Procesar un prompt no es lo mismo que almacenarlo
Un control de seguridad puede inspeccionar contenido de forma transitoria, conservar ciertos campos de eventos o conservar el contenido completo, dependiendo de su arquitectura y configuración. No asumas que todos los proveedores de seguridad de IA crean un archivo de prompts, ni que ningún contenido se conserva porque el procesamiento se ejecuta en un dispositivo.
Obtén una respuesta escrita para cada categoría de datos y para cada parte. La ubicación del backend de seguridad, la ruta de inspección inmediata y el manejo propio del proveedor de IA son preguntas separadas.
Fuentes consultadas el 20 de septiembre de 2026. Orientación general de contratación, no una opinión legal.
Guarda tres entradas en tu registro de reseñas
Use esta hoja de trabajo en blanco para la configuración propuesta. Mantenga los resultados observados en blanco hasta que una prueba real los proporcione.
- Backend de seguridad
- Donde se alojan la configuración, registros de cuenta y eventos retenidos.
- Inspección de prompts
- Donde se procesan prompts o archivos y qué contenido se retiene.
- Proveedor de IA de destino
- Los términos propios de procesamiento, almacenamiento, entrenamiento y retención de la cuenta de IA.
¿Qué evidencias deben acompañar cada respuesta?
Registra las categorías de datos, ubicaciones de procesamiento y almacenamiento, términos de retención y eliminación, subprocesadores y acceso de soporte. Vincula el contrato, arquitectura o evidencia de configuración aplicable y nombra un responsable para preguntas sin responder. Una región local de almacenamiento no establece la ubicación de todos los procesos o accesos.
Hoja de revisión en blanco. No contiene resultados observados del producto.
Un prompt bloqueado aún necesita una respuesta que maneje datos
Un prompt sintético contiene un identificador de cliente. La política bloquea la presentación al proveedor de IA.
El control de seguridad aún ha evaluado la entrada. Comprueba dónde se realizó esa inspección, si se ha retenido algún contenido o evento y quién puede acceder al registro. Una solicitud de destino bloqueada no prueba ningún procesamiento de servicios de seguridad ni ninguna telemetría.
Prueba la aplicación exacta, el cliente instalado, la política y la ruta de entrada. Este ejemplo es una pregunta de evaluación, no un resultado observado Aona despliegue.
10 preguntas para hacer a tu proveedor de seguridad de IA
Registre respuestas, evidencias y un responsable para cualquier punto no resuelto. Use las mismas preguntas para cada configuración propuesta de proveedor.
1. ¿Se conserva el contenido completo de prompt o de archivo?
Separar la inspección de transitorios del contenido retenido, eventos de política y metadatos de la cuenta. Pide la lista de campos y configuración reales.
2. ¿Dónde se almacena cada categoría de datos retenidos?
Nombra la ubicación de los prompts, archivos, eventos, configuración y copias de seguridad. Un nombre de proveedor en la nube no es una ubicación.
3. ¿Dónde se procesa?
Registra la inspección, clasificación y cualquier otro lugar de procesamiento por separado del almacenamiento. Comprueba la combinación exacta de cliente y funcionalidad.
4. ¿Qué cuenta y proveedor de IA reciben la solicitud?
Revisa por separado los términos y la configuración de la cuenta de ese proveedor. La región del proveedor de seguridad no establece el manejo del proveedor de IA.
5. ¿Qué subprocesadores pueden recibir o acceder a los datos?
Identifica su propósito, entidad legal y ubicación, y a qué categorías de datos puede acceder cada uno.
6. ¿Quién puede acceder a los datos para apoyo o administración?
Pregunta por ubicaciones de acceso, permisos y registros. El acceso remoto puede ser relevante para una evaluación de transferencia incluso cuando el almacenamiento permanece local.
7. ¿Se utiliza contenido para entrenar o mejorar modelos?
Registra el propósito y los términos de la cuenta aplicables. Una declaración de no formación por sí sola no significa no tener almacenamiento ni retención de monitorización de abusos.
8. ¿Cómo funcionan la retención y la eliminación?
Separar el contenido de los eventos y metadatos. Incluir periodos configurados, copias de seguridad, eliminación de salidas y cualquier excepción documentada.
9. ¿Qué acuerdo y mecanismo de transferencia se aplican?
Mantén la DPA, la orden aplicable o el compromiso regional, los subprocesadores y cualquier evaluación de transferencia juntos. Identifica las preguntas no resueltas antes de la aprobación.
10. ¿Qué pruebas apoyan la respuesta?
Revisa la arquitectura relevante, configuración, prueba sintética y informe de garantía independiente. Una insignia de garantía no es un mapa de flujo de datos.
Una región es una parte de una evaluación de transferencia
Las normas de transferencia de la UE y el Reino Unido se refieren a la divulgación o acceso relevante a datos personales, no solo a la dirección de almacenamiento físico. Un destinatario extranjero, acceso de soporte, subprocesadores o procesamiento posterior puede necesitar una evaluación separada.
En el marco de la UE, las decisiones aplicables sobre adecuación y las salvaguardas del Artículo 46 son rutas de transferencia diferentes. La ICO también distingue en Reino Unido la adecuación, las salvaguardas adecuadas y las excepciones. Consulta las entidades reales, los propósitos y la vía aplicable con tu equipo de privacidad o legal.
Lee la lista ↗ de verificación de transferencias de la UE y Reino Unido
Cómo usar la documentación pública
Una página de fideicomiso, un documento de arquitectura y un DPA cumplen funciones diferentes. Utiliza documentación pública para identificar las preguntas adecuadas y luego verifica el acuerdo y la configuración que se aplican a tu despliegue. Que falte detalle público es una cuestión abierta, no prueba de que un proveedor careza de ese control.
Conserva la versión del documento, fecha de fuente y alcance relevante. Revisa la revisión cuando cambie un cliente, cuenta de proveedor, subprocesador o configuración de manejo de datos.
Aonaopciones de alojamiento y procesamiento
El backend de Aonapuede ejecutarse en tu nube, local o en servidores gestionados por Aona. El procesamiento de prompt puede ejecutarse en el dispositivo del usuario, en tu entorno o en servidores gestionados por Aona. Confirma la combinación soportada y los campos que se conservan para los controles requeridos.
Las siete opciones regionales gestionadas Aonason Australia, Francia, Reino Unido, Alemania, Estados Unidos, Singapur y Hong Kong. Los términos de procesamiento, almacenamiento y cuenta del proveedor de IA permanecen separados.
Aona ha completado un examen SOC 2 Tipo II que cubre Seguridad, Confidencialidad y Disponibilidad. Solicite el informe para revisar los hallazgos del auditor y el alcance completo del sistema. La retención de datos es configurable por cliente, por ejemplo 30, 90 o 180 días. Acordar la configuración de retención y eliminación para los datos en su despliegue seleccionado.