Ejemplo de cumplimiento →

Cumplimiento por posición de despliegue

La solidez de la evidencia de cumplimiento depende de dónde se sitúa ShieldAgent en tu arquitectura. Las posiciones aplicadas por infraestructura proporcionan registros de aplicación automáticos y a prueba de manipulaciones. El Verdict API (Posiciones 2 y 3) coloca la responsabilidad de aplicación en el cliente.

Verdict API (Posiciones 2 y 3) — Requisito del Art. 26 de la Ley de IA de la UE

El sistema de gestión de riesgos del Artículo 9 de la Ley de IA de la UE es una obligación del proveedor, no del desplegador. Como desplegador, el Artículo 26 exige en cambio que supervises el funcionamiento del sistema conforme a las instrucciones del proveedor, asignes supervisión humana competente y, en la medida en que los controles, conserves durante al menos seis meses los registros generados automáticamente por el sistema de alto riesgo, salvo que otra normativa aplicable exija un plazo distinto. Al usar el Verdict API (Posiciones 2 y 3), la aplicación la realiza el código propio del cliente — no la infraestructura de ShieldAgent. Para respaldar esas obligaciones del Art. 26, las organizaciones deben:

Documentar cómo el mecanismo de aplicación se integra en su propia supervisión operativa del sistema.
Llama a POST /tenants/:tenantId/verdict-confirmations con JSON {"auditEventId":"evt-uuid","executed":true} tras cada veredicto con el auditEventId de la respuesta del análisis y el valor booleano executed que refleje la acción de tu código. El registro de auditoría recoge una confirmación declarada por el cliente, no una prueba independiente de aplicación. Autenticación REST.
Monitorea la tasa agregada de inscripción de confirmaciones REST en el tráfico de Verdict API con escaneos de veredicto. El control interno S3.5 del análisis de brechas del Anexo IV de ShieldAgent exige al menos el 80% para estos despliegues; no es una tasa exigida por la Ley de IA de la UE. El control se cumple de forma vacía antes de que existan escaneos de veredicto, y una sola solicitud omitida no lo hace fallar por sí sola. Cuando la tasa agregada de solicitudes a POST /tenants/:tenantId/verdict-confirmations cae por debajo de ese umbral, el control se marca como no cumplido en los informes del Anexo IV.

Usar el Verdict API sin aplicar los veredictos puede comprometer tu postura de cumplimiento para sistemas de IA de alto riesgo. Para bloquear llamadas enrutadas en modo de aplicación, considera la Posición 1 (proxy en línea); el modo sombra no bloquea.

Posición 1 — Aplicación por infraestructura (Proxy en línea)

Proxy en línea entre agente y servidor MCP

Para llamadas que pasan por el proxy en línea en modo de aplicación, ShieldAgent aplica las decisiones de permitir/denegar y registra las decisiones como evidencia de infraestructura a prueba de manipulaciones. En modo sombra registra las denegaciones hipotéticas y reenvía las llamadas sin bloquearlas. Las conexiones directas que eluden el proxy quedan fuera de esta ruta de aplicación.

Posiciones 2 y 3 — API de veredicto (REST)

Aplicación del lado del cliente mediante API REST

ShieldAgent emite un veredicto de seguridad; el código del cliente decide si ejecutar o rechazar la solicitud. Un POST a /tenants/:tenantId/verdict-confirmations registra una confirmación declarada por el cliente para ese veredicto — no es una prueba independiente de que se aplicó. El cumplimiento requiere los propios controles de aplicación del cliente. La documentación del Anexo IV incluye el mecanismo de aplicación del cliente y la tasa agregada de inscripción de confirmaciones REST como telemetría del producto.

Recopilación automática de evidencias

ShieldAgent recopila evidencias de cumplimiento continuamente mientras operan tus agentes. El registro de auditoría es inmutable y verificado con Merkle — cada registro es a prueba de manipulaciones.

Puntuación de riesgo Puntuaciones de riesgo por agente recalculadas en un intervalo fijo (5 minutos por defecto) — se mapea con S4 métricas de rendimiento y NIST MAP

Decisiones de política Cada decisión de permitir/denegar/shadow registrada con marcas de tiempo — se mapea con S3 supervisión y NIST MANAGE

Registro de auditoría Registro de eventos inmutable con pruebas de integridad Merkle — se mapea con S8 gobernanza de datos e ISO 42001 Cláusula 9

Detección de anomalías Análisis de comportamiento estadístico — se mapea con S7 solidez y NIST MEASURE

Cola de revisión humana Llamadas de herramientas marcadas para aprobación humana — se mapea con el mandato de supervisión humana del S6

Registro de incidentes Eventos de seguridad y cronología de resolución — se mapea con ISO 42001 Cláusula 10 y NIST MANAGE

Retención de auditoría

Marco	Requisito / nota	Configuración
Ley de IA de la UE — registros de auditoría (Art. 26(6))	Mínimo legal para los registros generados automáticamente por el sistema de alto riesgo bajo control del desplegador: 6 meses, salvo que otra normativa aplicable exija un plazo distinto. SHIELDAGENT_AUDIT_RETENTION_DAYS=365 es un valor parseado para el registro de depuración efímero y por pod del propio proxy autoalojado — no configura ninguna ruta de borrado o purga. Los planes SaaS de ShieldAgent resuelven la retención según el nivel de plan, desde 182 días (Solo/Team) hasta 1825 días / 5 años (Enterprise Cloud); el despliegue autoalojado Enterprise On-Prem fija su propia ventana por separado, hasta 3650 días / 10 años.	SHIELDAGENT_AUDIT_RETENTION_DAYS=365 (valor parseado, no aplicado)
ISO 42001	No exige una ventana de retención específica; alinéala con tu propia política documentada.	SHIELDAGENT_AUDIT_RETENTION_DAYS=<tu valor> (valor parseado, no aplicado)
NIST AI RMF	Definido por la organización	SHIELDAGENT_AUDIT_RETENTION_DAYS=<tu valor> (valor parseado, no aplicado)
SOC 2	No exige una ventana de retención específica; alinéala con el alcance acordado con tu auditor.	SHIELDAGENT_AUDIT_RETENTION_DAYS=<tu valor> (valor parseado, no aplicado)

SOC 2 y Verdict API: Los despliegues en Verdict API (Posiciones 2 y 3) generan señales continuas de monitoreo de controles mapeadas a un subconjunto de los controles técnicos SOC 2 CC6/CC7, cuando se combinan con los propios controles de aplicación del cliente. Esto no es una atestación SOC 2 — la atestación solo la emite una firma de CPA autorizada tras su propia evaluación. El registro de auditoría registra cada veredicto emitido y cada solicitud REST de confirmación como evidencia de apoyo para esa evaluación.

Columna Config: SHIELDAGENT_AUDIT_RETENTION_DAYS se parsea y se pasa al registro de depuración efímero y por pod del propio proxy autoalojado, pero no se usa ahí para retener ni purgar nada. La retención de auditoría duradera y por inquilino de ShieldAgent la ejecuta en cambio un trabajo en segundo plano independiente, controlado por RETENTION_PRUNE_ENABLED, que está desactivado por defecto. Ninguna de las cifras de esta tabla describe una ventana de retención que se purgue por defecto.