Cuestionario de seguridad para proveedores de IA

Un cuestionario genérico de seguridad pregunta por cifrado, control de acceso, copias de seguridad y continuidad. Un proveedor de IA necesita además preguntas que solo tienen sentido con un modelo de por medio: si las entradas y salidas del cliente se usan para entrenar o mejorar modelos, cuánto tiempo se guardan los prompts y las respuestas y para qué, quién puede leerlos cuando un sistema los marca como abuso, si la versión del modelo se fija o cambia sin aviso, y si el servicio se prueba contra instrucciones ocultas en lo que procesa y contra fuga de datos entre clientes.

Las preguntas buenas piden un dato verificable (un plazo, una lista, un número de horas) y, cuando importa, la evidencia que lo respalda: la cláusula, la lista firmada, el resumen de una prueba. Una respuesta de una palabra no es evidencia, y una respuesta sin el adjunto que se pidió vale tanto como no contestar.

Leer un cuestionario no es leer la columna de respuestas: es leer cada respuesta contra el documento que el proveedor adjuntó para respaldarla. A veces el anexo dice otra cosa, con matices como «salvo que el cliente se oponga por escrito» o «una muestra». Esos matices son la respuesta real.

La política de la empresa fija qué pasa cuando falta la evidencia. Aplícala tal como está escrita: solo cuentan las preguntas que exigían evidencia; una pregunta que no la exigía puede tener una respuesta pobre, pero no entra en este recuento.

La pregunta sobre incidentes pedía un número de horas, y la política de la empresa tiene uno. El proveedor contestó con una fórmula que no fija ningún plazo. Decide qué haces con ella antes de firmar.