Registros de invocación y auditoría

Una cuenta de nube deja dos rastros diferentes de su servicio de modelos. El registro del plano de control anota quién cambió qué configuración: quién creó un despliegue, bajó un filtro o tocó un rol. Lo lleva la cuenta y no guarda lo que se le pregunta al modelo. El registro de invocaciones anota cada llamada al modelo: quién llamó, a qué despliegue, cuántos tokens y, si se configura así, el texto de la solicitud y de la respuesta.

El segundo no siempre viene encendido. En el servicio de modelos de AWS, por ejemplo, el registro de invocaciones está desactivado por defecto y se configura por cuenta y por región, con destino a un almacén o a un grupo de registros. Si nadie lo activa, una investigación sabrá quién cambió la configuración, pero no qué se le preguntó al modelo ni qué respondió.

Cuando un control desaparece, el registro del plano de control dice quién y cuándo. A menudo la respuesta no es una persona, sino una identidad de automatización que aplicó una plantilla de infraestructura: si la plantilla no declara un control, al aplicarla se vuelve al valor por defecto del servicio. Es un fallo silencioso, porque nadie decidió apagar nada.

Para un informe y para la notificación que pueda exigir la normativa de datos, no basta con decir «hubo un hueco»: hay que medirlo. El hueco empieza con el cambio que desactiva el registro y termina con el que lo reactiva, según el plano de control, y la muestra de invocaciones lo confirma.

Si el registro de invocaciones guarda el texto completo, el almacén que lo recibe pasa a contener lo mismo que las conversaciones: aquí, datos de pacientes. Ese almacén merece los controles de cualquier dato sensible —llave propia, retención limitada y pocos lectores con motivo—, y ampliar sus lectores «para depurar» convierte una herramienta de auditoría en una fuga interna.

Reactivar el registro a mano resuelve la noche, no la causa. Mientras la plantilla no declare el registro, cada despliegue lo volverá a apagar. Lo duradero es corregir la fuente, avisar cuando el plano de control anote un cambio en el registro y comprobar cada día que sigue activo.