Diseñado para la auditoría

La lista de riesgos de seguridad de referencia para sistemas de agentes de IA. VeriSwarm cubre los 10 riesgos — 7 totalmente cubiertos, 3 parciales con una hoja de ruta documentada.

• 7 de 10 riesgos totalmente cubiertos, 3 parciales en el plan Max
• Verificación entre modelos para el envenenamiento de memoria
• Detección de inyecciones de Guard + tokenización de PII
• Registro de auditoría inmutable de Vault

Reglamento de la UE sobre inteligencia artificial. La transparencia del Artículo 50 (interacción con IA y divulgación al principal, marcado de contenido sintético) y la aplicación de GPAI están vigentes desde el 2 de agosto de 2026. Las obligaciones de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027 y las obligaciones de producto embebido del Anexo I desde el 2 de agosto de 2028, según el Ómnibus Digital sobre IA (Reg. (UE) 2026/1744, en vigor desde el 27 de julio de 2026).

• Artículo 9: Gestión de riesgos mediante la puntuación de Gate
• Artículo 12: Mantenimiento de registros mediante el libro mayor de Vault
• Artículo 14: Supervisión humana mediante Workflows
• Artículo 15: Robustez mediante Guard + interruptores de circuito
• Artículo 50: Etiquetado de contenido de IA mediante manifiestos de procedencia firmados
• Art. 50(1) Interacción con IA + divulgación al principal mediante delegaciones de Passport

Derogada y reformulada por la SB 26-189: un régimen de transparencia y derechos del consumidor sobre la 'ADMT cubierta' (tecnología de toma de decisiones automatizada) que influye materialmente en una decisión consecuente. Aviso previo al uso, explicación tras un resultado adverso, revisión humana significativa y conservación de registros por 3 años. Fecha de cumplimiento operativa 2027-01-01. La aplicación del régimen predecesor está suspendida a la espera de xAI v. Weiser (D. Colo.); la fecha operativa 2027-01-01 se mantiene, pero conlleva riesgo de litigio.

• §6-1-1701: Inventario y clasificación de ADMT cubierta mediante etiquetado de agentes
• §6-1-1702: Documentación del desarrollador a los implementadores mediante manifiestos de procedencia firmados
• §6-1-1703: Aviso previo al consumidor mediante el flujo de eventos de auditoría
• §6-1-1703: Explicación tras resultado adverso en un plazo de 30 días mediante Vault
• §6-1-1703: Revisión humana significativa mediante el flujo human_review
• Conservación de registros durante 3 años mediante la cadena de hash de Vault (revisión voluntaria de sesgos más allá del mínimo legal)

Cobertura consolidada para once leyes estatales de seguridad de IA conversacional (NE, WA, ID, OR, HI, CO, TN, WY, RI, GA, IA). Divulgación, intervención en crisis, protecciones para menores y salvaguardas de chatbots de compañía — las obligaciones de Hawái, Tennessee, Wyoming y Colorado ya están vigentes.

• Divulgación de IA a los usuarios, persistente para menores
• Detección de autolesiones + referencias al 988 / Youthline
• Prevención de contenido sexualmente explícito para menores
• Prohibición del compromiso manipulador para menores
• Informe anual de seguridad (Oregon SB 1546)
• Salvaguardas para menores en chatbots de compañía (CO/HI/WY) mediante las políticas de Guard

El marco de transparencia y notificación de incidentes de Nueva York para grandes desarrolladores de modelos de frontera. Ventanas de incidente crítico de 72 y 24 horas.

• Marco de IA de frontera publicado (gestión de riesgo catastrófico)
• Notificación de incidentes de seguridad críticos en 72 horas
• Notificación acelerada en 24 horas para daño inminente
• Evaluación de riesgo catastrófico por terceros
• Revisión de mitigación previa al despliegue mediante el flujo human_review

La primera en entrar en vigor de la nueva ola. Marco anual, informes de transparencia previos al despliegue, notificación de incidentes en 15 días / 24 horas y protecciones para denunciantes. Sanciones civiles de hasta 1.000.000 $ por infracción.

• Marco anual de IA de frontera (grandes desarrolladores)
• Informes de transparencia previos al despliegue para cada modelo de frontera
• Notificación de incidentes críticos en 15 días a CalOES
• Notificación acelerada en 24 horas para amenaza pública inminente
• Alineación con NIST AI RMF o el mapeo cruzado de ISO 42001

La Ley de Medidas de Seguridad de IA de Illinois — la primera ley estatal que exige una auditoría de seguridad de IA anual e independiente de terceros para grandes desarrolladores de frontera, junto con un marco de seguridad de riesgo catastrófico y notificación de incidentes críticos.

• Marco de seguridad de IA de frontera publicado mediante manifiestos de procedencia de contenido firmados
• Notificación de incidentes de seguridad críticos mediante la cronología inmutable de Vault
• Evidencia de auditoría anual por terceros mediante exportaciones de Vault
• Registro de escalado de denuncias mediante el servicio de escalado humano

La ley ómnibus de IA de Connecticut: divulgación de IA, procedencia de contenido sintético, salvaguardas para decisiones automatizadas de empleo y reglas de chatbots de compañía — las disposiciones sobre chatbots entran en vigor el 1 de octubre de 2026.

• Divulgación de IA a los usuarios mediante el texto del perfil del agente + insignias de confianza
• Procedencia de contenido sintético mediante manifiestos firmados
• Salvaguardas para decisiones automatizadas de empleo mediante los flujos human_review
• Protecciones de crisis + menores en chatbots de compañía mediante las reglas de política de Guard
• Protecciones para denunciantes de frontera mediante el servicio de escalado humano

La Ley Básica de IA de Corea del Sur — el primer régimen integral de IA fuera de la UE. El etiquetado de resultados de IA generativa ya es exigible; la gestión de riesgo de alto impacto, la supervisión humana y las obligaciones de mantenimiento de registros se implementan gradualmente bajo el período de gracia del MSIT.

• Gestión de riesgo de IA de alto impacto mediante la puntuación de confianza de 4 ejes de Gate
• Etiquetado de resultados de IA generativa mediante manifiestos de procedencia firmados (ya vigente)
• Supervisión humana de la IA de alto impacto mediante human_review + interruptor de apagado
• Documentación y mantenimiento de registros mediante el libro mayor encadenado por hash de Vault
• Explicabilidad mediante instantáneas de puntuación por eje + cronología del agente

Guía conjunta de CISA/NSA/Five Eyes para despliegues de IA agéntica: identidad criptográfica por agente, acceso a herramientas con privilegio mínimo, escaneo de configuración/cadena de suministro, monitoreo del comportamiento y registro de acciones atribuible e inalterable.

• Identidad criptográfica por agente mediante Passport + credenciales JWT portátiles
• Privilegio mínimo y acceso a herramientas con alcance limitado mediante listas de permitidos + política de Cedar
• Escaneo de configuración y cadena de suministro mediante Guard + el escáner de herramientas MCP
• Monitoreo del comportamiento en tiempo de ejecución mediante puntuación de confianza + interruptor de apagado
• Registro atribuible e inalterable mediante la cadena de hash de Vault

Marco federal de EE. UU. para la gestión de riesgos de IA. Cuatro funciones principales: Govern, Map, Measure, Manage.

• Govern: Motor de políticas + gobernanza limitada por plan
• Map: Certificación OWASP + puntuación de 4 ejes
• Measure: Presupuestos de error + seguimiento de hallazgos de Guard
• Manage: Interruptor de apagado + interruptores de circuito

Norma internacional para sistemas de gestión de IA. Cubre desde el contexto organizacional hasta la mejora continua.

• Operaciones: Cortex Workflows + escaneo de Guard
• Rendimiento: Seguimiento de SLO + análisis de costos
• Mejora: Registro de auditoría de Vault para análisis de tendencias

Régimen federal de confidencialidad para los registros de tratamiento por trastorno de consumo de sustancias. Más estricto que HIPAA en cuanto a consentimiento y redivulgación. En la lista de 'lo que estamos observando' de HHS OCR para 2026.

• §2.13: Divulgación condicionada al consentimiento mediante política de Cedar + tokenización de PII de Guard
• §2.16: Cadena de hash de Vault como el registro de seguridad contemporáneo
• §2.24: Cumplimiento del derecho de acceso mediante Cortex Workflows
• §2.25: La exportación de Vault = la contabilidad de divulgaciones del §2.25 al pie de la letra
• §2.31: Flujo de captura de consentimiento con puerta human_review
• §2.32: Aviso de redivulgación automático en los flujos de divulgación
• §2.51: Rama de anulación de emergencia de Cedar con evento de justificación en Vault

Modelo de la Asociación Nacional de Comisionados de Seguros para la gobernanza de IA a nivel estatal de las aseguradoras. Veinticuatro estados más DC lo han adoptado; los departamentos ya emiten preguntas de examen de conducta de mercado basadas en él.

• §3: Programa de gobernanza de IA/ML por escrito mediante políticas de Cedar + auditoría de Vault
• §4.1: Pruebas previas al despliegue mediante la puntuación de Gate + escaneos de Guard
• §4.2: Detección de desviación mediante presupuestos de error + puntuación de fiabilidad
• §4.3: Gobernanza de IA de terceros mediante el registro de integraciones + manifiestos
• §4.4: Explicabilidad de resultados adversos mediante los registros de decisión de Vault

Regulación de la División de Seguros de Colorado distinta de la ley general Colorado AI Act. Exige inventario de algoritmos, pruebas cuantitativas de sesgo, controles por nivel de riesgo y un informe de cumplimiento anual presentado ante el DOI.

• §A: Inventario de algoritmos mediante manifiestos de Fleet con metadatos de divulgación de uso
• §B: Pruebas cuantitativas de sesgo mediante reglas de enrutamiento + auditorías de perfiles de puntuación
• §C: Controles por nivel de riesgo aplicados mediante la política de Cedar + puertas de ciclo de vida
• §D: Informe de cumplimiento anual mediante la exportación de Vault + el endpoint de evaluación

Regulación de ciberseguridad del Departamento de Servicios Financieros de Nueva York, ampliada mediante la Carta de la Industria de IA de octubre de 2024. Cubre bancos, aseguradoras y asesores de inversión licenciados en NY que operan IA en producción.

• §500.2: Programa de ciberseguridad de IA mediante la pila de Guard + Cedar + Vault
• §500.3: Evaluación de riesgo específica de IA mediante el inventario de Fleet + puntuación
• §500.13: Controles de acceso + MFA aplicados mediante la política de ciclo de vida
• §500.17: Notificación de incidentes + registro de auditoría encadenado por hash

Marco antifraude para asesores de inversión registrados en la SEC. Tras la campaña de aplicación de marzo de 2024 contra el 'AI-washing', la SEC exige justificación para cada afirmación de marketing sobre IA.

• §206(1): Antifraude — marketing veraz mediante justificación en Vault, afirmación por afirmación
• §206(2): Disciplina de omisión material mediante flujos de divulgación obligatorios
• §206(4)-1: Revisión previa a la publicación de anuncios bajo la Marketing Rule (Cedar)
• §206(4)-7: Cobertura de IA en el programa de cumplimiento de la firma — paquete de evidencia del evaluador

Ley de Igualdad de Oportunidades de Crédito aplicada a decisiones de crédito impulsadas por IA. La circular de 2023 del CFPB deja claro que 'el modelo es demasiado complejo' no es una defensa válida bajo el §1002.9. Los fiscales generales estatales (NY, CO, CA) coordinan la aplicación.

• §1002.9: Notificaciones de acción adversa con razones específicas mediante los registros de decisión de Vault
• §1002.6: Pruebas de impacto dispar mediante reglas de enrutamiento + auditorías de perfiles de puntuación
• §1002.13: Divulgación de IA a nivel de solicitud mediante la transformación de Guard
• Evidencia de coordinación con fiscales generales estatales mediante el informe multijurisdiccional del evaluador

Marco federal de gestión de riesgo de modelos ampliado a la IA por la guía de 2024 de la OCC. Aplica a todos los bancos supervisados por la OCC (nacionales + asociaciones de ahorro federales) que usan IA en crédito, fraude, AML o flujos de cara al cliente.

• §III: Estándares de desarrollo de modelos documentados mediante manifiestos de Fleet
• §IV: Validación independiente mediante verificación entre modelos
• §V: Gobernanza de riesgo de modelos mediante Cedar + versionado de políticas por inquilino
• §VI: Desafío efectivo mediante human_review + captura de disidencia

Marco ético de la Asociación Estadounidense de Abogados para abogados que usan IA. Cada colegio de abogados estatal publica su propia opinión sobre IA bajo estas reglas; California, Florida y Nueva York ya han emitido opiniones formales.

• Regla 1.1: Competencia tecnológica — evidencia de la documentación de Cortex + historial de ejecuciones
• Regla 1.6: Confidencialidad del cliente — tokenización de PII de Guard en cada llamada a LLM
• Regla 3.3: Candor ante el tribunal — barreras contra alucinaciones + verificaciones de fundamentación
• Reglas 5.1 / 5.3: Supervisión mediante colas human_review + auditoría de asignación
• Variantes de política de Cedar por estado para opiniones de colegios de abogados específicas de cada jurisdicción

Marco de sanciones de las Reglas Federales de Procedimiento Civil para presentaciones de IA verificadas de forma inadecuada. El precedente de sanción de 110.000 $ en Oregón (enero de 2026) fija el piso actual; toda presentación federal que se apoye en IA debe mostrar verificación previa a la presentación.

• Regla 11(b)(2): Argumento legal justificado — flujo de verificación de citas + prueba en Vault
• Regla 11(b)(3): El argumento fáctico tiene respaldo probatorio mediante fundamentación + fuentes
• Regla 11(c): Evidencia de prevención de sanciones mediante human_review previo a la presentación
• Precedente de 110.000 $ en Oregón — el evaluador mapea tus controles al estándar del precedente

El estatuto de chatbots de compañía de California. Exige divulgación de IA, protocolos de seguridad ante autolesiones/suicidio, salvaguardas para menores y crea un derecho privado de acción con daños estatutarios.

• §22760.6: Divulgación de IA al usuario mediante un transformador persistente de Guard
• §22760.7: Protocolos de seguridad ante autolesiones + suicidio mediante reglas de intervención en crisis
• §22760.8: Salvaguardas para menores conocidos mediante la política de ciclo de vida + evidencia de verificación de edad
• §22760.9: Preservación de evidencia para el derecho privado de acción mediante Vault

La ley de procedencia de contenido y divulgación de IA de California para proveedores cubiertos. Exige marcado de contenido de IA, una herramienta de detección, divulgación de IA conversacional y conservación de registros de uso.

• AITA §1: Marcado de contenido de IA mediante manifiestos de procedencia firmados
• AITA §2: Provisión de herramienta de detección de IA mediante endpoints compatibles con OATS
• AITA §3: Divulgación de IA conversacional mediante el transformador de Guard
• AITA §4: Registros de uso de IA mediante la cadena de hash de Vault (conservación estatutaria)

Aplicación de prácticas engañosas de la Comisión Federal de Comercio. Operation AI Comply ha producido cinco líneas de prioridad de aplicación; el boletín aplica a cualquier negocio que haga afirmaciones sobre IA a consumidores de EE. UU.

• No tergiverses las capacidades de IA — justificación en Vault por cada afirmación pública
• No despliegues sin mitigación de daños — Guard siempre activo + puertas de ciclo de vida
• No explotes relaciones emocionales — reglas de Cedar sobre comportamientos de compañía
• No hagas afirmaciones sin justificar — flujo de revisión previo a la publicación
• No engañes con automatización — transformador de divulgación + registro de auditoría

La ley de gobernanza de IA basada en intención de Texas: límites de uso prohibido, divulgación de interacción con IA en gobierno/salud y un puerto seguro NIST-RMF.

• Escaneo de usos prohibidos (daño, derechos, CSAM/deepfake)
• Divulgación de interacción con IA en gobierno y salud
• Evidencia de puerto seguro NIST AI RMF mediante Vault

Enmienda de la Ley de Derechos Humanos de Illinois que regula la IA en el empleo: prohibición de efecto discriminatorio, prohibición de uso de código postal como proxy y aviso de uso de IA (las reglas de aviso están pendientes de la reglamentación final del IDHR).

• Barrera de entrada para clases protegidas / proxy de código postal
• Monitoreo de sesgo por efecto discriminatorio
• Aviso de uso de IA a empleados y solicitantes

La ley de divulgación de datos de entrenamiento de IA generativa de California: un resumen de conjunto de datos de 12 elementos publicado públicamente, capturado y auditado (varios controles son de atestación manual).

• Inventario y aplicabilidad de sistemas cubiertos
• Captura de publicación pública + registro de auditoría inmutable
• Corroboración de marcadores de información personal mediante Guard