Recomendaciones de compliance técnico y auditoría

1. Recomendaciones técnicas

• Mantener inventario de tratamientos, mapa de datos y relación actualizada de encargados conforme al artículo 28 RGPD.
• Separar claramente datos operativos, documentos, credenciales, eventos de auditoría y material de entrenamiento o testing.
• Aplicar cifrado en tránsito y, cuando sea viable, cifrado en reposo en documentos, backups y exportaciones.
• Limitar el acceso a expedientes por roles, necesidad de conocimiento y trazabilidad de acciones sensibles.
• Evitar entrenar o reutilizar datos documentales en sistemas de IA sin base jurídica, evaluación previa y control contractual.
• Definir política de revisión humana significativa cuando OCR, reglas o IA afecten al alta, bloqueo o revisión de un expediente.
• Formalizar contratos de encargo con hosting, correo, almacenamiento, pagos, OCR/IA y proveedores de soporte.
• Activar procedimientos de gestión de brechas, rotación de secretos, backups verificados y borrado seguro.

2. Recomendaciones de logs y auditoría

• Registrar al menos: alta/modificación de expediente, subida y sustitución de documentos, validaciones automáticas, revisión humana, cambios de estado y acceso administrativo.
• Guardar en cada evento: fecha/hora UTC, identificador de usuario o sistema, IP origen si aplica, acción, expediente afectado y resultado.
• Versionar textos legales y consentimientos para poder demostrar qué cláusula aceptó el usuario y cuándo.
• Etiquetar los eventos originados por automatización, OCR o IA para distinguirlos de las decisiones humanas posteriores.
• Controlar alertas por patrones anómalos: múltiples accesos fallidos, subidas masivas, cambios de estado atípicos y discrepancias documentales.
• Bloquear edición o borrado directo de logs de auditoría por usuarios operativos no autorizados.
• Conservar evidencia de pagos, incidencias y comunicaciones críticas asociadas a cada expediente en un timeline verificable.
• Revisar periódicamente el muestreo de falsos positivos y falsos negativos en validación documental automatizada.

3. Fuentes normativas y guías