IA responsable, seguridad y gobierno

Un modelo puede acertar el 95 % de las veces y aun así causar daño: negar créditos a un grupo, inventar una política que no existe o filtrar datos de un cliente. La IA responsable es el conjunto de prácticas para que eso no pase, o para detectarlo rápido cuando pasa. No es un paso al final: se diseña desde el caso de uso.

Los principios, aplicados a un caso

AWS define ocho dimensiones de IA responsable. Míralas con un caso: un modelo que aprueba o rechaza solicitudes de crédito.

Sesgo y transparencia

El sesgo casi nunca es intencional. Entra por los datos:

• Datos históricos: si antes se aprobaba menos a un grupo, el modelo aprende a repetirlo.
• Muestreo: un grupo casi no aparece en el conjunto de entrenamiento y el modelo falla más con él.
• Etiquetado: los etiquetadores aplican criterios distintos o traen sus propios prejuicios.
• Variables sustitutas (proxies): quitas el género, pero el código postal lo sigue delatando.

Para detectarlo, mide por subgrupos. Una precisión global alta puede esconder un subgrupo con el doble de errores. SageMaker Clarify calcula métricas antes de entrenar, como el desbalance de clases (CI) o la diferencia en proporciones de etiquetas (DPL), y después, como el impacto dispar (DI). Mitigas con más datos del grupo subrepresentado, rebalanceo, revisión de etiquetas y umbrales revisados por personas.

La transparencia hacia afuera se apoya en documentos y en el diseño:

• Model Cards de SageMaker AI documentan uso previsto, datos, métricas y limitaciones.
• AWS AI Service Cards explican el uso previsto y los límites de los servicios de IA de AWS.
• Atribución de fuentes: en un sistema RAG, la respuesta cita los documentos de donde salió.
• Trazas de razonamiento: algunos modelos muestran pasos intermedios. Ayudan a depurar, pero no son una explicación garantizada de cómo decidió el modelo.
• Revisión humana en decisiones de alto impacto o de baja confianza.

Amazon Bedrock Guardrails

Un guardrail se aplica a la entrada del usuario y a la respuesta del modelo. Funciona con modelos de Bedrock, con agentes y bases de conocimiento, y con cualquier modelo, incluso fuera de AWS, a través de la API ApplyGuardrail.

{
  "name": "asistente-banco",
  "blockedInputMessaging": "No puedo ayudarte con esa solicitud.",
  "blockedOutputsMessaging": "No puedo dar esa respuesta.",
  "contentPolicyConfig": {
    "filtersConfig": [
      { "type": "HATE",          "inputStrength": "HIGH", "outputStrength": "HIGH" },
      { "type": "MISCONDUCT",    "inputStrength": "HIGH", "outputStrength": "HIGH" },
      { "type": "PROMPT_ATTACK", "inputStrength": "HIGH", "outputStrength": "NONE" }
    ]
  },
  "topicPolicyConfig": {
    "topicsConfig": [{
      "name": "asesoria-de-inversion",
      "definition": "Recomendaciones personalizadas para comprar o vender activos financieros.",
      "examples": ["¿En qué acciones debería invertir mis ahorros?"],
      "type": "DENY"
    }]
  },
  "wordPolicyConfig": {
    "managedWordListsConfig": [{ "type": "PROFANITY" }],
    "wordsConfig": [{ "text": "BancoCompetidor" }]
  },
  "sensitiveInformationPolicyConfig": {
    "piiEntitiesConfig": [
      { "type": "EMAIL", "action": "ANONYMIZE" },
      { "type": "CREDIT_DEBIT_CARD_NUMBER", "action": "BLOCK" }
    ]
  },
  "contextualGroundingPolicyConfig": {
    "filtersConfig": [
      { "type": "GROUNDING", "threshold": 0.8 },
      { "type": "RELEVANCE", "threshold": 0.7 }
    ]
  }
}

Este cuerpo de CreateGuardrail bloquea ataques de prompt en la entrada, prohíbe la asesoría de inversión, enmascara correos y bloquea números de tarjeta. Los umbrales de fundamentación van de 0 a 1: más alto es más estricto. Pruébalo con casos reales antes de subirlos, porque un guardrail muy estricto bloquea preguntas legítimas.

Defensa en capas contra la inyección de prompts

La inyección de prompts (prompt injection) mete instrucciones para que el modelo ignore las tuyas. Puede ser directa, escrita por el usuario, o indirecta, escondida en un documento o una página que el modelo lee. El jailbreak intenta saltarse las políticas de seguridad del modelo. Ninguna capa sola alcanza:

1. 1

   Valida la entrada

   Longitud máxima, formato esperado, idioma. Rechaza lo que no encaja antes de gastar tokens.
2. 2

   Aplica un guardrail

   Filtro de ataques de prompt, temas denegados y PII sobre la entrada y la salida.
3. 3

   Separa instrucciones de datos

   El prompt del sistema define el rol. El contenido recuperado o del usuario va marcado como datos, nunca como órdenes.
4. 4

   Da el mínimo privilegio a las herramientas

   Un agente que solo consulta pedidos no necesita permiso para reembolsar. Cada herramienta con su rol de IAM acotado. Más en agentes de IA.
5. 5

   Valida la salida

   Esquema JSON esperado, fundamentación contextual y reglas de negocio antes de mostrar o ejecutar.
6. 6

   Pide confirmación humana en acciones de alto impacto

   Pagos, borrados o correos a clientes requieren aprobación.
7. 7

   Registra y vigila

   Registros de invocación, métricas de bloqueos y alertas cuando suben los intentos.

Lo de las herramientas importa más con agentes de IA: un agente con permisos amplios convierte una inyección en una acción real.

Proteger los datos

• 

  AWS KMS

  Cifra con tus propias llaves los modelos personalizados, los trabajos de ajuste, los guardrails y los datos en S3. Más en cifrado y secretos.
• 

  AWS PrivateLink

  Llama a Bedrock y a SageMaker AI desde tu VPC con un VPC endpoint de interfaz, sin pasar por internet.
• 

  Amazon Macie

  Descubre datos sensibles en S3 antes de usarlos para entrenar o para una base de conocimiento.
• 

  Amazon Comprehend

  Detecta y oculta PII en texto, por ejemplo en transcripciones antes de indexarlas.

Con Amazon Bedrock, tu contenido no se usa para mejorar los modelos base ni se comparte con los proveedores de modelos, y viaja cifrado en tránsito y en reposo. Algunos modelos retienen entradas y salidas por un tiempo para detectar abuso; eso lo controla el modo de retención de datos de tu cuenta. Revisa la documentación del modelo que eliges.

La responsabilidad compartida también aplica a la IA. AWS protege la infraestructura, el servicio y, en Bedrock, el aislamiento de los modelos. Tú respondes por tus datos, los permisos de IAM, los prompts, la configuración de guardrails, la evaluación del modelo para tu caso y el uso que les das a sus respuestas.

Gobierno, trazabilidad y cumplimiento

El primer paso es saber qué tipo de uso tienes, porque los controles cambian. La Generative AI Security Scoping Matrix de AWS lo ordena en cinco alcances, de menos a más control propio:

Para la trazabilidad y la auditoría:

• AWS CloudTrail registra quién llamó a qué API: crear un guardrail, invocar un modelo, aprobar uno en Model Registry.
• Registro de invocaciones de modelos de Bedrock (model invocation logging): guarda prompts y respuestas completas en S3 o CloudWatch Logs. Viene apagado. Contiene datos sensibles: protégelo con KMS y acceso restringido.
• AWS Config evalúa la configuración de los recursos con reglas y paquetes de conformidad (conformance packs).
• AWS Artifact da los informes de cumplimiento de AWS, como SOC e ISO. AWS tiene certificación ISO/IEC 42001, la norma de sistemas de gestión de IA, para servicios como Bedrock.

Marcos externos útiles, sin entrar en lo legal: ISO/IEC 42001 para montar un sistema de gestión de IA; el NIST AI RMF, con sus funciones gobernar, mapear, medir y gestionar; y la Ley de IA de la Unión Europea, que clasifica los sistemas por nivel de riesgo y pone más obligaciones a los de alto riesgo. Qué te aplica lo decide tu equipo legal. Repasa CloudTrail y Config y cumplimiento.

La sostenibilidad también es parte del gobierno. El modelo más grande gasta más energía en cada respuesta. Elige el modelo más pequeño que cumpla la calidad, usa inferencia por lotes cuando nadie espera, apaga lo que no usas y considera chips eficientes como AWS Inferentia y AWS Trainium. Coincide casi siempre con bajar costos.