La pregunta que hacen de verdad los compradores regulados
Cuando un equipo de servicios financieros evalúa un agente de IA, la pregunta real nunca es “¿funciona?“. Es “¿podemos desplegarlo sin incumplir nuestras obligaciones de resiliencia?“. La respuesta honesta es sí, siempre que los controles se diseñen desde el primer commit y no se remenden justo antes de una auditoría. La DORA es útil aquí precisamente porque es concreta: convierte la “gobernanza” de una diapositiva en una lista de comprobación de ingeniería.
Lo que la DORA pide, traducido a ingeniería
El Reglamento DORA de resiliencia operativa digital de la UE está en aplicación desde enero de 2025. Cubre a las entidades financieras de banca, seguros y servicios de inversión, y alcanza a los terceros de TI que las sirven. Si operas en la UE, o sirves a clientes europeos desde Reino Unido, sus requisitos están sobre tu mesa, y el propio régimen británico de resiliencia operativa del PRA y la FCA plantea una pregunta reconociblemente parecida. Cuatro de sus exigencias caen directamente sobre cualquier agente que toque un proceso regulado:
- Riesgo de TI registrado y evaluado. El agente es un servicio de TI. Debe estar en tu marco de gestión de riesgo de TI, evaluado y documentado, no corriendo en un hueco entre departamentos.
- Condiciones de terceros que aguanten un escrutinio. Derechos de auditoría, revelación de subencargados, dónde vive el dato, terminación y ayuda de salida: el contrato tiene que decirlo y tu registro de terceros tiene que mostrarlo.
- Resiliencia demostrable, no declarada. Cambios probados, ensayos de restauración y una reversión que es una operación definida y ensayada. Una afirmación de resiliencia no vale nada; un registro de ensayos lo vale todo.
- Preparación para incidencias en un reloj que se mide en horas. Detección, clasificación y una vía de notificación que tu equipo haya recorrido de verdad, antes del día en que importe.
Debajo de las cuatro hay una propiedad común: la pista de auditoría. Cada acción del agente atribuible, registrada y reconstruible meses después.
Cómo se entregan estos controles en la práctica
Así construye Nugawi, consultoría de IA aplicada en Londres, los despliegues en producción para sectores regulados:
- Atribución por construcción. Matriz de accesos y registro de quién solicitó cada acción, con historial de versiones y aprobaciones. Cualquier acción se puede reconstruir: quién, qué, cuándo, aprobado por quién.
- Entregas probadas, reversión ensayada. El mismo paquete probado se promueve a producción, nunca una reconstrucción, y la reversión se ensaya como un simulacro de incendio, porque la que nunca has ejecutado es la que falla.
- El dato donde tú lo elegiste. Residencia en Reino Unido o la UE, condiciones claras de responsable y encargado, secretos fuera de los paquetes de entrega.
- Soporte de incidencias dentro del alcance. Monitorización y una vía de incidencias definida dentro del encargo, no un encogimiento de hombros de buena voluntad.
- Salida diseñada. Código, datos y adjuntos vuelven en formatos utilizables con ayuda de traspaso. Un proveedor cuya estrategia de retención son los costes de cambio suspenderá tu revisión de terceros, y con razón.
Estos controles son estándar en nuestra construcción en producción de 90 días, y una auditoría de agentes compara tus agentes existentes con ellos en semanas, no trimestres. Si la pregunta es específicamente el despliegue en servicios financieros, nuestra práctica de consultoría de Claude cubre el detalle de residencia de datos y gobernanza.
Cinco preguntas antes de que un agente toque un proceso regulado
Del laboratorio o de un partner independiente, haz estas preguntas antes de que nada llegue a producción:
- ¿Dónde viven físicamente cada prompt, cada documento y cada resultado, y bajo qué condiciones?
- ¿Puedes reconstruir cualquier acción seis meses después: quién, qué, cuándo, aprobado por quién?
- ¿Cuál es exactamente la reversión, y cuándo se ensayó por última vez?
- Si mañana terminas el contrato con el proveedor, ¿qué le pasa al sistema?
- ¿En qué registro cae esto, y quién lo firma?
El patrón se generaliza
Los mismos controles responden a las auditorías de aduanas en logística y a las obligaciones sobre datos de arrendamiento en vivienda, bajo artículos distintos: matrices de accesos, pistas de auditoría, residencia, recuperación ensayada. Los entregamos igual en despliegues de logística y sector inmobiliario.
La resiliencia no es un documento que se archiva. Es una propiedad de un agente bien construido. Si tu agente no supera las cinco preguntas de arriba, ningún documento de política lo salvará, y si las supera, el documento se escribe solo. Un Discovery Sprint compara tus flujos regulados con esas preguntas en unas semanas, con una recomendación por escrito y un precio firme.