Traducción automática: aún no revisada por un traductor profesional. (Machine translation — not yet professionally reviewed)
Cytra Manual de cumplimiento
Cómo implementamos las categorías estándar de NIST AI RMF, ISO/IEC 42001 y la EU AI Act.
Los cinco pilares de CARGO — Control, Assessment, Records, Guardrails y Oversight — son la forma en que organizamos las categorías de control estándar de esos marcos en veinte áreas objetivas. No inventamos las categorías y no lo afirmamos; CARGO es la lente que las mapea una vez, para que pueda demostrarlas en todas partes. Cytra le mantiene alineado y listo para una auditoría, no certificado.
CARGO — Cytra AI Regulatory and Governance Objectives — es el marco abierto que Cytra desarrolló y publica. Las mismas cinco letras nombran sus cinco pilares: Control, Assessment, Records, Guardrails y Oversight. La lente es nuestra y se publica abiertamente; «CARGO» es solo nuestra convención de nombre interno. Los objetivos de control en sí no son novedosos y no son una invención de Cytra — son los requisitos estándar de NIST AI RMF e ISO/IEC 42001:2023, alineados con la EU AI Act. Las normas hacen el trabajo.
Cumplimiento como registro
El manual no es una carpeta — se alimenta de lo que se ejecuta.
Cytra Gateway, nuestra pasarela gestionada para llamadas de herramientas de agentes de IA, trata cada llamada gobernada como un registro estructurado y firmado. Esos registros se agrupan en los mismos cinco pilares que describe el manual, de modo que la evidencia de un control es telemetría continua de ejecución — asignada a los objetivos de control de NIST AI RMF, ISO/IEC 42001 y la EU AI Act — y no un documento armado después.
Para precisar la postura: Cytra está alineado, no está certificado. Mapeamos la evidencia a estos marcos; no afirmamos que se haya concedido certificación alguna, y Cytra Gateway está actualmente en beta privada.
Cinco pilares, veinte áreas objetivas
Los cinco pilares de CARGO — y las categorías estándar que carga cada uno.
Control y rendición de cuentas
NIST AI RMF Govern · ISO/IEC 42001:2023 §5 · EU AI Act Art. 4
La columna de gobernanza: quién es dueño del riesgo de IA, y la política y las personas que hacen exigible el resto.
- Estructura de gobernanza y rendición de cuentas — responsables nominados y un comité transversal de riesgo de IA.
- Política, normas y apetito de riesgo.
- Roles, competencia y alfabetización en IA (EU AI Act Art. 4).
- Gobernanza de terceros y de la cadena de suministro — proveedores de modelos, vendedores de datos, herramientas de agentes.
Evaluación y riesgo
NIST AI RMF Map · Measure · ISO/IEC 42001:2023 §6 · EU AI Act Art. 6, 9, 10, 27
Sepa qué IA ejecuta, clasifíquela por riesgo y evalúe su impacto en un ciclo de vida continuo.
- Inventario de IA y clasificación del sistema (EU AI Act Art. 6 / Annex III).
- Evaluación de riesgo e impacto, incluida la evaluación de impacto sobre los derechos fundamentales (Art. 27).
- Ciclo de vida continuo de gestión del riesgo (Art. 9).
- Gobernanza y calidad de los datos (Art. 10).
Registros y evidencia
NIST AI RMF Measure · ISO/IEC 42001:2023 §7.5, §9.2 · EU AI Act Art. 11, 12 · Annex IV
La capa de prueba — el pilar más difícil de cubrir solo con documentos, porque exige evidencia de lo que hizo la IA.
- Documentación técnica (EU AI Act Art. 11 / Annex IV).
- Registro automático y conservación de registros (Art. 12).
- Evidencia resistente a la manipulación y retención — un registro hash-chain / WORM por inquilino.
- Preparación de conformidad y de auditoría (Art. 43).
Salvaguardas y operaciones
NIST AI RMF Manage · ISO/IEC 42001:2023 §8 · EU AI Act Art. 14, 15
Controles que actúan donde se ejecuta la IA, antes de que una acción termine — incluida cada llamada de herramienta de un agente.
- Salvaguardas operativas y política de ejecución — compuertas de aprobación, techos de presupuesto, un interruptor de parada del operador.
- Seguridad, robustez y resiliencia (Art. 15).
- Seguimiento de sesgo, equidad y rendimiento — medición programada sobre conjuntos de evaluación configurados, con eventos de incumplimiento auditables.
- Gobernanza de agentes e identidades no humanas (NHI).
Supervisión y mejora
NIST AI RMF Manage · Govern · ISO/IEC 42001:2023 §9, §10 · EU AI Act Art. 13, 14, 50, 72, 73
Mantenga a las personas al mando y cierre el ciclo a medida que evolucionan los riesgos y las normas.
- Supervisión e intervención humanas (Art. 14) — Understand, Monitor, Intervene, Stop.
- Transparencia y comunicación (Art. 13, Art. 50).
- Seguimiento poscomercialización y respuesta a incidentes (Art. 72, Art. 73).
- Revisión, auditoría interna y mejora continua.
Instantánea del marco
- Pilares
- 05
- Áreas objetivas
- 20
- Postura
- Alineado
Alineado y listo para auditoría, no certificado.
Marco abierto CC BY 4.0
Llévase el marco. Es suyo.
El marco CARGO se publica gratis bajo Creative Commons Attribution 4.0 (CC BY 4.0): adóptelo, adáptelo y construya sobre él, con atribución. Los nombres y logotipos «CARGO» y «Cytra» siguen siendo nuestros; los objetivos de control son los estándar de NIST AI RMF, ISO/IEC 42001 y la EU AI Act, así que el marco es de todos. La v0.1 está en revisión pública final: deje su correo y enviaremos el PDF completo en el momento en que se abra el borrador público.
Siguiente paso poner el manual en operación
Convierta las normas en un registro de cómo se ejecuta su IA.
Cytra mapea sus controles una vez y convierte cómo se ejecuta su IA en evidencia continua en los cinco pilares, para que pueda demostrar alineación con NIST AI RMF, ISO/IEC 42001 y la EU AI Act sin duplicar el esfuerzo. La pasarela gestionada que genera la evidencia está en beta privada; cuéntenos su IA y delimitaremos el acceso anticipado.