1. Qué controla el pack de iso 42001
El pack de ISO/IEC 42001 mapea las cláusulas AIMS a controles que se ejecutan en cada solicitud que cruza el gateway. Tres cláusulas se mapean a aplicación en vivo; dos son organizativas y se divulgan como huecos en vez de afirmarse.| Cláusula AIMS | Plano | Control |
|---|---|---|
| A.6 Ciclo de vida del sistema de IA | guardrail | bloquear intentos de jailbreak contra el sistema de IA |
| A.8 Información para partes interesadas | guardrail | marcar asesoría legal/financiera definitiva en la salida |
| A.9 Uso de sistemas de IA | guardrail | registrar cada decisión de guardrail como evidencia |
La Cláusula 5 Liderazgo y política de IA y A.5 Evaluación de impacto del sistema
de IA son cláusulas de personas-y-procesos. Un gateway no puede aplicarlas, así
que el pack las expone como huecos divulgados (o filas atestadas por el
dueño) tanto en la consola como en el reporte — nunca como cobertura
automatizada. Divulgar lo que un proxy no puede hacer es lo que hace confiable el
resto de la evidencia. Ver la matriz de
controles.
2. Instala el pack de iso 42001 — un ejemplo concreto
Instalar materializa el mapeo en política de guardrail en tu espacio de trabajo, cada control etiquetado con la procedencia del pack. Haces esto desde la consola, no una clave de relay: Compliance → Catalog → ISO/IEC 42001 → Install Esa es una acción de Admin del espacio de trabajo en un plan de pago, y el servidor aplica ambas. Bajo el capó tu sesión de consola llama:A.6 — Guarda de seguridad de IA
A.6 — Guarda de seguridad de IA
Una regla de
guardrail regex en la solicitud que bloquea los intentos
comunes de jailbreak y juego de roles (“do anything now”, “developer mode”,
“ignore previous instructions”) antes de que lleguen al modelo — la evidencia
de que el ciclo de vida de tu sistema de IA tiene un control de seguridad en
el lado de entrada.A.8 — Información para partes interesadas
A.8 — Información para partes interesadas
Una regla de
guardrail regex que marca la salida que da asesoría
legal/financiera definitiva (“you are entitled to damages”, “guaranteed
return”). Anota en vez de bloquear, así que las llamadas marcadas van a
revisión del equipo — el control de transparencia-hacia-usuarios para tus
partes interesadas.A.9 — Uso y monitoreo
A.9 — Uso y monitoreo
Una regla
pii de solo flag que registra cada decisión de guardrail
como evidencia del sistema de gestión sin bloquear ni modificar el tráfico —
el rastro de monitoreo que un evaluador lee para “uso de sistemas de IA”.3. Observa primero, luego ponlo en marcha
Una instalación de ISO 42001 no empieza a bloquear tráfico el primer día. Las instalaciones aterrizan en modo observe: las acciones de guardrail que aplican se fuerzan aflag, así que recopilas evidencia de “lo-habría-bloqueado” contra el
tráfico real antes de que nada aplique. Los controles A.8 y A.9 ya son de solo
flag, así que su comportamiento no cambia; la guarda de seguridad A.6 es la que
retiene su veredicto de block hasta la activación.
Cuando la evidencia se ve bien, un Admin del espacio de trabajo promueve el pack a
la activación, que restaura las acciones declaradas — la guarda de jailbreak A.6
empieza a bloquear — y opcionalmente promueve la política materializada a valor
por defecto del espacio de trabajo. Esta es la misma disciplina descrita en
Observar vs aplicar.
4. Evidencia firmada para tu AIMS
El punto del pack es el reporte. La evidencia de ISO 42001 se genera como un reporte firmado con Ed25519 con un hash de contenido SHA256, exportable como CSV, JSON o PDF, y verificable públicamente — tu evaluador verifica la firma sin un inicio de sesión de OrcaRouter.Cobertura por cláusula con conteos reales
Cobertura por cláusula con conteos reales
Cada fila AIMS lleva su estado —
covered, observe, gap o attested — y
cuántas veces el control realmente se disparó durante el período. Una guarda
de seguridad A.6 que bloqueó intentos reales de jailbreak se lee diferente
para un evaluador que una con cero coincidencias, y el reporte muestra ambos.Linaje de procedencia
Linaje de procedencia
Cada control materializado registra su
control_id (p. ej.
iso42001.safety), la cláusula literal (ISO/IEC 42001 A.6 AI system lifecycle), el plano y el id del objeto de política vivo que la aplica — así
que el evaluador recorre cláusula → control → política que la aplica →
coincidencias, sin paso inferido.Verificación pública
Verificación pública
Obtén la clave pública de firma en
GET /api/public/compliance/pubkey, envía
el reporte a POST /api/public/compliance/verify, o abre un enlace de
compartición para el evaluador acotado en
GET /api/public/compliance/share/:token. Sin cuenta requerida.5. Estampa por región tu evidencia de ISO 42001
Los reportes de ISO 42001 se almacenan y se sirven bajo tu región de residencia declarada —us / eu / uk / ap / cn / global — y un reporte solo se
sirve bajo una región coincidente; las lecturas entre regiones se retienen. Un
Admin del espacio de trabajo la establece vía PUT /api/compliance/residency.
La residencia aquí es la región del artefacto de evidencia — dónde viven y se
sirven los reportes firmados. No es geo-fijación de datos de inferencia. Ver
Residencia de datos y
Entre regiones para la frontera.
6. Dónde ir a continuación
Contenido del pack
La anatomía completa de un pack — planos, estados y procedencia.
Instalar un pack
El flujo de instalación de principio a fin, modo observe y activación.
NIST AI RMF
El otro framework de gobernanza de IA — GOVERN, MAP, MEASURE, MANAGE.
EU AI Act
El framework regulatorio de IA y sus niveles de riesgo.
Frameworks
El catálogo completo — SOC 2, HIPAA, GDPR, ISO 27001 y más.
Guardrails
La referencia de la capa de contenido a la que escriben los controles de ISO
42001.