CONFIANZA · SEGURIDAD · GOBERNANZA DE AI · CALIDAD DE ENTREGA

El software serio necesita estándares operativos serios.

El Centro de confianza de Astackra explica cómo abordamos la seguridad, la privacidad, la responsabilidad en AI, el control de acceso, la observabilidad, la recuperación, la accesibilidad y la preparación para producción. Está pensado para ayudar a compradores exigentes a evaluarnos antes de la compra o del análisis técnico.

Revisar modelo de control ↗Iniciar análisis técnico

MODELO DE CONTROL CENTRAL

La confianza es un problema de arquitectura, no una insignia.

Identidad y acceso

Permisos según el rol, acceso con privilegio mínimo, propiedad explícita y rutas de acceso revocables.

Secretos protegidos

Las claves API y las credenciales permanecen en capas seguras del servidor o del entorno, no en el código del navegador ni en repositorios públicos.

Autoridad humana

Las decisiones asistidas por AI de alto impacto o ambiguas permanecen bajo revisión humana explícita cuando corresponde.

Sistemas observables

Los cambios de estado importantes, los errores, las acciones asistidas por AI y las escalaciones deben poder inspeccionarse.

Recuperación desde el diseño

Los reintentos, planes de respaldo, copias de seguridad, rutas de reversión y la asignación de excepciones forman parte de la planificación de producción.

Declaraciones veraces

Las versiones en vivo, los prototipos y las demostraciones de concepto se etiquetan con honestidad; no inventamos certificaciones, resultados ni oficinas.

GOBERNANZA DE AI

¿Qué puede observar, recomendar, ejecutar o escalar AI?

Observa

Leer documentos, mensajes, registros y el estado del flujo de trabajo aprobados que sean necesarios para una tarea acotada.

Recomendar

Resumir, clasificar, redactar, priorizar, mostrar evidencia y sugerir los siguientes pasos.

Actúa

Ejecutar acciones de bajo riesgo, reversibles y con permiso a través de herramientas aprobadas.

Escala

Devolver a una persona la incertidumbre, el trabajo sensible a políticas, la exposición financiera y el criterio profesional.

LISTA DE VERIFICACIÓN DE SEGURIDAD Y PRIVACIDAD

Preguntas que queremos tener resueltas antes de considerar un sistema listo para producción.

Autenticación y autorización

¿Quién puede iniciar sesión y cómo?
¿Qué datos pertenecen a cada rol?
¿Qué acciones requieren permiso elevado?
¿Se puede revocar el acceso de forma limpia?

Clasificación de datos y privacidad

¿Qué información se recopila y por qué?
¿Dónde se almacenan y transmiten los datos?
¿Qué terceros los procesan?
¿Qué política de retención y eliminación se requiere?

Secretos e infraestructura

¿Las claves se almacenan fuera del código público?
¿Los entornos de producción y desarrollo están separados?
¿Quién puede cambiar las variables de entorno o la configuración de despliegue?
¿Se evitan o protegen los registros sensibles?

Calidad y fallo de AI

¿En qué evidencia se basa la salida de AI?
¿Qué ocurre cuando la confianza es baja?
¿Cómo se rechazan las salidas mal formadas o inseguras?
¿Cuál es el plan de respaldo determinista?

Copias de seguridad, reversión y recuperación

¿Las copias de seguridad están actualizadas y se pueden probar?
¿Se pueden revertir los cambios críticos?
¿Se pueden reintentar acciones importantes de forma segura?
¿Quién se encarga de la recuperación después del lanzamiento?

Monitorización y observabilidad

¿Se pueden detectar los fallos?
¿Son visibles los cambios importantes de estado?
¿Se puede supervisar el uso y el coste del modelo?
¿Se pueden rastrear los incidentes hasta una solicitud o un flujo de trabajo concretos?

FLUJO DE DATOS DE AI

Saber qué datos van a dónde.

01OrigenEntrada del usuario, documentos, email, CRM, bases de datos, APIs y cargas.

02AplicaciónAutorización, contexto del workflow, estado y reglas de negocio.

03Capa de AISolo se envía a los proveedores de modelo aprobados el contexto mínimo necesario para la tarea acotada.

04ValidaciónComprobaciones estructuradas, permisos, reglas de confianza y revisión humana cuando sea necesario.

05Acción y registroLos resultados aprobados actualizan el sistema de registro, el workflow o la cola de revisión.

PREPARACIÓN PARA PRODUCCIÓN

Las piezas que separan una demo de un sistema operativo.

Permisos

Los usuarios solo ven y cambian lo que requiere su rol.

Validación

Las entradas, salidas y transiciones de estado se comprueban antes de acciones con impacto.

Alternativas de respaldo

Un fallo de AI no tiene por qué convertirse en un fallo del workflow.

Trazabilidad

Las acciones importantes y los cambios de responsabilidad siguen siendo explicables.

Controles de coste

Las llamadas al modelo, el almacenamiento y las rutas de alto coste deben poder medirse y mantenerse acotadas.

Rendimiento

Una entrega rápida de páginas, APIs eficientes, caché e interacción fluida importan después del lanzamiento.

Accesibilidad

El acceso por teclado, los estados de foco, el contraste, los mensajes de error legibles y los diseños adaptativos son cuestiones de producción.

Responsabilidad operativa

Alguien debe hacerse cargo de la calidad, los incidentes, los datos y los cambios después del lanzamiento.

MARCOS DE REFERENCIA

Estándares útiles, no credibilidad prestada.

OWASP Top 10 ↗

Marco de referencia para los principales riesgos de seguridad en aplicaciones web.

NIST AI RMF ↗

Guía de gestión de riesgos para sistemas de AI fiables.

W3C WCAG ↗

Guía de accesibilidad para productos digitales inclusivos.

Google Search Central ↗

Guía técnica para sitios web rastreables, indexables y útiles.

TRANSPARENCIA

Sin certificaciones falsas

No daremos a entender ISO, SOC 2, HIPAA, PCI ni ninguna otra certificación formal salvo que se haya completado de verdad.

Sin ubicaciones inventadas

Las páginas de mercado global describen una entrega remota y relevancia para el mercado sin fingir que operamos oficinas físicas que no tenemos.

Sin resultados inventados

Cuando no hay resultados cuantificados disponibles, describimos el sistema, la contribución de ingeniería y el workflow en lugar de fabricar ROI.

DILIGENCIA DEBIDA DEL COMPRADOR

Lo que un cliente serio puede preguntarnos antes de contratar.

Revisión de arquitectura

Hosting, entornos, integraciones, flujo de datos, proveedores de modelo, autenticación y límites del sistema.

Controles de entrega

Hitos, responsables, QA, staging, puntos de revisión, rollback y procedimientos de despliegue.

Controles de AI

Grounding, validación, permisos, escalado, revisión humana y gestión de fallos.

Conversación sobre privacidad

Qué datos se recogen, qué se envía a terceros y qué modelo de retención se requiere.

Soporte operativo

Monitorización, responsabilidad sobre incidentes, mantenimiento, documentación y cambios posteriores al lanzamiento.

Accesibilidad y rendimiento

Comportamiento adaptable, navegación por teclado, contraste, carga y enfoque en Core Web Vitals.

DESCUBRIMIENTO TÉCNICO

¿Tienes preguntas de seguridad, privacidad o arquitectura antes de empezar?

Llévalas al discovery. Preferimos responder pronto a las preguntas técnicas difíciles antes que enterrarlas después de una propuesta.

Iniciar discovery técnico ↗Explorar Labs