Requisitos de rastro de auditoría del reglamento IA

• Artículo 12(1): el sistema debe poder registrar acontecimientos automáticamente

  Un sistema de IA de alto riesgo debe permitir técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de su ciclo de vida.

• Artículo 12(2): los archivos de registro sirven a tres fines

  El registro debe permitir anotar acontecimientos pertinentes para identificar situaciones de riesgo (artículo 79(1)) o modificaciones sustanciales, para el seguimiento posterior a la comercialización (artículo 72) y para la vigilancia del funcionamiento por los responsables del despliegue (artículo 26(5)). El Reglamento no enumera tipos de acontecimientos.

• Artículo 12(3): la identificación biométrica remota tiene un mínimo

  Los sistemas de identificación biométrica remota (anexo III, punto 1, letra a) deben registrar como mínimo el período de cada uso, la base de datos de referencia consultada, los datos de entrada que dieron una coincidencia y las personas que verificaron el resultado.

• Artículo 19(1): los proveedores conservan los archivos de registro al menos seis meses

  Los proveedores conservan los archivos de registro generados automáticamente, en la medida en que estén bajo su control. El período es adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión, en particular sobre protección de datos personales, o el Derecho nacional disponga otra cosa. Los proveedores que sean entidades financieras conservan los archivos como parte de su documentación conforme al Derecho de servicios financieros (artículo 19(2)).

• Artículo 26(6): los responsables del despliegue conservan los archivos de registro al menos seis meses

  Un responsable del despliegue es una persona física o jurídica, autoridad pública, órgano u organismo que utiliza el sistema bajo su propia autoridad (artículo 3, punto 4). Los responsables del despliegue conservan los archivos de registro que genere el sistema, en la medida en que estén bajo su control, durante un período adecuado a la finalidad prevista y de al menos seis meses, salvo que el Derecho de la Unión o nacional disponga otra cosa. Los que sean entidades financieras conservan los archivos como parte de la documentación que conservan conforme al Derecho de la Unión sobre servicios financieros y gobernanza interna.

• Artículo 21(2): las autoridades pueden pedir acceso a los archivos de registro

  A petición motivada de una autoridad competente, los proveedores dan acceso a los archivos de registro generados automáticamente, en la medida en que estén bajo su control.

• No figura en el Reglamento: formato de registro, inmutabilidad, cadenas de hash, región de almacenamiento

  Los artículos 12, 19 y 26(6) no nombran ningún formato de registro, ni almacenamiento de escritura única, ni cadena de hash, ni región de almacenamiento. Las palabras «inmutable», «manipulación» y «hash» no aparecen en el Reglamento consolidado del 27 de julio de 2026. Esas medidas protegen los archivos como prueba; son una decisión de diseño suya.

El Reglamento habla de archivos de registro, no de pistas de auditoría. Aquí una pista de auditoría son archivos de registro conservados como prueba. Estas prácticas sirven a los objetivos de los artículos 12 y 19; el Reglamento no las exige.

• Acontecimientos estructurados

  Escriba cada acontecimiento como JSON con los mismos campos siempre, para poder consultarlo. El ejemplo de abajo es un esquema posible.

{
  "event_type": "AI_DECISION",
  "timestamp": "2026-10-22T14:22:33.456Z",
  "trace_id": "abc-123-def-456",
  "system_id": "credit-scoring-v2",
  "actor_id": "user-789",
  "metadata": {
    "model_version": "v2.3.1",
    "input_hash": "sha256:a1b2c3...",
    "decision": "refer_to_human"
  }
}

• Solo añadir, almacenamiento separado

  Guarde los archivos donde nadie pueda modificarlos después, por ejemplo en un almacenamiento de objetos de escritura única, aparte de la base de datos de la aplicación. Los archivos guardados en la base de datos de la aplicación pueden ser modificados o borrados por sus administradores.

• Comprobaciones de integridad

  Encadene las entradas con hash o bloquee los objetos guardados, y verifíquelos periódicamente. Así puede demostrar que los archivos guardados no han cambiado.

• Identificadores de traza

  Pase un identificador de traza por cada servicio y póngalo en cada entrada. Así puede seguir una sola petición por toda la cadena de IA.

• Identificadores seudonimizados

  Registre identificadores opacos y metadatos del acontecimiento, no nombres ni correos electrónicos, cuando la finalidad lo permita. Qué datos personales puede contener un registro es una cuestión de RGPD para su delegado de protección de datos o su asesor jurídico.

• Escrituras sin bloqueo

  Envíe los acontecimientos a una cola y reintente si falla, para que una escritura fallida no detenga la aplicación.

• Consulta y exportación

  Permita filtrar los archivos por fecha, tipo de acontecimiento y sistema. Así puede responder a una petición motivada de una autoridad conforme al artículo 21(2) y realizar su propio seguimiento.

Las reglas de código de Scanara señalan operaciones de IA sin patrones de registro reconocibles. Las comprobaciones son análisis estático basado en reglas que detecta patrones estándar de marcos de ML; la fiabilidad varía según el nivel del lenguaje de programación. Scanara también mantiene un registro de escritura única de las acciones en la plataforma, y puede repetir los análisis cuando quiera.

Scanara no observa su sistema en funcionamiento, no comprueba el contenido ni la integridad de sus archivos de registro y no demuestra que se cumpla el artículo 12. Un análisis superado no prueba el cumplimiento, y la decisión sigue siendo suya.

• Cumplimiento del reglamento IA en su pipeline CI/CD

  Qué exige el Reglamento que un pipeline CI/CD puede probar, tres fases de pipeline, cómo funciona el merge gate de GitHub de Scanara y dónde terminan los análisis basados en reglas.

• Compliance as Code para sistemas de IA

  Cómo se aplica compliance as code a los artículos 9 a 15: qué puede comprobar una regla, qué sigue en manos de una persona y qué cubren y qué no cubren los análisis basados en reglas de Scanara.

• Artículo 12 reglamento IA: conservación de registros

  El artículo 12 exige que los sistemas de IA de alto riesgo registren acontecimientos de forma automática. Esta guía explica qué deben contener los archivos de registro, cómo crearlos y cuánto tiempo conservarlos.

• Artículo 72: vigilancia poscomercialización

  Artículo 72 del Reglamento de IA: qué deben vigilar los proveedores de sistemas de IA de alto riesgo tras la comercialización, el plan de vigilancia, los plazos de notificación de incidentes graves y las multas.