CMF: seguridad de la información, ciberseguridad y externalización
Para bancos, emisores de tarjetas y otras entidades fiscalizadas, el capítulo 20-10 de la Recopilación Actualizada de Normas de la CMF exige gestionar la seguridad de la información y la ciberseguridad con una estrategia aprobada por el directorio, gestión de riesgos e incidentes, y pruebas de seguridad. El capítulo 20-7 regula la externalización de servicios, incluida la nube, y pide gestionar el riesgo de cada proveedor.
| Lo que pide la CMF | Cómo responde Harkaq |
|---|---|
| Gestionar el riesgo de seguridad de la información | Una sola regla para todos los agentes, con control por operación |
| Gestionar los incidentes | Cada intento bloqueado queda registrado y Seguridad recibe el aviso |
| Gestionar el riesgo de los proveedores y de la nube | El modelo de IA se contrata en la cuenta de la empresa y en la región que elija |
| Evidencia para la supervisión | Bitácora encadenada e informe de evidencia verificable |
Ley 21.663, Ley Marco de Ciberseguridad
La Ley Marco de Ciberseguridad creó la Agencia Nacional de Ciberseguridad (ANCI) y obliga a los operadores de importancia vital, entre ellos bancos ya calificados por la agencia, a mantener un sistema de gestión de seguridad de la información con registro de sus acciones y a reportar los incidentes al CSIRT Nacional en plazos cortos. Con Harkaq, cada acción de un agente de IA queda registrada y trazable a la persona, lista para alimentar ese registro.
Ley 21.719: protección de datos personales
La Ley 21.719 crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026. Su artículo 14 quinquies pide medidas de seguridad según el riesgo y, sobre todo, que el responsable pueda acreditar que existían y funcionaban. También exige reportar las vulneraciones y llevar un registro de ellas.
Para una empresa que deja trabajar a agentes de IA sobre sistemas con datos personales, acreditar significa tener evidencia: qué tocó el agente, qué intentó enviar, qué se bloqueó y quién aprobó cada excepción. Eso es lo que entrega el informe de evidencia de Harkaq.
Inteligencia artificial
Chile todavía no tiene una ley de IA: el proyecto de ley está en segundo trámite en el Senado. Las empresas que adopten agentes ahora con control y evidencia van a llegar mejor preparadas cuando se apruebe.
Lo que pedirá ver un auditor
- El agente y el modelo registrados como proveedores, con dónde se procesan los datos.
- Que el agente no tenga credenciales permanentes y que los accesos nuevos los apruebe otra persona.
- Registros íntegros de cada acción del agente, trazables hasta la persona.
- Que el código del agente se identifique y se revise antes de producción.
- Evidencia de que los controles funcionaron, no solo políticas escritas.