Terceros y concentración de proveedores

5 tareas · 40 min · Principiante

Casi ningún banco entrena sus propios modelos de lenguaje: los contrata. Eso traslada parte del riesgo a terceros, y crea uno nuevo cuando muchos servicios distintos terminan apoyados, sin que nadie lo haya decidido, en el mismo proveedor de modelos. Tienes el catálogo de funciones críticas de Banco Morrocoy, su registro de proveedores de IA y el resumen de sus contratos, con corte del 2 de octubre de 2026. Todo es evidencia ficticia.

0 de 5 · 0%

Objetivo de la sala

El riesgo de concentración aparece cuando varias funciones importantes dependen de un mismo proveedor difícil de sustituir. Cada contrato, mirado solo, puede estar bien; el problema se ve al sumarlos. Con la IA tiene una forma particular: un proveedor de transcripción y otro de verificación de identidad pueden usar por dentro el mismo modelo de un tercero. A ese proveedor de tu proveedor se le suele llamar cuarta parte, y una falla suya tumba a la vez servicios que parecían independientes.

La regulación financiera ya pide mirar esto. En la Unión Europea, el Reglamento (UE) 2022/2554 de resiliencia operativa digital (DORA), en su artículo 29, pide a las entidades evaluar antes de contratar un servicio para una función crítica o importante si las dejaría dependiendo de un proveedor difícil de sustituir o de varios contratos con el mismo proveedor o con proveedores muy vinculados entre sí. Morrocoy no está obligado por DORA, pero usa la misma pregunta.

Responde para continuar

¿Por qué el registro de Morrocoy necesita la columna de los modelos que usa cada proveedor?

Porque así el banco puede elegir el modelo más barato para cada una de sus funciones Porque el contrato con cada proveedor solo es válido si nombra el modelo exacto que usa Porque el supervisor exige que todos los proveedores del banco usen modelos de una misma empresa grande Porque sin ella no se ven las funciones que dependen del mismo modelo a través de otro proveedor

Ver pista de ayuda

Lee la columna `usa_modelos_de` de `registro-de-proveedores-ia.csv`.

Para medir la concentración se cuenta desde las funciones, no desde los contratos: por cada función crítica, se sigue la cadena hasta el último proveedor del que depende. Quien cuenta solo los contratos directos se queda corto.

Responde para continuar

¿Cuántas funciones críticas del banco dependen de Tepuy Modelos, directa o indirectamente?

Ver pista de ayuda

Marca las funciones críticas en `funciones-criticas.txt` y sigue cada una por `funciones_que_soporta` y `usa_modelos_de` del registro.

El contrato dice para qué puede usar el proveedor los datos del banco. Si puede usarlos para mejorar sus propios modelos, ya no los trata solo por cuenta del banco, y eso choca con la reserva bancaria y con la finalidad que los clientes autorizaron. Cláusulas así suelen venir activadas por defecto, con una opción para oponerse que alguien tiene que ejercer por escrito.

Responde para continuar

¿Qué proveedor puede usar datos de los clientes del banco para mejorar sus propios modelos?

Ver pista de ayuda

Lee la línea «Uso de datos del banco» de cada proveedor en `resumen-de-clausulas.txt`.

Un plan de salida es la forma ordenada de dejar a un proveedor sin interrumpir el servicio: a dónde se va, cuánto tarda y si se probó. Un proveedor que sostiene una función crítica sin plan de salida obliga a decidir antes de que venza su contrato, porque renovar sin plan repite el problema por otro periodo.

Responde para continuar

Entre los proveedores que sostienen una función crítica sin plan de salida, ¿en qué fecha vence el primer contrato?

Ver pista de ayuda

Cruza `plan_de_salida` y `vence_contrato` del registro con las funciones críticas; no te quedes con la fecha más próxima de toda la tabla.

El resultado de la revisión va al comité de riesgos. La recomendación tiene que atacar la dependencia, no solo anotarla.

Responde para continuar

¿Qué recomendación llevas al comité sobre Tepuy Modelos?

Prohibir que cualquier proveedor del banco subcontrate modelos de lenguaje de otras empresas Cambiar ya todos los sistemas a un proveedor nuevo, aunque nadie haya probado todavía que funcionan con él Preparar y probar un plan de salida para atención digital antes de renovar y conocer sus subcontratistas Aceptar la dependencia, porque el proveedor da un informe anual de un auditor externo

Ver pista de ayuda

Repasa lo que encontraste en las tareas 2 y 4 y lo que ya tiene Saladillo Datos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Concentración: el riesgo que no se ve en un solo contrato Lab

2 Cuánto depende de un solo proveedor Lab

3 El proveedor que también usa los datos Lab

4 Sin plan de salida y con fecha Lab

5 Qué recomiendas Lab

Whoami-Labs Pro utiliza cookies