Los términos clave de regulación, cumplimiento y gobernanza de la IA, explicados de forma breve y con enlaces a las páginas donde los tratamos a fondo.
Claridad donde nunca existió.
Protocolo abierto basado en JSON-RPC para invocar agentes de IA como servicios e intercambiar tareas entre ellos. Cada agente se describe mediante una AgentCard pública con sus capacidades y endpoints. Así, agentes de sistemas distintos pueden conectarse de forma controlada sin una interfaz propia para cada combinación.
Más informaciónLa separación estricta de los datos, usuarios, agentes y políticas de distintos clientes en una plataforma compartida. En Agentic360 cada tenant recibe su propia clave, su propio índice y su propio registro de auditoría. Ningún tenant puede acceder a los datos de otro.
Más informaciónUna salida inventada o sin respaldo de un modelo de lenguaje que suena plausible pero es falsa, por ejemplo un artículo legal que no existe. En cumplimiento normativo es especialmente arriesgado, porque las citas falsas pueden acabar en decisiones y evidencias. Las contramedidas son el anclaje en fuentes (RAG), umbrales para respuestas inciertas y guardrails.
Más informaciónTérmino genérico para las obligaciones de prevención del blanqueo de capitales y de la financiación del terrorismo. En Alemania las regula la Geldwäschegesetz (GwG): diligencia debida con los clientes, medidas internas de control y comunicación de operaciones sospechosas. A nivel de la UE, el Reglamento (UE) 2024/1624 (AMLR), directamente aplicable, se aplica a partir del 10 de julio de 2027.
Más informaciónLa comparación sistemática de sus procesos y controles actuales con los requisitos de una normativa. El resultado es una lista priorizada de las brechas que hay que cerrar. Un proceso de referencia fundamentado, como un blueprint, sirve de buena referencia.
Más informaciónEl principio de que las decisiones con consecuencias las revisa y aprueba una persona antes de que surtan efecto. El sistema de IA prepara, evalúa y fundamenta; la responsabilidad sigue en manos de la persona competente. Los casos inciertos se escalan en lugar de decidirse automáticamente.
Más informaciónEl supervisor financiero integrado de Alemania para bancos, proveedores de servicios financieros, aseguradoras y negociación de valores. Concreta los requisitos legales mediante circulares como MaRisk y publica orientaciones, por ejemplo sobre los procedimientos de notificación bajo DORA.
Más informaciónCircular de la BaFin con requisitos de gobernanza de TI, seguridad de la información y operación de TI para bancos. Las BAIT solo se aplican ya a entidades fuera del ámbito de DORA y se derogan el 31 de diciembre de 2026. Donde BAIT y DORA se solapan, cada requisito debería evaluarse una sola vez.
Más informaciónUn proceso objetivo documentado para una normativa, estructurado en módulos de proceso y controles fundamentados. Cada paso cita el artículo correspondiente y su fuente. Un blueprint es la referencia con la que usted contrasta sus procesos actuales.
Más informaciónLa autoridad central de ciberseguridad de Alemania y el organismo competente para la aplicación de NIS2 conforme a la BSIG. Las entidades afectadas deben registrarse ante el BSI y notificarle los incidentes de seguridad significativos. Los operadores de instalaciones críticas acreditan además periódicamente ante el BSI la implementación de sus medidas.
Más informaciónLa secuencia recurrente por la que un requisito pasa del texto legal a la evidencia: detectar, evaluar, implantar, demostrar. Cada nuevo requisito recorre estos pasos y cada cambio reinicia el ciclo. Las plataformas RegTech intervienen en cada uno de los cuatro pasos.
Más informaciónUna medida concreta y verificable con la que se cumple un requisito regulatorio, por ejemplo una política, una salvaguarda técnica o un paso de aprobación. Los controles conectan la obligación abstracta con lo que realmente ocurre en la organización. Su eficacia se demuestra mediante evidencias.
Más informaciónReglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025. Regula, entre otros aspectos, la gestión del riesgo TIC, la notificación de incidentes graves relacionados con las TIC, las pruebas de resiliencia y la gestión de proveedores terceros de TIC. Las normas técnicas centrales (RTS/ITS) son definitivas.
Más informaciónProcedimiento de consentimiento en dos pasos: tras registrarse, por ejemplo en un newsletter, la persona confirma su consentimiento mediante un enlace en un correo electrónico. Así se demuestra que el consentimiento procede realmente del titular de la dirección. Habitualmente cada paso se registra con fecha y hora para poder acreditar el consentimiento más adelante.
El reglamento europeo sobre inteligencia artificial, en vigor desde el 1 de agosto de 2024 y de aplicación escalonada. Desde febrero de 2025 rigen la prohibición de determinadas prácticas de IA y la obligación de alfabetización en IA; desde agosto de 2026, las obligaciones de transparencia. Las obligaciones para los sistemas autónomos de alto riesgo del anexo III llegan a partir del 2 de diciembre de 2027.
Más informaciónEl portal oficial en línea del Derecho de la Unión Europea, con el Diario Oficial, reglamentos, directivas y jurisprudencia. Es una de las fuentes primarias a partir de las que se detectan nuevos requisitos regulatorios. Cada documento puede identificarse de forma única por su número CELEX.
Más informaciónLa prueba de que se cumple un requisito, por ejemplo un documento, un registro, una configuración o el resultado de una prueba. Una buena evidencia está fechada, asignada a un requisito concreto y es trazable hasta su fuente. Los auditores no evalúan intenciones, sino evidencias.
Más informaciónUna regla de protección que comprueba en tiempo de ejecución qué puede emitir o hacer un sistema de IA. Los guardrails enmascaran datos personales, rechazan intentos de manipulación o bloquean afirmaciones sin respaldo, por ejemplo. En Agentic360 impiden que citas regulatorias inventadas salgan de la plataforma.
Más informaciónLa vigilancia continua de legisladores y autoridades de supervisión para detectar pronto requisitos nuevos o modificados. Un buen horizon scanning no se limita a informar de novedades: las asigna a las normativas y áreas de negocio afectadas. Es el primer paso del ciclo de vida regulatorio.
Más informaciónLa norma internacional para sistemas de gestión de la seguridad de la información (SGSI). Describe cómo una organización planifica, implanta, supervisa y mejora la seguridad de la información de forma sistemática. Agentic360 está alineado con ISO 27001 y facilita la recopilación de evidencias, pero no está certificado según ISO 27001 ni emite certificaciones.
Más informaciónTérmino alemán que agrupa las instalaciones cuyo fallo tendría consecuencias graves para la sociedad, por ejemplo en energía, agua, sanidad o finanzas. Los operadores de instalaciones críticas tienen obligaciones adicionales conforme a la BSIG: operan sistemas de detección de ataques y acreditan ante el BSI la implementación de sus medidas cada tres años.
Más informaciónLa identificación y verificación de los clientes antes de iniciar una relación de negocio. Incluye verificar la identidad a partir de fuentes fiables e independientes, determinar los titulares reales y cotejar con listas de sanciones. KYC es un pilar de la prevención del blanqueo de capitales.
Más informaciónUn modelo de lenguaje grande que entiende y genera texto. Los LLM pueden ejecutarse en la nube o en local sobre infraestructura propia, algo a menudo decisivo para los datos sensibles. En tareas de cumplimiento, sus respuestas deberían estar vinculadas a fuentes citadas.
Más informaciónCircular de la BaFin con los requisitos mínimos de gestión de riesgos de las entidades de crédito, actualmente en la versión de la circular 06/2024. MaRisk tiene una estructura modular (AT, BT, BTO, BTR) y abarca desde la capacidad de asunción de riesgos (ICAAP) y la externalización hasta el riesgo de tipo de interés en la cartera de inversión (IRRBB). Para las entidades sujetas a DORA, sus requisitos de TI se solapan con DORA.
Más informaciónEstándar abierto para conectar agentes de IA con herramientas y fuentes de datos externas. Un servidor MCP pone a disposición herramientas que un agente puede invocar. En entornos regulados, esas llamadas deberían autorizarse, limitarse y registrarse por tenant.
Más informaciónEl servicio central de orquestación de Agentic360. Detecta la intención de una solicitud, selecciona el agente especializado adecuado y coordina varios agentes en las tareas complejas. Cada decisión de enrutamiento sigue siendo trazable.
Más informaciónLa directiva de la UE para un elevado nivel común de ciberseguridad, transpuesta en Alemania por la BSIG, en vigor desde el 6 de diciembre de 2025. Obliga a las entidades esenciales e importantes a adoptar medidas de gestión de riesgos, registrarse ante el BSI y seguir una cadena de notificación escalonada. La dirección debe implantar y supervisar las medidas.
Más informaciónLa obligación escalonada de notificar al supervisor los incidentes de seguridad significativos en plazos fijos. Con NIS2 y la BSIG son una alerta temprana en 24 horas, una notificación en 72 horas y un informe final al cabo de un mes. DORA exige para los incidentes graves relacionados con las TIC una notificación inicial a las 4 o 24 horas, un informe intermedio a las 72 horas y un informe final al cabo de un mes.
Más informaciónEl número de documento único de un acto jurídico en EUR-Lex. Codifica, entre otros datos, el sector, el año, el tipo de documento y el número de orden; DORA, por ejemplo, tiene el número CELEX 32022R2554. Al ser estable e independiente del idioma, es un ancla fiable para las citas de fuentes.
Más informaciónOperación de un software íntegramente en su propio centro de datos, detrás de su propio cortafuegos. Los modelos, el almacén vectorial y los flujos de trabajo se ejecutan en infraestructura que usted controla. Las organizaciones eligen este modelo cuando sus datos no pueden salir de la casa.
Más informaciónUn motor de políticas de código abierto que evalúa reglas escritas en el lenguaje Rego y deriva de ellas decisiones de acceso o aprobación. OPA separa la lógica de decisión del código de la aplicación. Así, las políticas pasan a ser versionables, comprobables y revisables.
Más informaciónOperación en un entorno sin conexión a internet. Los modelos, los datos y las actualizaciones regulatorias se mantienen en local; las actualizaciones entran en el sistema únicamente mediante paquetes offline verificados. Está pensada para organizaciones con los requisitos de confidencialidad más exigentes.
Más informaciónUn paquete exportable con todas las evidencias de un objeto de auditoría. En Agentic360 es, por ejemplo, el paquete de auditoría de un análisis de cumplimiento: informe de dirección, hallazgos, registro de auditoría y responsables de controles en PDF y CSV, con un manifiesto que indica un valor SHA-256 por archivo. En lugar de reunir documentos antes de la auditoría, usted presenta un paquete terminado.
Más informaciónEl enfoque de formular las políticas como código legible por máquina y no solo como documento. Una política así se evalúa automáticamente en cada solicitud, está versionada y puede probarse como el software.
Más informaciónEl origen verificable de una respuesta: qué agente la generó, con qué modelo y a partir de qué fuentes. En Agentic360 cada respuesta indica sus fuentes – el documento y, cuando está disponible, la sección o página, el extracto y la versión del documento – y puede exportarse como PDF de auditoría con agente, modelo y estado del guardrail. La procedencia convierte una respuesta de IA en una evidencia auditable.
Más informaciónUn ataque que introduce instrucciones manipuladas en la entrada de un modelo de lenguaje para alterar su comportamiento. En la variante indirecta, las instrucciones se esconden en documentos o páginas web que el sistema procesa. Las defensas separan estrictamente las instrucciones de confianza del contenido externo.
Más informaciónUna técnica en la que un modelo de lenguaje recupera documentos relevantes antes de responder y fundamenta su respuesta en ellos. La respuesta remite así a pasajes concretos y verificables en lugar de al conocimiento general del modelo. RAG es la base de las respuestas con citas de fuentes.
Más informaciónRegistro completo y a prueba de manipulaciones de decisiones, cambios y resultados. Permite reconstruir quién hizo qué, cuándo y con qué fundamento. En una auditoría es el puente entre una afirmación y su evidencia.
Más informaciónEl inventario de todos los acuerdos contractuales con proveedores terceros de TIC que DORA hace obligatorio. Su forma y contenido se fijan en la norma técnica de ejecución ITS 2024/2956. El registro es la base para gestionar el riesgo de terceros y para las comprobaciones de concentración.
Más informaciónUn inventario estructurado de todas las obligaciones regulatorias que se aplican a una organización, cada una con su fuente, responsable, plazo y controles asignados. Es el vínculo entre el texto legal y su implantación. Sin él no queda claro qué requisito se cumple y mediante qué.
Más informaciónSoftware que ayuda a las organizaciones a detectar, evaluar e implantar requisitos regulatorios y a demostrar que se cumplen. Las plataformas RegTech modernas combinan conocimiento normativo, automatización e IA. Lo decisivo es que cada resultado siga siendo trazable hasta su fuente.
Más informaciónLa determinación del país o la jurisdicción en la que se almacenan y procesan los datos. Para las empresas reguladas suele ser una condición previa para poder usar IA. Lo decisivo es que los datos solo salgan de ese ámbito cuando su política lo permita expresamente.
Más informaciónEl reglamento de la UE sobre la protección de los datos personales. Regula, entre otros aspectos, las bases jurídicas del tratamiento, los derechos de los interesados como el acceso y la supresión, los encargos de tratamiento y las evaluaciones de impacto. En las aplicaciones de IA es especialmente relevante para los datos de entrenamiento, de entrada y de salida.
Más informaciónActos jurídicos de segundo nivel (nivel 2) que concretan técnicamente un acto de base. Definen, por ejemplo, cómo se clasifican los incidentes o cómo se llevan los registros. En DORA todos los mandatos centrales son definitivos, como el RTS 2024/1774 sobre la gestión del riesgo TIC.
Más informaciónEl conjunto de políticas, procesos, roles y controles con los que una organización gestiona su seguridad de la información. El tratamiento de riesgos, la titularidad de las políticas y la revisión por la dirección siguen siendo responsabilidad de la organización. Una plataforma RegTech no sustituye al SGSI, sino que aporta las evidencias que lo respaldan.
Más informaciónAplicaciones de IA que se usan en una organización sin estar registradas, evaluadas ni tener un responsable, por ejemplo herramientas de chat de libre acceso o agentes que actúan por su cuenta. La shadow AI es un riesgo de gobernanza y de protección de datos, porque nadie sabe qué datos fluyen adónde. El primer paso es un inventario completo de IA.
Más informaciónUn conjunto de agentes de IA especializados en lugar de una única IA que lo hace todo. Cada agente asume una tarea claramente delimitada, como la evaluación de cumplimiento, la investigación o la preparación de auditorías. Esto mejora la precisión y el control, porque cada subtarea puede revisarse por separado.
Más informaciónEstas explicaciones sirven de orientación general y no constituyen asesoramiento jurídico. Prevalece siempre el texto legal aplicable.
Descubra en 30 minutos cómo una plataforma RegTech con evidencia obligatoria convierte los requisitos regulatorios en evidencias listas para auditoría.