Cumplimiento y postura del CISO
Detallamos los marcos regulatorios por región: GDPR, DORA y la EU AI
Act para Europa; SOC 2, GLBA, SOX, secreto profesional y residencia de
datos para EE. UU. y el mercado global; y los regímenes de protección
de datos junto con la LGPD para América Latina. Esta visión consolida
los requisitos por sector de nuestras páginas de Industrias. El
aislamiento de agentes y el control de acceso se definen como
mecanismos de seguridad explícitos y verificables.
Marcos regulatorios por región
Cada región opera bajo exigencias regulatorias específicas. A
continuación presentamos las normativas principales y la arquitectura
dentro de su red diseñada para satisfacerlas.
EE. UU. y mercado global
Versión principal: /en/ (English).
-
Modelo de control SOC 2 (Trust Services Criteria)
Los Criterios de Servicios de Confianza (Trust Services Criteria) que las empresas y sus auditores exigen. La infraestructura dentro de su red mantiene los controles de seguridad, disponibilidad, integridad de procesamiento, confidencialidad y privacidad certificados en el informe SOC 2. Su organización retiene el control directo, sin depender del modelo de responsabilidad compartida de la nube pública.
-
Salvaguardas GLBA (Safeguards Rule)
La norma Safeguards Rule regula la protección de la información financiera no pública de los clientes. El acceso, almacenamiento y eliminación de los datos se gestionan exclusivamente dentro de su red, aislados de entornos compartidos en la nube pública.
-
Controles internos de SOX sobre información financiera
Obligaciones de control interno y gobernanza para empresas públicas. Reguladores, auditores y contrapartes pueden verificar el secreto profesional y la residencia de datos directamente dentro de la infraestructura operada en su red.
UE y Europa Central y Oriental
Versión principal: /pl/ (Polski).
-
GDPR
El Reglamento General de Protección de Datos de la Unión Europea. La infraestructura dentro de su red garantiza que el procesamiento, la retención y la transferencia de datos permanezcan en la jurisdicción elegida por el responsable, sin depender de regiones de nube pública.
-
DORA (resiliencia operativa)
El Reglamento de Resiliencia Operativa Digital (DORA) regula los sistemas TIC en el sector financiero y el riesgo de terceros. La infraestructura dedicada dentro de su red y la telemetría local proporcionan el control operativo integral que la nube compartida no puede ofrecer.
-
EU AI Act (clasificación de riesgo)
La clasificación basada en riesgo que la Ley de IA de la UE impone a los sistemas en el sector legal, financiero y tecnológico, desde la documentación técnica hasta la evaluación continua. Planificamos cada implementación según el nivel de riesgo específico de su caso de uso.
América Latina
Versión principal: /es/ (Español).
-
LFPDPPP de México
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares regula el tratamiento de datos en México. La residencia y el procesamiento se ejecutan dentro de la red gestionada por su organización, evitando entornos compartidos en la nube.
-
Ley 25.326 de Argentina
La Ley de Protección de los Datos Personales de Argentina regula el tratamiento en su jurisdicción. La infraestructura dentro de su red mantiene la residencia y los controles de seguridad que la norma exige.
-
Ley 1581 de Colombia
La Ley 1581 de 2012 regula el tratamiento de datos personales en Colombia. La residencia y el procesamiento de los datos se mantienen íntegramente dentro de la red de su organización.
-
Ley 19.628 de Chile
La Ley 19.628 sobre Protección de la Vida Privada regula la protección de datos en Chile. La infraestructura dentro de su red asegura la residencia y el control exigidos por la normativa.
-
Ley 29733 de Perú
La Ley 29733 de Protección de Datos Personales regula el tratamiento de información en Perú. La infraestructura dentro de su red asegura los estándares de residencia y procesamiento exigidos por la ley.
-
Preparación para la LGPD (Brasil)
La Lei Geral de Proteção de Dados (LGPD) rige el tratamiento de datos personales de titulares en Brasil. La infraestructura dentro de su red garantiza la residencia de datos y los controles técnicos requeridos por la LGPD desde el primer momento.
Ámbito de control
Sandboxing de agentes y control de acceso
Los marcos normativos establecen los requisitos, pero la seguridad
depende de la arquitectura técnica. Nuestro modelo ofrece al CISO una
base auditable: los agentes de IA se ejecutan exclusivamente en
infraestructura privada dentro de su red. Las llamadas de inferencia y
las herramientas operan en un entorno de sandbox estricto. Los
permisos de acceso garantizan la residencia de datos exigida en cada
región.
-
Despliegue dentro de su red. Los agentes de IA se ejecutan
en infraestructura dedicada dentro de su red, dimensionada para su carga
de trabajo real y sin recurrir a nubes públicas compartidas. Ninguna
llamada de inferencia ni telemetría sale jamás de su red.
-
Inferencia y herramientas en sandbox. Todas las llamadas
al modelo y la ejecución de herramientas ocurren estrictamente dentro
de su red. Las acciones de las herramientas están limitadas a entornos
de ejecución aislados, impidiendo que los agentes excedan sus permisos
autorizados.
-
Acceso alineado con los controles regionales. El acceso
se adapta estrictamente a los requisitos de control y residencia de
datos de cada región. El principio de mínimo privilegio se aplica a
nivel de red y no mediante etiquetas genéricas de cumplimiento.
Pasos siguientes
Los marcos anteriores consolidan los requisitos de cumplimiento de
nuestras páginas de Industrias. En la etapa de Desarrollo y validación,
comprobamos estos controles de aislamiento y acceso sobre
infraestructura real antes de comprometer capital. Explore los detalles
por sector, revise la validación técnica o agende una consulta inicial a
continuación.
