Registro de auditoría de la IA
Un registro de auditoría de la IA recoge quién cambió los ajustes de IA y cómo se usó la IA: los cambios de los administradores sobre personas, claves y reglas, y, para cada solicitud, el modelo y el proveedor que la atendieron y la regla que se aplicaba.
Por qué importa a las empresas
Las revisiones de seguridad, la gestión de incidentes y los reguladores piden pruebas de cómo se controla el uso de la IA, y un registro es esa prueba.
Un registro de metadatos, sin el contenido de los prompts, aporta la prueba sin crear un nuevo almacén de texto confidencial.
Ejemplo
Durante el análisis de un incidente, el CISO exporta el registro de solicitudes de una clave: cada llamada del periodo, el modelo, el proveedor que la atendió y la regla de región aplicada.
Qué significa para una empresa que usa API de IA
Decida qué tendrá que demostrar más adelante y registre eso: normalmente, quién cambió qué ajuste y, para cada solicitud, el usuario o la clave, el modelo, el proveedor, la región y el resultado. Deje los prompts fuera del registro salvo que tenga un motivo para guardarlos, porque un registro lleno de prompts se convierte en un almacén de datos sensibles en sí mismo. Si usa un sistema de IA clasificado como de alto riesgo en el Reglamento de IA, por ejemplo una IA que filtra candidaturas de empleo, como responsable del despliegue debe conservar al menos seis meses los archivos de registro generados automáticamente que estén bajo su control.
Dónde se define: Para los sistemas de IA de alto riesgo, las reglas las fija el Reglamento de IA: el artículo 12 exige que esos sistemas permitan técnicamente el registro automático de acontecimientos («archivos de registro»), y el artículo 26, apartado 6, obliga a los responsables del despliegue a conservarlos durante al menos seis meses. Para otros usos de la IA, ninguna ley impone un formato.
Qué hace Standard Compute
Cada cambio de un administrador queda registrado con el valor anterior y el nuevo, y puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió y la regla de región aplicada, conservado durante 12 meses.
Preguntas frecuentes de las empresas
- ¿El Reglamento de IA nos obliga a registrar cada prompt?
- No. Las obligaciones de registro de los artículos 12 y 26 se aplican a los sistemas de IA de alto riesgo y se refieren a los acontecimientos que registran esos sistemas. Tras el ómnibus digital (Reglamento (UE) 2026/1744), las normas de alto riesgo para los sistemas del anexo III se aplican a partir del 2 de diciembre de 2027.
- ¿Un registro de auditoría de la IA debe contener los prompts?
- Normalmente, no. Los metadatos, como usuario, clave, modelo, proveedor, tokens y resultado, responden a la mayoría de las preguntas de seguridad y de costes. Guardar el texto de los prompts crea otra copia de datos confidenciales que necesita protección y un plazo de conservación.
- ¿Cuánto tiempo hay que conservar los registros de IA?
- El necesario para su respuesta a incidentes, sus auditorías y sus obligaciones legales. Para los sistemas de IA de alto riesgo, el Reglamento de IA fija al menos seis meses para los responsables del despliegue, salvo que el Derecho de la Unión o nacional aplicable, en particular el de protección de datos personales, disponga otra cosa.