LO ESENCIAL EN 30 SEGUNDOS

  • Cada sistema se puntúa de 1 a 4 en ocho factores; el total (de 8 a 32) lo sitúa entre el nivel 1 (bajo) y el nivel 4 (crítico), y ciertas capacidades, como ejecutar código de forma autónoma, pueden subirlo de nivel.
  • Los niveles superiores exigen auditorías independientes de organizaciones acreditadas por el CERT-In; el nivel 4 añade supervisión continua y en los niveles 3 y 4 no se admite un único auditor.
  • El marco abarca la IA desarrollada, desplegada o usada en India o que da servicio a usuarios indios; según The420.in, no crea por sí solo una nueva ley de IA.

La agencia nacional de ciberseguridad de India, el CERT-In, ha publicado un marco común para auditar sistemas de inteligencia artificial. Las Artificial Intelligence Security Auditing Guidelines, versión 1.0, llevan fecha del 4 de noviembre de 2026.

Cómo se clasifican los sistemas

Las directrices se aplican a la IA que las organizaciones en India desarrollan, compran, despliegan u operan, y a los sistemas que procesan datos indios o atienden a usuarios indios. Quedan fuera la investigación académica, la automatización basada solo en reglas y el uso personal de consumo.

Cada sistema recibe una nota de 1 a 4 en ocho factores, entre ellos la gravedad del impacto, la autonomía, la sensibilidad de los datos, la reversibilidad y la exposición a atacantes. La suma, entre 8 y 32, fija el nivel: de 8 a 12, nivel 1 (bajo); de 13 a 19, nivel 2 (moderado); de 20 a 26, nivel 3 (alto), y de 27 a 32, nivel 4 (crítico). Algunas capacidades se imponen a la suma, como ejecutar código, transacciones o comunicaciones externas de forma autónoma.

Cómo son las auditorías

La exigencia aumenta con el nivel. En el nivel 1 basta una autoevaluación o una revisión interna básica cada año. El nivel 2 añade una auditoría interna documentada y otra independiente, al menos anual, a cargo de una organización acreditada por el CERT-In. El nivel 3 requiere auditorías independientes de terceros, que según Digit pueden llegar a ser semestrales si el riesgo o cambios relevantes lo justifican. El nivel 4 suma supervisión continua. Un solo auditor no puede encargarse de los niveles 3 y 4, y las pymes y startups solo tienen flexibilidad en los dos niveles inferiores.

Las auditorías abarcan nueve áreas: gobernanza, calidad y privacidad de los datos, riesgo de los modelos, equidad, transparencia, seguridad y notificación de incidentes, supervisión y deriva, control humano y cadena de suministro. Los controles de seguridad recogen el plazo de seis horas para notificar incidentes y la conservación de registros durante 180 días, que según The420.in proceden de directivas del CERT-In de abril de 2022.

Agentes y alcance jurídico

Hay disposiciones específicas para la IA generativa, los sistemas RAG, los modelos multimodales y los agentes de IA. El documento menciona entre los riesgos la autonomía excesiva, el uso inseguro de herramientas, la memoria persistente y la comunicación entre agentes, y pide probar por separado los mecanismos de aprobación y anulación.

El texto usa un lenguaje obligatorio para los requisitos de cada nivel, pero la cobertura publicada no precisa hasta qué punto es jurídicamente vinculante. The420.in afirma que el marco no constituye una ley de IA independiente y distingue las obligaciones legales vigentes de las expectativas de auditoría.