30 días de prueba de riesgos de IA generativa -Empezar ahora
Ir al contenido principal
Aona
Solicitar una demo
Plantilla gratuita · Seguridad de IA

Auditoría de seguridad de IA Checklist

Una auditoría estructurada de su postura de seguridad de IA a lo largo de 7 dominios de control: infraestructura, datos, modelo, accesos, registro, cadena de suministro y gobernanza.

Descargar plantillaReservar demo
7 dominios
cobertura de seguridad completa
85+ controles
puntos de verificación auditables
3 marcos
NIST, ISO 42001, EU AI Act
Gratis
para usar y personalizar

Por qué una auditoría de seguridad de IA es diferente

Las auditorías de seguridad de aplicaciones tradicionales pasan por alto las superficies de ataque que introducen los sistemas de IA: inyección de prompts, envenenamiento de datos de entrenamiento, extracción de modelos y fuga de datos a través de los prompts. Un informe SOC 2 estándar no le dice casi nada sobre si un endpoint LLM filtrará los datos de sus clientes cuando se le interrogue de forma adversaria. Una auditoría específica de IA cierra esa brecha.

85+
controles a lo largo de 7 dominios específicos de IA
Abarca infraestructura, datos, modelo, accesos, registro, cadena de suministro y gobernanza, con comprobaciones de resiliencia adversaria que las auditorías tradicionales no incluyen.
35 M€
multa máxima del EU AI Act
Los sistemas de IA de alto riesgo que incumplen los requisitos de ciberseguridad del artículo 15 se exponen a sanciones considerables; la auditoría produce las pruebas que el regulador espera.
Ago 2026
plazo de alto riesgo del EU AI Act
Las obligaciones de los sistemas de alto riesgo serán exigibles en agosto de 2026. Las organizaciones necesitan auditorías de seguridad documentadas antes de esa fecha.
Continua
la supervisión complementa la auditoría
Una auditoría puntual es una base de referencia; los sistemas de alto riesgo requieren una supervisión continua poscomercialización conforme al artículo 61 del EU AI Act.

La checklist de auditoría

Recorra cada dominio de forma sistemática. Marque los controles como Cumple / No cumple / N/A con las pruebas correspondientes. Registre el nivel de riesgo de cada control que no cumpla.

Evalúe la capa de red, cómputo y nube que aloja las cargas de trabajo de IA. Las brechas de infraestructura son el hallazgo más frecuente en las auditorías de IA empresariales.

Segmentación de red implementada
Los sistemas de IA están aislados de las redes corporativas generales; el tráfico de entrenamiento e inferencia atraviesa segmentos dedicados con reglas de firewall explícitas.
Puerta de enlace API y WAF desplegados
Todos los endpoints de inferencia de IA se encuentran tras una puerta de enlace API autenticada con protección WAF, limitación de tasa y mitigación de DDoS.
Entorno de cómputo reforzado
Las instancias GPU/TPU siguen una configuración base reforzada; las imágenes de contenedor se escanean en la compilación; se aplica RBAC de Kubernetes; sin credenciales codificadas.
Gestión de secretos aplicada
Los pesos de los modelos, las claves API y las credenciales de entrenamiento se almacenan en un KMS o bóveda de secretos, nunca en el código, en capas de contenedor ni en archivos de entorno versionados en el control de código fuente.
El IAM en la nube sigue el mínimo privilegio
Los roles en la nube asignados a las cargas de trabajo de IA se limitan a los permisos mínimos necesarios; los buckets de datos de entrenamiento son privados; la supervisión CSPM está activa.
Descargar checklist completa

Cómo realizar la auditoría

Cinco pasos para producir una auditoría que resista el escrutinio del regulador y de la auditoría interna, y no un artefacto de checklist archivado en un cajón.

1
Definir el alcance y el desencadenante de la auditoría
Identifique qué sistemas de IA están dentro del alcance (modelos de producción, servicios de IA de proveedores, canalizaciones de entrenamiento) y registre el desencadenante de la auditoría: inicial, anual, previa al despliegue, motivada por un incidente o por el regulador.
2
Recopilar pruebas antes de puntuar
Reúna exportaciones de configuración, revisiones de acceso, informes de pruebas de penetración, registros de incidentes, fichas de modelo y DPIA. Puntuar de memoria produce falsos positivos que erosionan la credibilidad de la auditoría ante las partes interesadas.
3
Recorrer los más de 85 controles
Marque cada control como Cumple / No cumple / N/A con las pruebas correspondientes. Cuando un control no cumpla, registre el nivel de riesgo (Crítico / Alto / Moderado / Bajo) para que los hallazgos puedan priorizarse después.
4
Consolidar las puntuaciones y aplicar la calificación de riesgo
Calcule las puntuaciones por sección y un porcentaje global. Asígnelo a la banda de calificación de riesgo: 90–100 % Bajo, 75–89 % Moderado, 60–74 % Alto, por debajo del 60 % Crítico. Los hallazgos críticos pueden justificar la pausa del sistema de IA hasta que se complete la remediación.
5
Asignar la remediación y reauditar al cierre
Cada No cumple recibe un responsable, una gravedad, una fecha límite y un estado. Reaudite cada control no conforme una vez completada la remediación, no espere a la siguiente auditoría anual para confirmar el cierre.

FAQ

Preguntas frecuentes

¿Qué abarca una auditoría de seguridad de IA?
Una auditoría de seguridad de IA evalúa la postura de seguridad de los sistemas de IA en infraestructura (red, cómputo, nube), datos (en reposo, en tránsito, ciclo de vida), integridad del modelo y resiliencia adversaria, control de accesos, registro y supervisión, cadena de suministro (modelos de terceros, conjuntos de datos, bibliotecas) y cumplimiento/gobernanza. A diferencia de las auditorías de seguridad de aplicaciones tradicionales, las auditorías específicas de IA deben abarcar la resistencia a la inyección de prompts, la integridad de los datos de entrenamiento, las defensas contra la extracción de modelos y la fuga de datos a través de los prompts.
¿Con qué frecuencia debe realizarse una auditoría de seguridad de IA?
Realice una auditoría de seguridad de IA completa al menos una vez al año, además de una auditoría previa al despliegue para cada nuevo sistema de IA de producción. Active una auditoría intermedia tras cualquier actualización de modelo, cambio de datos significativo, incidente de seguridad o cambio regulatorio. Para los sistemas de alto riesgo bajo el EU AI Act, se espera una supervisión continua junto con la cadencia formal de auditoría.
¿Quién debe dirigir una auditoría de seguridad de IA?
La auditoría debe estar dirigida por un ingeniero de seguridad sénior o un revisor de seguridad de IA dedicado, con la aprobación del CISO, el propietario del sistema de IA y el responsable de gobernanza de IA. Las secciones de pruebas de penetración y resiliencia adversaria se benefician de aportaciones especializadas, ya sea un red team de IA interno o un proveedor externo cualificado.
¿Cómo se relaciona esta checklist con marcos como NIST AI RMF o ISO 42001?
Los dominios de control se alinean directamente con las funciones Measure y Manage del NIST AI RMF y con los controles del anexo A de la ISO/IEC 42001, en particular A.6 (ciclo de vida del sistema de IA), A.7 (datos para sistemas de IA) y A.10 (relaciones con terceros). También respalda la recopilación de pruebas para los artículos 9 (gestión de riesgos), 15 (ciberseguridad) y 12 (conservación de registros) del EU AI Act.

Descargar la checklist de auditoría de seguridad de IA

Checklist gratuita en formato .docx con más de 85 controles a lo largo de 7 dominios. Personalícela para su organización y comience a auditar.

Descargar DOCX

Consiga las 39 plantillas en un único ZIP. Políticas, registros, listas de comprobación y planes de despliegue.

Empezar

De la instantánea de auditoría a la seguridad de IA continua

Una auditoría puntual detecta las brechas que conoce hoy. Aona descubre de forma continua el shadow AI, detecta los datos sensibles que fluyen hacia las herramientas de IA y mantiene actualizadas sus pruebas de auditoría, de modo que la próxima auditoría se convierta en una revisión y no en una expedición arqueológica.

Reservar una demo
Recursos relacionados
Shadow AI Risk Assessment Tool (free, 2-minute score)Plataforma Aona AIMarco de gobernanza de IAChecklist de evaluación de riesgos de IACuestionario de seguridad de proveedores de IAEvaluación de riesgos de IA de tercerosTodas las plantillas
Checklist de auditoría de seguridad de IA (2026), plantilla gratuita | Aona AI