Autonomía acotada
Cada agente opera dentro de unas competencias por escrito, aplicadas por el núcleo en tiempo de ejecución. Una instrucción fuera de esas competencias se rechaza y se registra.
Gobernanza, seguridad y ética
Las firmas no dudan ante la IA porque la tecnología sea débil. Dudan porque nadie puede decirles, con precisión, qué hará y qué no hará. Esta página es nuestra respuesta, al completo, publicada donde su equipo de riesgos puede leerla antes de que nos conozcamos. Cubre tres cosas distintas: cómo se gobiernan los agentes, cómo se protegen sus datos y cuál es nuestra posición sobre el uso responsable de la IA.
-
SOC 2 · ISO 27001 · RGPD
Alineada con SOC 2, ISO 27001 y el RGPD
-
Australian Privacy Principles
Alineada con los Australian Privacy Principles
- Pida el paquete de evidencias actual en cualquier sesión informativa.
Governance
Supervisión, responsabilidad y control: quién decide, quién aprueba y cómo lo aplica la plataforma en tiempo de ejecución.
Puertas de aprobación
Las acciones con consecuencias se detienen y esperan a un aprobador con nombre. La relación de puertas se acuerda con usted en el despliegue, y cambiarla es, a su vez, una acción con puerta.
Registro de auditoría de solo anexado
Cada acción, borrador, aprobación y rechazo se escribe en un registro con manipulación detectable. Nadie puede editar ni borrar una entrada, nosotros incluidos.
Control de baja
Cualquier persona autorizada puede dar de baja a un agente, o a toda la plantilla, de inmediato. El trabajo en curso se aparca de forma segura y la baja queda registrada.
Seguridad y privacidad
Protección de datos, infraestructura y acceso: cómo se almacenan, se mueven, se cifran y se consultan sus datos.
Tratamiento de datos por acuerdo
Dónde se almacenan y se tratan los datos de los clientes consta en su contrato. El procesamiento se realiza bajo acuerdos de tratamiento de datos y no retiene nada.
Acceso basado en roles
Los agentes tienen el acceso mínimo que su rol requiere, concedido a través de su proveedor de identidad, revisado periódicamente y revocable con una sola acción.
Cifrado en todo momento
Los datos se cifran en tránsito y en reposo. Las claves se gestionan por cliente, y las operaciones con claves aparecen en el mismo registro de auditoría que todo lo demás.
Sin entrenamiento con sus datos
Sus datos se utilizan para hacer su trabajo, y para nada más. Nunca se utilizan para entrenar modelos, ni los nuestros ni los de nadie, y esto es una cláusula contractual.
Construido en torno a aquello de lo que usted responde
Su riesgo no es abstracto. Tiene números de artículo y una persona cuyo nombre figura en él. Estas son las obligaciones en torno a las que diseñamos los controles: primero los estándares internacionales, con los marcos regionales dentro de ese cuadro.
RGPD · Art. 5 y 32
Datos personales, tratados de forma lícita y segura
Para despliegues europeos, y para cualquier firma que atienda a personas en Europa: el tratamiento se ejecuta bajo acuerdos de tratamiento de datos en cada capa, el acceso es de mínimo privilegio y queda registrado, y sus datos nunca se utilizan para entrenar un modelo. Dónde se almacenan y se tratan los datos queda escrito en su contrato.
Privacy Act 1988 · APP 11
Seguridad de la información personal (Australia)
Debe tomar medidas razonables para proteger la información personal que conserva. Los agentes trabajan dentro de su proveedor de identidad con acceso de mínimo privilegio, cada acceso queda registrado, y el tratamiento transfronterizo se declara y se cubre con acuerdos de tratamiento de datos en lugar de quedar enterrado.
Códigos profesionales · APES 110 y equivalentes
Códigos de ética para asesores profesionales
La confidencialidad, la competencia profesional y la diligencia debida no se delegan en el software, bajo ningún código profesional. Los agentes redactan; una persona con nombre revisa y firma. El registro de decisiones deja constancia de quién aprobó qué, y con qué información, de modo que el criterio profesional sigue estando documentado y sigue siendo suyo.
Resiliencia operativa · DORA · CPS 234
Seguridad de la información y riesgo operativo
Si está regulado en materia de resiliencia operativa, en cualquier jurisdicción, las preguntas giran en torno a los proveedores de servicios esenciales, la notificación de incidentes y los controles probados. Las condiciones de alojamiento, acceso, registro y continuidad quedan escritas en el contrato, donde su auditor puede leerlas.
Líneas base de seguridad · NIST CSF · Essential Eight
La línea base por la que preguntan sus clientes
Control de aplicaciones, parcheo, bastionado, copias de seguridad, restricción de accesos, autenticación multifactor. Hacemos seguimiento de nuestra madurez frente a las líneas base que utiliza su jurisdicción y compartimos dónde nos situamos en cualquier sesión informativa.
Conservación de registros · IPPF
Registros que se sostienen años después
Los registros obligatorios deben estar completos, conservarse y poder reproducirse a petición, y la auditoría interna necesita la evidencia misma. El registro de auditoría es de solo anexado y está encadenado por hash, se conserva según su calendario y se exporta en formatos estándar, de modo que el trabajo de campo, dentro de años, examina el registro directamente.
No es asesoramiento jurídico, ni una afirmación de que el software cumpla sus obligaciones por usted. Son los estándares conforme a los que construimos, para que cumplirlos quede demostrado y no solo afirmado.
Ética: creado para potenciar a su gente
Legare Global está creado para acelerar a las personas que una firma ya emplea. Los agentes automatizan el trabajo rutinario, repetitivo y administrativo, y el tiempo que eso libera fluye hacia la estrategia, la toma de decisiones, la gestión y el resto del trabajo que necesita a una persona.
Augmentation
Los empleados siguen en el centro
Los agentes de Legare Global están diseñados para acelerar y ampliar el trabajo de las personas que ya emplea. Asumen el trabajo rutinario, repetitivo y administrativo, y el puesto que ocupa una persona sigue siendo suyo.
Trabajo de mayor valor
El tiempo asciende en la cadena de valor
Las horas que absorbe un agente vuelven como tiempo para la estrategia, la toma de decisiones, la gestión y las relaciones con los clientes: el trabajo que necesita a una persona. La medida de un despliegue es aquello a lo que su equipo puede dedicar ahora su atención.
Supervisión humana
Una persona sigue al mando
Cada acción con consecuencias se detiene ante un aprobador con nombre, y cada acción queda registrada. La supervisión está integrada en la plataforma, de modo que el uso responsable se mantiene a cualquier escala.
Esta posición seguirá desarrollándose a medida que maduren los estándares de IA responsable. Cuando lo haga, se publicará aquí, al completo, como el resto de esta página.
Gobernanza en detalle
01 — Autonomía acotada
Las competencias son un control técnico
La mayor parte de la gobernanza de la IA falla en el mismo punto: las reglas viven en un documento mientras el sistema hace lo que se le pide. En el núcleo, la descripción del puesto que usted aprueba se compila en restricciones de tiempo de ejecución. El Responsable de Cuentas por Cobrar no puede modificar una factura porque esa capacidad no existe en sus competencias. Cuando se instruye a un agente para que actúe fuera de sus competencias, sea quien sea, se niega, y la negativa se registra junto con la instrucción que la provocó.
02 — Registro de auditoría
Construido para la persona que tiene que responder de ello
El registro de auditoría está diseñado para su comité de riesgos, sus auditores externos y el peor día que espera que nunca llegue. Cada entrada recoge el actor, la acción, los datos de entrada en que se basó, el resultado producido y cualquier aprobación humana asociada. Las entradas están encadenadas por hash, de modo que la manipulación resulta evidente, se conservan según su calendario y se exportan en formatos estándar. Cuando su auditor pregunte cómo se tomó una decisión, el registro responde en minutos.
03 — Dónde están los datos
Declarado en su contrato.
Dónde se almacenan sus datos y dónde se tratan queda escrito en el contrato, no en las preguntas frecuentes, y puede verificar ambas cosas: le enseñaremos dónde están sus datos. El procesamiento, incluida la inferencia de los modelos, se ejecuta en infraestructura protegida; cada salto está cubierto por un acuerdo de tratamiento de datos, no se retiene nada y nada se utiliza nunca para entrenar un modelo. El acceso de soporte remoto está desactivado por defecto y, si lo activa, aparece en el registro de auditoría como cualquier otro acceso.
04 — Controles de acceso
Mínimo privilegio, para los agentes y para nosotros
Los agentes se autentican a través de su proveedor de identidad y tienen el acceso mínimo que su rol requiere. Las revisiones de acceso se ejecutan con la periodicidad que usted fije. Nuestro propio personal no tiene acceso permanente a sus datos; cualquier acceso de soporte se solicita, se limita en el tiempo, lo aprueba usted y queda registrado. Dar de baja a un agente, o a toda la plataforma, revoca el acceso con una sola acción y le deja una exportación completa de sus datos y de su registro de auditoría.
Reserve una demo
Díganos el puesto para el que, de otro modo, contrataría a alguien. Le mostraremos un agente trabajando en él en una empresa de ejemplo: encárguele una tarea y vea cómo la puerta de aprobación retiene su primer borrador. Sin diapositivas y sin compromiso.