Un registro de auditoría de la IA es un registro completo e inviolable de las interacciones con los sistemas de IA, que recoge quién utilizó qué herramientas de IA, cuándo, qué datos estuvieron implicados, qué salidas se generaron y qué acciones se tomaron en función de esas salidas.
Los componentes de un registro de auditoría de la IA incluyen: la identificación del usuario (quién inició la interacción con la IA), la marca de tiempo y la duración, la herramienta o el modelo de IA utilizado, los datos de entrada (solicitudes, archivos o llamadas a API, posiblemente censurados en el caso de contenido sensible), los datos de salida (respuestas o decisiones generadas por IA), la clasificación de los datos de entrada y salida, las evaluaciones de políticas (las reglas de gobernanza activadas) y las acciones tomadas sobre las salidas de la IA.
Los registros de auditoría de la IA cumplen varias funciones esenciales: el cumplimiento normativo (demostrar la adhesión a las regulaciones de protección de datos y de IA), la investigación de incidentes (rastrear el origen y el impacto de los eventos de seguridad relacionados con la IA), la rendición de cuentas (establecer la responsabilidad de las decisiones asistidas por IA), el análisis del uso (comprender la adopción de la IA y las oportunidades de optimización) y la aportación de pruebas en procesos judiciales (proporcionar evidencias en litigios o consultas regulatorias).
Las organizaciones deberían asegurarse de que sus registros de auditoría de la IA sean inmutables, se conserven de forma adecuada (según los requisitos regulatorios), sean accesibles para su revisión autorizada y estén integrados con las plataformas SIEM y de cumplimiento existentes.