NatusAISe queda dentro por defecto
- Documentos fuente, registros de negocio y su historial
- Registros de quién preguntó, qué se utilizó y qué se decidió
- Extractos e índices de búsqueda, que nunca obtienen un acceso más amplio que su fuente
- Inicio
- Confianza y seguridad
Soberana, gobernada y recuperable: una IA que permanece bajo su control
El control empieza con preguntas prácticas: de quién es la información, quién puede usarla, dónde se ejecuta, qué puede salir y cómo se recupera. Las respondemos en la arquitectura, antes de construir nada.
Propiedad y soberanía
Soberanía: usted decide dónde se ejecuta y qué sale
Sus datos, los modelos que elija y las aplicaciones que construimos son suyos. Se ejecutan en el entorno que exige su perfil de riesgo, y planificamos la salida al principio, no al final.
En sus instalaciones
En sus propios servidores, incluido hardware informático estándar, con modelos de IA locales cuando sea necesario.
Nube soberana
Alojamiento europeo con contratos que usted aprueba y una selección de modelos de IA alojados en la UE.
Híbrido
Datos sensibles en sus instalaciones, otras cargas de trabajo en la nube y un único modelo de gobernanza; dentro del país cuando la ley lo exige.
Independiente del modelo. Usamos los modelos de IA que permite su política: alojados por terceros, alojados en la UE o ejecutados en local.
Perímetro de datos
Su perímetro de datos, reflejado en la arquitectura
«Nunca sale» es una promesa que ningún proveedor honesto hace para todas las configuraciones. Hacemos algo más útil: enumeramos cada flujo de datos y usted decide sobre cada uno.
Sale solo por decisión suya
- Llamadas a un modelo de IA externo, si su política lo permite
- Conexiones con sistemas externos, cada una enumerada y aprobada
- Acceso de soporte de nuestro equipo, acotado y limitado en el tiempo
Documentado para la contratación
- Un mapa de flujos de datos para su DPD y su CISO
- Información para su registro de información de terceros proveedores TIC (DORA)
- Un plan de salida y traspaso: qué recibe y cómo se realiza el cambio
Un servicio de IA remoto puede implicar que los datos salgan de su entorno. Cuando eso es aceptable, es una decisión registrada, no una opción por defecto.
Los proveedores de IA siguen formando parte de la decisión sobre los datos
Elija proveedores y modelos según los requisitos de cada aplicación. Los entornos de ejecución remotos, los locales gestionados externamente y los locales cualificados gestionados por Cygnus tienen límites operativos distintos.
API remota
Una API remota puede implicar que los datos salgan del despliegue.
Servicio local gestionado por el operador
Un servicio local gestionado por el operador no queda cubierto automáticamente por las garantías de memoria de Cygnus.
Entorno de ejecución local gestionado por Cygnus
Un entorno de ejecución local gestionado por Cygnus requiere cualificar la combinación exacta de modelo, entorno de ejecución, configuración y dispositivo.
El nombre de un producto no implica ninguna promesa universal de funcionamiento sin conexión, residencia de los datos o privacidad. Compatibilidad prevista con IA y sus límites
Evidencia y control humano
Gobernanza: cada respuesta tiene una fuente; cada acción, un responsable
La IA propone y las personas deciden. Nuestras aplicaciones dan a los equipos de cumplimiento normativo, riesgos y auditoría lo que necesitan para supervisar la IA.
Fuentes que usted aprueba
La IA solo usa los documentos y sistemas que usted conecta, y muestra cuáles ha utilizado.
Personas que deciden
Las acciones con consecuencias esperan a una persona responsable de aprobarlas. Un agente de IA no puede aprobar su propio cambio ni ampliar su propio acceso.
Registros que usted conserva
Quién preguntó, qué se utilizó, qué se decidió y cuándo, almacenado en su entorno.
Calidad que se puede medir
Probamos las respuestas antes del despliegue y las seguimos mejorando con casos reales.
Medido en proyectos implementados
89 %
de las consultas de las 12 categorías automatizadas se resuelven sin intervención humana; los casos complejos se derivan a personas
Seguridad y recuperación
Seguridad y recuperación: probadas, no supuestas
Una copia de seguridad solo cuenta cuando se ha probado su restauración. El acceso se comprueba antes de mostrar nada. Y la plataforma mantiene una vía de vuelta si falla un componente o un proveedor de IA.
Control de acceso antes de mostrar
Los permisos se comprueban antes de mostrar, buscar u ordenar datos, de modo que la información denegada no se filtra a través de recuentos ni indicios.
Un texto nunca otorga autoridad
Los documentos y la salida de la IA se tratan como contenido que hay que revisar. Solo sus permisos pueden autorizar una acción.
Recuperación verificada
Puntos de recuperación, pruebas de restauración y sus evidencias: NatusAI Gemini (hoja de ruta). Hoy: la recuperación y la salida se planifican en cada proyecto.
Operaciones en contexto
Cada incidente queda vinculado a la aplicación y la versión a las que afecta: NatusAI Draco (hoja de ruta).
Mapa regulatorio
Mapa regulatorio: qué están diseñados para apoyar nuestros controles
Le ayudamos a cumplir sus obligaciones. No certificamos sus sistemas ni sustituimos su evaluación jurídica.
| Marco | Situación actual | Qué están diseñados para apoyar nuestros controles |
|---|---|---|
| RGPD (UE) | En vigor en toda la UE y el EEE. | Despliegue en su entorno, minimización de datos desde el diseño y una lista documentada de flujos de datos. |
| RIA (AI Act) | Las prohibiciones y las obligaciones sobre IA de uso general ya se aplican. Según el acuerdo provisional del Digital Omnibus, las obligaciones para sistemas de alto riesgo independientes se esperan a partir del 2 de diciembre de 2027, y las de los integrados en productos regulados a partir del 2 de agosto de 2028, a falta de su adopción definitiva. | Registro de actividad, flujos de supervisión humana, transparencia sobre las fuentes y documentación de gobernanza del dato que respaldan sus obligaciones como responsable del despliegue (art. 9–15 y 26). |
| DORA | Aplicable directamente a las entidades financieras desde el 17 de enero de 2025; para ellas prevalece donde se solapa con NIS2. | Despliegue en sus instalaciones o en la UE, una estrategia de salida documentada, información para su registro de terceros proveedores TIC y evidencias de recuperación (NatusAI Gemini en la hoja de ruta). |
| NIS2 | La transposición varía según el Estado miembro. Los operadores de energía y telecomunicaciones son entidades esenciales. | Operación autoalojada dentro de su perímetro de seguridad, control de acceso y un registro de auditoría. |
| Solvencia II · EIOPA | Expectativas sobre el sistema de gobernanza y la externalización para aseguradoras que usan IA y proveedores TIC externos. | Los mismos controles (supervisión humana, registro de actividad, flujos de datos documentados y salida) como base para su documentación de gobernanza y externalización. |
| KVKK (Turquía) | Modificada en 2024: las transferencias internacionales se basan en decisiones de adecuación, cláusulas contractuales tipo (con notificación a la autoridad en un plazo de 5 días hábiles) o normas corporativas vinculantes. | Despliegue en el país o en sus instalaciones, de modo que no es necesaria ninguna transferencia. |
| NIST AI RMF | Marco voluntario de EE. UU. con cuatro funciones: gobernar, mapear, medir y gestionar (Govern, Map, Measure, Manage). | Una correspondencia entre nuestros controles y sus cuatro funciones, bajo solicitud. |
| SOC 2 · ISO/IEC 27001 · ISO/IEC 42001 | Referencias habituales de contratación en seguridad y gestión de la IA. | Documentación de seguridad y de gestión de la IA bajo solicitud. |
NatusAI apoya su programa de cumplimiento normativo; no sustituye su evaluación jurídica ni certifica sus sistemas. Información regulatoria revisada por última vez: octubre de 2026.
¿Fuera de la UE? Los mismos controles (mapa de flujos de datos, plan de salida, aprobación por una persona designada y registros de auditoría) son nuestro punto de partida para otros marcos. Díganos qué normas le aplican y las revisaremos en una reunión.
Conservación y responsabilidad
El borrado debe tener en cuenta cada copia conservada
Los plazos de conservación, las retenciones legales, las copias de seguridad y los derivados exportados requieren políticas explícitas.
El límite criptográfico previsto por grupo de almacenamiento no es una promesa de borrado criptográfico automático por persona. Cada proyecto debe evaluar el borrado y la recuperación de espacio en todo su diseño real de almacenamiento y recuperación.
La arquitectura del producto no es una certificación de cumplimiento ni sustituye la evaluación jurídica y operativa propia de cada organización.
Antes de decidir
Preguntas de los equipos de riesgos, seguridad y cumplimiento normativo
Respuestas directas. Para el detalle, solicite nuestro dosier de gobernanza o una sesión con su CISO y su DPD.
¿Salen nuestros datos de nuestro entorno?
Solo donde usted decida. Cada flujo de datos se enumera y se aprueba; un modelo de IA remoto es una decisión registrada, no una opción por defecto. El despliegue en sus instalaciones con modelos locales mantiene el procesamiento dentro de su organización.
¿Está NatusAI certificada (ISO 27001, SOC 2)?
En este sitio no declaramos ninguna certificación. Pídanos el estado actual de nuestras certificaciones y nuestra documentación de seguridad: las compartimos antes de cualquier paso de contratación.
¿Cumple la plataforma NatusAI el RIA (AI Act)?
Ningún producto puede afirmarlo en su nombre: el cumplimiento depende de cómo se utiliza un sistema. Nuestros controles (registro de actividad, supervisión humana, transparencia sobre las fuentes y gobernanza del dato) están diseñados para apoyar sus obligaciones como responsable del despliegue.
¿Cómo ayudan con DORA?
Con despliegue en sus instalaciones o en la UE, una estrategia de salida documentada, información para su registro de terceros proveedores TIC y planificación de la recuperación en cada proyecto.
¿Quién puede aprobar lo que hace una IA?
Sus equipos. Las acciones con consecuencias esperan a una persona responsable de aprobarlas. Un agente de IA no puede aprobar su propio cambio ni concederse acceso.
¿Qué ocurre si queremos dejar de trabajar con ustedes?
Conserva sus datos, los modelos que eligió y las aplicaciones que construimos. El plan de salida se redacta al principio e indica qué recibe y cómo se realiza el cambio.
Hablar con nuestro equipo
Traiga sus preguntas de seguridad y cumplimiento normativo
Recorreremos con su CISO, su DPD y su equipo de riesgos la arquitectura, los flujos de datos y el plan de salida.
O escríbanos a contact@natusai.com
