Seguridad — La IA defendida, gobernada y demostrable

Shadow AI

La IA que no ves es la que te expone

La mayoría de las fugas de datos por IA no vienen de un ataque: vienen de un empleado bienintencionado con una cuenta personal de un servicio de IA. Eso es el Shadow AI — suscripciones, extensiones y APIs fuera del radar del CISO.

CodeflowX AIOS lo gobierna de raíz.

• Detección y evaluaciónEl uso de dominios y servicios de IA se identifica y se evalúa contra la política: cada acceso queda clasificado por identidad y proyecto.
• Allowlist gobernadaLos dominios y servicios de IA autorizados se definen centralmente; lo no permitido queda bloqueado por defecto, no recomendado.
• Simulador de políticasAntes de endurecer una regla, se simula su efecto sobre el tráfico real: seguridad sin sorpresas operativas.
• Un único punto de consumoCuando la IA aprobada es también la más cómoda (Neo, catálogo corporativo), el Shadow AI deja de tener sentido.

Marcos

La plataforma está construida sobre los marcos que tu auditoría ya conoce

• EU AI ActClasificación de riesgo, obligaciones por categoría, evidencia y trazabilidad continuas — ver la aplicación Compliance.
• ENS (Esquema Nacional de Seguridad)Identidad unificada, control de accesos por rol, evidencia inmutable y segregación de funciones en las operaciones sensibles.
• Especificaciones de grado militarDiseño endurecido para entornos de máxima exigencia: despliegue soberano y modo air-gap, sin dependencia de nubes externas y con cadena de custodia verificable.
• Líneas base propiasEl CoE aplica un suelo de seguridad común a todo activo certificado antes de su reutilización.

Principios

Los principios que no se negocian

• Enforcement, no recomendaciónLa política se aplica en la frontera, en cada llamada: permitir, restringir o denegar.
• Evidencia inmutableCada decisión queda firmada y archivada en el momento; la cadena de custodia es verificable, no reconstruible.
• Identidad unificadaUn solo inicio de sesión, roles consistentes en toda la suite y segregación de funciones: quien registra no aprueba, quien aprueba no despliega.
• Fail-closed por diseñoSi la política o la evidencia no pueden aplicarse, la acción no ocurre. Sin excepciones silenciosas.