What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

Gobernanza de la IA

Cómo crear un registro de auditoría de IA: La cadena de evidencia de IA de 7 etapas™

Mi querido Cortez
6 de octubre de 2026

Cómo crear un registro de auditoría de IA | AI Evidence Chain™

Cómo crear un registro de auditoría de IA: La cadena de evidencia de IA de 7 etapas™ para pequeñas empresas

Una política de IA establece lo que debería suceder. Un registro de auditoría demuestra lo que sucedió.

Respuesta corta: Un registro de auditoría de IA es el conjunto de registros que permite a alguien ajeno a tu equipo reconstruir cómo se aprobó un sistema de IA, qué datos utiliza, cómo se probó, quién lo implementó y cómo se ha comportado desde entonces. La Cadena de Evidencia de IA™ es el marco de siete etapas de RaaSify.AI para crear dicho registro: Intención empresarial, Datos, Creación, Validación, Implementación, Monitoreo y Respuesta a incidentes.

La mayoría de las guías sobre registros de auditoría de IA están dirigidas a empresas con un equipo de plataforma. Hablan de almacenes de registros inmutables, hashes criptográficos e identificadores de correlación. Esto es útil si se desarrollan productos de IA, pero no sirve de ayuda a una empresa de 40 personas que utiliza Microsoft Copilot, ChatGPT y las funciones de IA integradas en su software de RR. HH. y CRM.

Esta guía está dirigida a esa empresa. Explica qué información solicitará un auditor, un regulador o un cliente, las siete etapas que evaluarán, dónde suelen fallar las pistas de auditoría y cómo comprobar si la suya resistiría un examen exhaustivo.

¿Qué es un registro de auditoría de IA?

Un registro de auditoría de IA es una evidencia documentada, que se conserva durante toda la vida útil de un sistema de IA, que responde a cinco preguntas:

¿Qué hace el sistema y por qué lo utilizamos?
¿Qué datos se introducen y tenemos permiso para utilizarlos?
¿Cómo se configuró y probó antes de que la gente empezara a usarlo?
¿Quién lo aprobó y quién es el responsable de comprobar su resultado?
¿Qué ha ocurrido desde entonces, incluyendo cuándo algo salió mal?

Un registro de auditoría es más amplio que un simple registro de eventos. Un registro de eventos documenta los sucesos dentro del sistema. Un registro de auditoría también documenta las decisiones humanas relacionadas con él: la aprobación, la validación de las pruebas, la revisión mensual y el seguimiento de los incidentes.

Una empresa puede tener registros completos y aun así no tener un registro de auditoría, porque nadie puede demostrar quién decidió que el sistema era apto para su uso.

¿Por qué no basta con una política de IA?

Una política es una declaración de intenciones. Los reguladores, los auditores y los clientes comprueban si se ha seguido dicha política.

La pregunta suele ser así: "Muéstrame cómo toma decisiones este sistema de IA y demuestra que lo estás supervisando." Un documento normativo no puede responder a esa pregunta. Una aprobación fechada, un registro de pruebas y las notas de revisión de los últimos tres meses sí pueden.

Tres grupos se hacen esa pregunta:

Reguladores. La Ley de IA de la UE exige documentación técnica, registro de datos, supervisión humana y monitorización para los sistemas de IA de alto riesgo. Para los sistemas autónomos de alto riesgo, estas obligaciones se aplican a partir del 2 de diciembre de 2027, tras el aplazamiento de la fecha prevista en la Ley Ómnibus Digital sobre IA, que originalmente estaba prevista para el 2 de agosto de 2026.
Auditores. La norma ISO/IEC 42001 es una norma de sistemas de gestión. La certificación se basa en información documentada, auditorías internas y revisiones de la dirección, no únicamente en la política.
Clientes. Los clientes y socios más importantes están empezando a preguntar cómo se gestiona la IA antes de firmar un contrato. Una respuesta convincente necesita pruebas que la respalden.

El tiempo extra no es una pausa. Es la oportunidad de reunir las pruebas antes de que alguien las solicite.

¿Qué es la cadena de evidencia de IA™?

La AI Evidence Chain™ es un marco de gobernanza de IA de siete etapas creado por Ma Cherie Cortez, PhD, fundadora de RaaSify.AI. Crea un registro rastreable a lo largo de la vida útil de un sistema de IA, de modo que cada decisión respaldada por IA pueda defenderse ante un regulador, un auditor o un consejo de administración.

Se denomina cadena porque cada etapa depende de la anterior. Un informe de seguimiento no sirve de mucho si nadie puede demostrar para qué fue aprobado el sistema. Un eslabón perdido interrumpe el proceso.

Las siete etapas son:

Intención comercial. Cada sistema de IA tiene su razón de ser, se utiliza para qué sirve, quién lo posee y quién lo aprobó. Esto abarca todos los sistemas en uso, incluyendo la IA oculta y las funciones de IA integradas en el software por el que ya pagas.
Datos. Qué datos alimentan cada sistema, de dónde provienen (su procedencia de datos) y si ese uso es legal y apropiado.
Construir. Cómo se construyó o configuró el sistema, y el registro de dicha configuración.
Validación. Cómo se probó el sistema en cuanto a precisión, sesgo y seguridad antes de su puesta en marcha, con resultados que usted puede mostrar.
Despliegue. ¿Quién aprobó la puesta en marcha, bajo qué condiciones y qué medidas de control y supervisión humana se implementaron?
Escucha. Cómo se realiza el seguimiento del comportamiento en el mundo real después del lanzamiento y quién lo revisa.
Respuesta ante incidentes. ¿Qué ocurre cuando el sistema provoca un problema?: ¿quién actúa, a quién se le informa y qué se registra?

La mayoría de las organizaciones pueden describir algunas de estas etapas en una conversación. Muy pocas pueden aportar pruebas de las siete. Esa brecha entre conocer la gobernanza y poder demostrarla es lo que un registro de auditoría elimina.

¿Dónde suelen fallar las pistas de auditoría de la IA?

Cada etapa responde a una pregunta que un auditor, regulador o cliente podría formular. La tabla muestra la pregunta y cómo suele ser una brecha en una empresa pequeña.

La cadena de evidencias de IA™ relaciona cada etapa con los artículos pertinentes de la Ley de IA de la UE, las cláusulas de la norma ISO/IEC 42001 y las funciones del marco de gestión de riesgos de IA del NIST, de modo que un único conjunto de evidencias sirve para los tres. Esta correspondencia cláusula por cláusula, aplicada a sus propios sistemas, es lo que ofrece la auditoría de la cadena de evidencias de IA™.

¿Cómo se crea un registro de auditoría de IA?

Se construye un registro de auditoría de IA sistema por sistema, generando evidencia para cada una de las siete etapas en orden. En resumen:

Elige un sistema. Empiece por el sistema de IA que más afecte a sus clientes o empleados.
Registre la intención comercial. Por qué existe el sistema, quién es su propietario y quién lo aprobó.
Rastrea los datos. Qué contiene, de dónde proviene y si se puede utilizar.
Documenta la construcción. Cómo está configurado el sistema y qué ha cambiado desde su lanzamiento.
Conserve el comprobante de validación. Cómo se probó antes de que la gente confiara en él.
Registrar la decisión de despliegue. ¿Quién aprobó la puesta en marcha, bajo qué condiciones y quién supervisa los resultados?
Supervisar y responder. Analice cómo se comporta el sistema a un ritmo fijo y registre qué sucede cuando algo falla.

Luego, repita el proceso para el siguiente sistema. Lo que se considera evidencia suficiente en cada paso depende del nivel de riesgo del sistema y de las reglas que le sean aplicables. Ahí radica la mayor parte del criterio.

¿Puede una pequeña empresa crear un sistema de auditoría de IA sin un equipo de cumplimiento normativo?

Sí. Una pequeña empresa no necesita un departamento de cumplimiento ni una plataforma de registro para empezar. Necesita tres cosas: un responsable designado para cada sistema de IA, un lugar donde almacenar los registros y una revisión mensual que se lleve a cabo de verdad. Estos KPI de gobernanza de IA proporcionan un elemento de medición para dicha revisión.

Antes de construir nada, averigüe cuál es su situación actual. Elija el sistema de IA que más afecte a sus clientes o empleados y responda siete preguntas, una por etapa:

¿Podrías decirme quién lo aprobó y por qué la empresa lo utiliza?
¿Sabes qué datos contiene y si tienes permiso para usar esos datos de esta manera?
¿Podrías mostrar cómo está configurado actualmente y qué ha cambiado desde su lanzamiento?
¿Existe algún registro de cómo se probó antes de que la gente empezara a usarlo?
¿Existe alguna persona designada responsable de verificar su resultado?
¿Alguien ha analizado su comportamiento en los últimos tres meses?
Si mañana causara algún problema, ¿sabe todo el mundo qué hacer y dónde se registra?

Cada "no" es un eslabón roto en la cadena. La mayoría de las empresas encuentran varios. Muchas también descubren más IA de la que esperaban: las organizaciones suelen encontrar entre un 30 % y un 40 % más de sistemas de IA de los que creían tener una vez realizado un inventario adecuado.

¿Cómo sabes que tu sistema de auditoría de IA funciona correctamente?

Realiza la prueba de seis meses. Elige una decisión respaldada por IA de hace seis meses e intenta reconstruirla únicamente a partir de los registros, sin preguntar a nadie qué recuerda.

Debería poder demostrar qué sistema se utilizó, cómo estaba configurado en ese momento, qué datos contenía, quién lo autorizó para ese uso, quién revisó los resultados y si hubo algún problema posteriormente. Cada pregunta que no pueda responderse a partir de un registro representa un fallo en la comunicación.

Cinco errores que arruinan la mayoría de los senderos:

Comprar una herramienta antes de hacer el inventario. Una plataforma de registro no puede registrar sistemas que nadie conoce.
Conservar las pruebas en las bandejas de entrada y en la mente. Si la aprobación reside en el correo electrónico de una persona, desaparece cuando esa persona se va.
Guardar únicamente las pruebas que hayan sido superadas. Las pruebas fallidas y las correcciones posteriores son la prueba más contundente de que la validación fue real.
Tratar la IA del proveedor como un problema del proveedor. Según la Ley de IA de la UE, una empresa que utiliza un sistema de alto riesgo tiene sus propias obligaciones como implementador, incluyendo la supervisión humana, el monitoreo y el mantenimiento de registros.
Hacerlo una sola vez. Un rastro que se detiene el día del lanzamiento demuestra que el sistema estaba gobernado ese día.

Preguntas frecuentes

¿Qué es la cadena de evidencia de IA™?

La AI Evidence Chain™ es el marco de siete etapas de RaaSify.AI para generar evidencia de gobernanza de IA lista para auditoría. Las etapas son: Intención empresarial, Datos, Creación, Validación, Implementación, Monitoreo y Respuesta a incidentes. Fue creada por Ma Cherie Cortez, PhD, y es una marca registrada (BOIP Reg. No. 1551399).

¿Cuál es la diferencia entre un registro de auditoría de IA y un registro de IA?

El registro documenta lo que sucede dentro de un sistema. Un registro de auditoría también documenta las decisiones tomadas en relación con él: por qué se adoptó el sistema, quién lo aprobó, cómo se probó y qué se hizo después de un incidente. Los registros son un insumo para la etapa de monitoreo; no constituyen el registro completo.

¿Necesita una pequeña empresa un sistema de auditoría basado en IA?

Sí, si la IA influye en decisiones que afectan a las personas, como la contratación, los préstamos o la atención al cliente, o si un cliente, inversor, socio o miembro del consejo de administración pregunta cómo se gestiona la IA. Las obligaciones legales en virtud de la Ley de IA de la UE dependen del nivel de riesgo de cada sistema y de si se es su proveedor o implementador. Aun así, conviene mantener un registro básico para las herramientas de menor riesgo, ya que es lo que se muestra cuando alguien pregunta.

¿Cuánto tiempo deben conservarse los registros de IA?

En el caso de sistemas de alto riesgo según la Ley de IA de la UE, los registros generados automáticamente deben conservarse durante al menos seis meses (artículo 19 para proveedores, artículo 26(6) para implementadores). Los proveedores deben conservar la documentación técnica durante 10 años (artículo 18). Otras leyes, contratos y normativas sectoriales pueden exigir plazos más largos. Dado que los registros suelen contener datos personales, el período de conservación también debe respetar la legislación de protección de datos.

¿Necesito software para crear un registro de auditoría de IA?

No. Una hoja de cálculo y una carpeta compartida son suficientes para una empresa con algunas herramientas de IA. Las plataformas de gobernanza justifican su costo cuando se tienen muchos sistemas, varios equipos o sistemas desarrollados internamente. Decida después del inventario, cuando sepa con qué cuenta.

¿Necesito un consultor para crear un registro de auditoría de IA?

No siempre. Si utilizas algunas herramientas de IA de bajo riesgo y alguien dentro de la empresa tiene tiempo para encargarse del trabajo, puedes empezar por tu cuenta. La ayuda externa es recomendable cuando la IA influye en decisiones sobre personas, cuando un cliente, auditor o regulador solicita pruebas, cuando tienes una fecha límite o cuando nadie dentro de la empresa puede determinar qué constituye evidencia suficiente. Una evaluación de alcance fijo suele ser suficiente para determinar en qué situación te encuentras.

¿Debo ajustarme a la Ley de IA de la UE, a la norma ISO/IEC 42001 o al Marco de Referencia de Riesgos de IA del NIST?

Cumplen funciones distintas. La Ley de IA de la UE regula a las organizaciones que proporcionan o utilizan sistemas de IA en la UE. La norma ISO/IEC 42001 es un estándar de sistema de gestión certificable. El Marco de Gestión de Riesgos de IA del NIST es un marco voluntario del Instituto Nacional de Estándares y Tecnología de EE. UU. La Cadena de Evidencia de IA™ se adapta a las tres, por lo que un único conjunto de evidencias puede servir para cualquiera de ellas.

¿Cuándo se aplican las obligaciones de alto riesgo de la Ley de IA de la UE?

Los sistemas independientes de alto riesgo enumerados en el Anexo III deben cumplir con la normativa antes del 2 de diciembre de 2027. La IA de alto riesgo integrada en productos regulados según el Anexo I debe cumplir con la normativa antes del 2 de agosto de 2028. Ambas fechas fueron modificadas por la Ley Ómnibus Digital sobre IA de 2026. El aplazamiento no afecta a las prácticas prohibidas, las obligaciones relativas a los modelos de IA de propósito general ni las normas generales de transparencia.

¿Por dónde deberías empezar?

Comience con la autoevaluación de siete preguntas y la prueba de seis meses en un sistema. Si se detectan deficiencias, o si prefiere que se las identifiquen, la auditoría AI Evidence Chain™ se encarga de ello.

Se trata de una evaluación de alcance fijo de 4 semanas de sus sistemas de IA en función de las siete etapas, alineada con la Ley de IA de la UE, la norma ISO/IEC 42001 y el Marco de Gestión de Riesgos de IA del NIST. Recibirá un inventario completo de IA, un informe de brechas etapa por etapa y una hoja de ruta de remediación priorizada. No existe obligación de continuar posteriormente.

Si ya sabes que el sendero tiene que construirse con una fecha límite, El Sprint de Gobernanza de 90 Días lo construye. Si existe y necesita mantenerse activo cada mes, eso es Gobernanza de IA como Servicio.

Reserve su llamada de evaluación de auditoría de AI Evidence Chain™.

Sobre el autor

Ma Cherie Cortez, doctora en filosofía, es la fundadora de RaaSify.AI y creadora de AI Evidence Chain™. Cuenta con 27 años de experiencia en liderazgo global de TI, incluyendo trabajo en gobernanza de IA empresarial con Philips, AB InBev, DLL y Lloyds Banking Group. Actualmente, aplica esa experiencia a pequeñas y medianas empresas que se preparan para la Ley de IA de la UE y la norma ISO/IEC 42001. RaaSify.AI es un socio de formación certificado por EXIN.

AI Evidence Chain™ es una marca registrada de Ma Cherie Cortez, PhD. Número de registro BOIP: 1551399, registrada el 25 de agosto de 2026.

Fuentes