Seguridad y cumplimiento

Alojamos nuestra plataforma en AWS, con infraestructura principal en Estados Unidos. Aplicamos medidas de resiliencia, escalabilidad horizontal y continuidad operativa; la disponibilidad comprometida depende de los acuerdos de cada servicio.

Utilizamos cifrado AES-256 para proteger datos en reposo, incluidas bases de datos y registros, y TLS 1.2 o superior para comunicaciones en tránsito. En WhatsApp, las protecciones propias del canal dependen de la implementación y de las API de Meta.

Operamos una arquitectura multi-tenant y mantenemos separados lógicamente los datos, configuraciones, usuarios y reportes de cada organización. Esta separación lógica no implica que cada cliente tenga infraestructura física exclusiva.

En Cari AI utilizamos soluciones de bases de datos como Amazon Aurora MySQL, con mecanismos de replicación y cifrado. Monitoreamos nuestra infraestructura mediante Amazon CloudWatch y CloudTrail, complementados con auditorías internas.

Ofrecemos control de acceso basado en roles (RBAC) y autenticación OTP. Nuestros clientes administran las altas, modificaciones y bajas de sus usuarios, con integraciones según el proyecto contratado.

Aplicamos lineamientos OWASP, pruebas de seguridad SAST/DAST y ejercicios de ethical hacking. También evaluamos riesgos específicos de los sistemas basados en modelos de lenguaje (LLM).

Aplicamos un modelo de responsabilidad compartida: AWS protege la infraestructura cloud dentro de su alcance; nosotros operamos la plataforma y sus controles; y cada cliente configura usuarios, accesos, flujos y datos conforme a su contrato.

Incorporamos guardrails, sanitización de prompts y validaciones de entradas y salidas para reducir riesgos de prompt injection, jailbreaks y usos que intenten desviar el comportamiento autorizado de nuestros agentes.

Aplicamos filtros de contenido, controles de contexto y políticas de acceso para reducir respuestas inadecuadas, sesgos y exposición de información sensible. Complementamos estos controles con nuestras políticas de privacidad y separación de datos.

Podemos conectar nuestros agentes a fuentes de conocimiento autorizadas y limitar el contexto de sus respuestas para reducir resultados fuera del propósito definido. Estos controles disminuyen el riesgo de alucinaciones, aunque no lo eliminan por completo.

Realizamos evaluaciones de prompts y respuestas, revisiones de riesgo y pruebas adversariales, incluidas actividades de Red Teaming, para detectar fallas y cambios no deseados en los sistemas de IA.

Definimos controles de gobernanza y supervisión humana para nuestros sistemas de IA. Cada cliente decide qué herramientas incorpora en sus flujos y administra los usos, permisos, fuentes y controles de sus aplicaciones conforme a lo acordado.

Contamos con mecanismos de interrupción (kill switch), monitoreo y registro de conversaciones para apoyar la respuesta a incidentes. Según el caso, podemos aplicar bloqueos, ajustes de guardrails, rollback o suspensión temporal de funcionalidades.

Evaluamos a nuestros proveedores de modelos de IA y LLM, revisamos acuerdos de procesamiento de datos y establecemos restricciones contractuales frente al uso no autorizado de información de clientes. Las condiciones específicas dependen del proveedor y del contrato.

Contamos con certificaciones ISO 27001 para gestión de seguridad de la información e ISO 9001 para gestión de calidad. Cuando un cliente necesita evidencia formal, nuestro equipo puede facilitar los certificados y sus alcances vigentes.

Estamos trabajando en el proceso de certificación ISO/IEC 42001 para la gestión de sistemas de inteligencia artificial. Todavía no la presentamos como una certificación obtenida.

Nos apoyamos en la infraestructura y los programas de cumplimiento de AWS, que dispone de certificaciones e informes de terceros para sus servicios, incluidos SOC e ISO. Diferenciamos estos respaldos de las certificaciones propias de Cari AI.

Aplicamos nuestra política de protección de datos considerando la Ley 1581 de 2012 de Colombia, la LFPDPPP de México y los demás marcos aplicables según la jurisdicción, el servicio y el contrato. Evaluamos el tratamiento y las transferencias internacionales conforme al rol de cada parte.

Alojamos nuestra infraestructura principal en centros de datos de AWS en Estados Unidos. En nuestra política de datos explicamos los roles de responsable y encargado, así como las condiciones para la transmisión y transferencia internacional de información.

Atendemos las solicitudes relacionadas con datos personales a través de datospersonales@cariai.com. Para reportar incidentes de seguridad o IA, contamos con support@cariai.com y los demás canales establecidos en nuestras políticas.