Resolución SBS N° 504-2021: seguridad de la información y ciberseguridad
El Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad rige desde julio de 2021 para las empresas supervisadas por la SBS. Varias de sus exigencias aplican directamente a un agente de IA que trabaja sobre el código:
| Lo que pide la SBS | Cómo responde Harkaq |
|---|---|
| Controlar las cuentas con privilegios, segregar funciones y aplicar mínimo privilegio (art. 12.2) | El agente no tiene credenciales. Quien pide nunca aprueba, y los permisos son de un uso y vencen solos |
| Separar los ambientes de desarrollo, pruebas y producción (art. 12.3) | El agente trabaja en un espacio aislado y solo sube cambios a sus propias ramas |
| Seguridad en el ciclo de vida del software y control de cambios sobre el código fuente (art. 12.5) | El código del agente llega marcado y solo entra a producción con la aprobación de otra persona |
| Monitoreo y preservación de evidencia (arts. 12.6 y 17) | Bitácora encadenada de cada acción e informe de evidencia verificable |
| Gestión de servicios de terceros y de nube (arts. 22 a 25) | El modelo de IA se contrata en la cuenta de nube de la empresa y en la región que elija |
Ley 31814 y su reglamento: inteligencia artificial
La Ley 31814 promueve el uso de la IA y su reglamento, el DS 115-2025-PCM, se publicó en septiembre de 2025. Para el sector de economía y finanzas, el plazo de adecuación fue de un año. Entre otras obligaciones, el artículo 31 pide documentar el funcionamiento del sistema, tener políticas de seguridad y rendición de cuentas, capacitar al personal y mantener supervisión humana capaz de detener o corregir el sistema.
Con Harkaq, la supervisión humana no es un documento: lo que el agente no tiene permitido no sale, lo nuevo lo decide una persona y cada acción queda registrada.
Ley 29733: protección de datos personales
El nuevo reglamento de la Ley 29733, el DS 016-2024-JUS, se publicó en noviembre de 2024 y refuerza las medidas de seguridad, la gestión de accesos, la notificación de incidentes y las reglas para el flujo transfronterizo de datos. Si el agente trabaja sobre sistemas con datos personales, la empresa tiene que poder mostrar quién accedió a qué y que los datos no salieron a destinos no autorizados. El gateway de Harkaq revisa todo lo que sale y registra cada acceso.
Marco de Confianza Digital
El reglamento del Marco de Confianza Digital (DS 126-2025-PCM) pide a proveedores del sector financiero, de servicios básicos, salud y otros gestionar el riesgo de seguridad digital, aplicar controles proporcionales y notificar los incidentes críticos al Centro Nacional de Seguridad Digital.
Lo que pedirá ver un auditor
- El agente y el modelo registrados como proveedores, con dónde se procesan los datos.
- Que el agente no tenga credenciales permanentes y que los accesos nuevos los apruebe otra persona.
- Registros íntegros de cada acción del agente, trazables hasta la persona.
- Que el código del agente se identifique y se revise antes de producción.
- Evidencia de que los controles funcionaron, no solo políticas escritas.