El organismo de ciberseguridad del CNI crea un examen para los productos con IA: estos son sus 27 requisitos

Publicado: noviembre 3, 2026, 2:24 pm

La incorporación de la inteligencia artificial a cada vez más herramientas plantea nuevos desafíos en materia de ciberseguridad. A diferencia de los programas tradicionales, dichas herramientas pueden presentar vulnerabilidades relacionadas con su capacidad para aprender, interpretar instrucciones, almacenar información o ejecutar acciones. Por este motivo, los métodos de evaluación habituales no siempre permiten detectar todos los riesgos asociados a dicha tecnología. Sin embargo, para dar respuesta a esta necesidad, el Centro Criptológico Nacional (CCN), dependiente del Centro Nacional de Inteligencia (CNI), ha publicado la ‘Metodología de Evaluación de Seguridad de Productos – Inteligencia Artificial’ (ESP-IA), una guía que establece un procedimiento específico para analizar la seguridad de los productos que incorporan funciones de IA.

La metodología detalla quiénes participan en el proceso, qué información debe aportarse y cuáles son las distintas fases de la evaluación. Además, su análisis se centra en amenazas propias de estos sistemas, como la manipulación de las decisiones, la introducción de instrucciones maliciosas, el envenenamiento de datos, la extracción del modelo, la filtración de información protegida, el agotamiento de recursos y el uso indebido de herramientas o acciones por parte de los sistemas agénticos, que pueden realizar tareas de forma autónoma.

Por lo tanto, para hacer frente a estos riesgos, la guía establece dos principios básicos que deben considerarse durante el desarrollo y la evaluación de estos productos. Por un lado, se exige que exista supervisión humana antes de que la IA lleve a cabo acciones críticas o que no puedan revertirse y, por otro, se plantea la necesidad de registrar sus actuaciones para poder reconstruir posteriormente qué ha hecho el sistema.

Cabe mencionar que estos criterios se aplican teniendo en cuenta las características de cada producto, por lo que la evaluación no es idéntica en todos los casos. El fabricante debe describir la arquitectura del sistema y responder a un cuestionario sobre las capacidades de la inteligencia artificial que incorpora y, a partir de esa información, una matriz de aplicabilidad determina cuáles de los 27 requisitos recogidos en la metodología debe cumplir cada producto.

Los 27 requisitos que debe cumplir cada producto con IA

1. Protección frente a evasión: El producto debe ser capaz de detectar y resistir intentos de manipular las entradas de la IA para alterar decisiones importantes relacionadas con la seguridad.
2. Protección frente a inyección directa: Debe protegerse frente a instrucciones maliciosas de usuarios o fuentes no fiables que intenten saltarse las medidas de seguridad o hacer que la IA realice acciones no permitidas.
3. Protección frente a inyección indirecta: Debe evitar que la IA trate como órdenes válidas los contenidos procedentes de fuentes externas no fiables, impidiendo que estos puedan modificar su comportamiento o eludir sus restricciones.
4. Protección frente a extracción: Debe impedir que personas no autorizadas puedan reconstruir o copiar el modelo de IA, o averiguar cómo funciona, a través de las interfaces disponibles.
5. Protección de la pertenencia al entrenamiento: El producto deberá proteger frente a la inferencia no autorizada de la pertenencia de personas, registros, muestras o elementos protegidos a los datos de entrenamiento.
6. Protección frente a inversión: El producto deberá proteger frente a la reconstrucción no autorizada de información protegida contenida en los datos utilizados para entrenamiento, ajuste o adaptación de la funcionalidad de IA
7. Protección frente a influencia persistente: El producto deberá impedir que datos, señales, feedback o actividad controlables por actores no confiables provoquen modificaciones persistentes no autorizadas en el comportamiento de la funcionalidad de IA.
8. Protección del aprendizaje posterior al despliegue: El producto deberá proteger los mecanismos de entrenamiento, ajuste, aprendizaje continuo o adaptación posteriores al despliegue frente a información manipulada capaz de producir modificaciones no autorizadas del comportamiento de la funcionalidad de IA.
9. Integridad de artefactos IA externos: El producto deberá verificar la procedencia e integridad de los artefactos de IA procedentes de terceros antes de su incorporación o utilización.
10. Integridad de actualizaciones de IA: El producto deberá autenticar, autorizar y verificar las actualizaciones de artefactos de IA antes de permitir que modifiquen el comportamiento de la funcionalidad desplegada.
11. Protección de información accesible a la IA: El producto deberá impedir que la funcionalidad de IA revele información protegida a actores no autorizados para conocerla.
12. Aislamiento entre contextos: El producto deberá mantener el aislamiento de la información entre usuarios, sesiones, roles, organizaciones o tenants que deban permanecer separados.
13. Protección de memoria y estado persistente: El producto deberá impedir el acceso no autorizado a información protegida conservada en memoria o estado persistente de la funcionalidad de IA.
14. Control de transmisión de información protegida: El producto deberá impedir la transmisión de información protegida a sistemas, destinatarios o canales externos no autorizados.
15. Protección frente a exfiltración mediante herramientas: El producto deberá impedir que las herramientas o sistemas externos accesibles a la funcionalidad de IA sean utilizados para transmitir información protegida a destinos no autorizados.
16. Control de acciones relevantes: El producto deberá limitar las acciones provocadas por la funcionalidad de IA a las operaciones permitidas y a los límites de actuación definidos.
17. Control del uso de herramientas: El producto deberá limitar el uso de herramientas, plugins, funciones, APIs, comandos o sistemas externos a las operaciones y parámetros autorizados para la funcionalidad de IA
18. Control de acciones con privilegios delegados: El producto deberá impedir que la funcionalidad de IA utilice privilegios delegados para ejecutar acciones que excedan las autorizaciones aplicables al actor que origina la interacción.
19. Limitación de herramientas privilegiadas: El producto deberá restringir las capacidades disponibles para la funcionalidad de IA cuando utilice herramientas o sistemas externos con privilegios superiores a los del actor que origina la interacción.
20. Control contextual de acciones privilegiadas: El producto deberá verificar que las acciones relevantes ejecutadas mediante herramientas con privilegios delegados estén autorizadas para el actor, la operación, el recurso y los parámetros concretos de ejecución
21. Protección frente al agotamiento de recursos IA: El producto deberá proporcionar protección frente a entradas o interacciones diseñadas para provocar un consumo anómalo o desproporcionado de los recursos utilizados por la funcionalidad de IA.
22. Degradación segura ante agotamiento: El producto deberá mantener un comportamiento seguro y controlado cuando la funcionalidad de IA se encuentre indisponible o degradada como consecuencia del agotamiento de sus recursos.
23. Validación humana de acciones críticas: El producto deberá requerir validación humana previa antes de ejecutar acciones críticas, destructivas o irreversibles provocadas por la funcionalidad de IA.
24. Capacidad efectiva de intervención: El producto deberá permitir que un operador autorizado interrumpa, rechace o impida la ejecución de acciones críticas iniciadas o propuestas por la funcionalidad de IA antes de que produzcan efectos irreversibles.
25. Registro de actividad de la IA: El producto deberá registrar la información necesaria para identificar las entradas, salidas y acciones relevantes producidas durante la operación de la funcionalidad de IA.
26. Reconstrucción de la actividad: El producto deberá proporcionar registros suficientes para reconstruir a posteriori la secuencia de interacciones, decisiones y acciones relevantes realizadas por la funcionalidad de IA.
27. Protección de los registros: El producto deberá proteger los registros de actividad de la funcionalidad de IA frente a modificaciones, eliminaciones y accesos no autorizados durante el periodo de conservación establecido.