¿Cómo debe registrarse y auditarse la responsabilidad por modelos, conjuntos de datos, API, complementos, herramientas y proveedores de infraestructura de terceros?

En lenguaje claro

Imagine que utiliza una cocina alquilada. El propietario del horno puede responder de un equipo defectuoso, pero usted sigue respondiendo de los ingredientes elegidos, de cómo prepara la comida y de lo que sirve al cliente. Una herramienta externa no traslada todas las decisiones fuera de su organización.

Por qué importa

Un cambio de un proveedor de la cadena puede alterar flujos de datos, comportamiento del modelo, seguridad o significado de una salida. Sin inventario y plan de salida, la organización puede no identificar el componente responsable ni continuar el servicio de forma segura.

No confundir

• El proveedor suministra el producto; la organización que lo despliega o utiliza lo aplica a una finalidad concreta.
• El operador técnico, el responsable de la decisión y la parte jurídicamente responsable no siempre coinciden.
• Un conjunto de datos, modelo fundacional, ajuste fino, API, complemento y servicio de infraestructura son elementos distintos de la cadena de suministro.
• Una asignación contractual de responsabilidad no elimina automáticamente todas las obligaciones frente a las personas afectadas.
• La disponibilidad de un servicio no demuestra que sea seguro o adecuado para un uso concreto.

Qué hacer

1. Inventaríe cada modelo, conjunto de datos, API, complemento, herramienta y dependencia de infraestructura a nivel de versión.
2. Para cada componente, registre responsable de negocio, técnico, de datos, de decisión y de incidentes.
3. Antes de comprar o integrar, revise pruebas sobre seguridad, privacidad, procedencia de datos, limitaciones y soporte.
4. Minimice los datos y permisos de herramientas; no conceda al proveedor acceso innecesario.
5. Exija notificación y nuevas pruebas ante cambios de versión, interrupciones, incidentes de datos o cambios relevantes de condiciones.
6. Conserve trazas que conecten instrucciones, salidas, versiones del modelo, llamadas a herramientas y eventos del proveedor.
7. Prepare y pruebe portabilidad de datos, servicio alternativo, reversión y salida segura ante cambios o pérdida del proveedor.

Cómo auditarlo

• ¿Se conocen todos los componentes de terceros y subdependencias?
• ¿Existe dentro de la organización un responsable humano para cada riesgo y decisión?
• ¿Se contrastó una declaración del proveedor con pruebas independientes o adecuadas?
• ¿Se registran de forma comprensible el uso de datos, la conservación, los subencargados y los límites?
• ¿Pueden detectarse cambios silenciosos de versión o configuración?
• ¿Son operativas durante un incidente las condiciones de acceso a registros, notificación, cooperación y reversión?
• ¿Se probó el plan de salida con datos y dependencias reales?