¿Qué registro de auditoría debe dejar un agente de IA?

Un auditor interno le hace una pregunta sencilla al equipo de operaciones: ¿por qué alguien reinició el proceso de liquidación de pagos nocturnos a las 2:47 a. m.? El registro del programador muestra un reinicio. El ticket indica "reiniciar según recomendación de la IA". Nadie puede precisar qué vio el agente de IA, qué permisos tenía ni quién lo autorizó.

Respuesta breve: Un agente de IA debería dejar un registro de auditoría que permita reconstruir la decisión completa, no solo la orden. Dicho registro debería mostrar qué agente y qué personas participaron, qué contexto y evidencia fundamentaron la recomendación, qué autoridad tenía el agente, quién aprobó la acción, qué se ejecutó exactamente y qué sucedió después.

Este artículo describe el marco de trabajo de ocho partes propuesto por Rocket Software para dicho registro. También incluye un ejemplo de registro de auditoría de un incidente de procesamiento por lotes en un sistema central real, que puede adaptar a su propio entorno.
 

¿Qué es un registro de auditoría de un agente de IA?

El registro de auditoría de un agente de IA es la evidencia que conecta la recomendación de dicho agente con la autoridad, la aprobación, la acción y el resultado que la respaldan. Utilice esta definición como punto de partida:

El registro de auditoría de un agente de IA es un archivo cronológico a prueba de manipulaciones que vincula la identidad del agente, el contexto y la evidencia de decisión que utilizó, la recomendación que formuló, la autoridad que ostentaba, la aprobación humana que recibió, la acción autorizada que ejecutó y el resultado validado. Permite a un auditor, operador o equipo de riesgos reconstruir quién hizo qué, por qué y con qué autorización.

La clave está en los vínculos. La mayor parte de esta información ya existe en algún lugar de tu entorno. El registro de auditoría del agente de IA la conecta para que nadie tenga que reconstruir la historia a partir de cinco herramientas diferentes a posteriori.
 

¿Por qué los registros del sistema tradicionales no son suficientes para la IA con capacidad de gestión de agentes?

Los registros de sistema tradicionales registran eventos, pero no decisiones. Un registro puede mostrar que un usuario emitió un comando en un momento específico, pero no puede indicar por qué un agente de IA recomendó ese comando, qué evidencia lo respaldaba ni si una persona con el rol adecuado lo aprobó.

Los registros del sistema son necesarios, pero insuficientes. Sigue siendo necesario contar con registros de las Instalaciones de Administración del Sistema (SMF), registros de trabajos, registros de consola y registros de seguridad, ya que demuestran lo sucedido a nivel del sistema. Sin embargo, un agente de IA añade una nueva capa de toma de decisiones entre la alerta y el comando. Si el registro de auditoría omite esta capa, la única explicación posible será «la IA lo hizo».

Aquí te mostramos en qué se diferencian los dos registros:

Los líderes ya consideran esta brecha como un obstáculo para la producción. En un estudio de junio de 2026 realizado Rocket Software y Hanover Research a 250 líderes de TI de servicios financieros, el 46 % afirmó necesitar controles de gobernanza sólidos y flujos de trabajo de aprobación antes de confiar en la IA en producción para el diagnóstico operativo. Otro 43 % exigió una precisión comprobada y validada con respecto a incidentes históricos. Los encuestados también mencionaron la falta de explicabilidad y auditabilidad entre sus principales preocupaciones sobre la IA con agentes en operaciones reguladas.

IDC informa de un patrón similar. Según IDC, los primeros usuarios de IA con agentes mencionan sistemáticamente la visibilidad para el cumplimiento normativo y los requisitos de auditoría como un desafío. IDC también señala que generar confianza depende del seguimiento de la información, las acciones y los resultados mediante registros, pistas de auditoría y políticas claras de supervisión humana.

¿Debería un registro de auditoría de IA capturar el razonamiento del agente?

Un registro de auditoría de IA debe capturar la evidencia de la decisión del agente y su justificación explícita, no la cadena de pensamiento oculta del modelo. Los auditores necesitan verificar en qué se basó el agente y a qué conclusión llegó. No necesitan, y generalmente no pueden obtener de forma fiable, el proceso interno, token por token, de un modelo de lenguaje complejo.

Céntrate en lo que es observable y verificable:

• Entradas: las fuentes de datos y los registros que recuperó el agente.
• Evidencia: las señales específicas que citó, como un código de error o una espera de bloqueo.
• Recomendación: la acción que propone
• Justificación: la explicación en lenguaje sencillo que le dio al operador.
• Incertidumbre: lo que no pudo confirmar y cualquier evidencia contradictoria.

Un revisor puede comprobar este registro. Puede abrir el mismo registro de trabajo, confirmar el mismo código de error y determinar si la recomendación se basó en la evidencia. Esto constituye una base más sólida para la rendición de cuentas que un simple volcado de razonamiento opaco.

¿Cómo debe constar la aprobación humana en el registro de auditoría?

La aprobación humana debe figurar como un paso separado y atribuible entre la recomendación del agente y la acción ejecutada. El registro debe hacer imposible malinterpretar la secuencia:

1. El agente A recomendó una acción específica, adjuntando las pruebas correspondientes.
2. La persona B aprobó esa acción en concreto, bajo su propia identidad y rol.
3. El agente A ejecutó la acción aprobada, dentro de su ámbito de competencia autorizado.
4. El sistema C registró el resultado y los resultados de la validación.

Cada paso necesita su propia identidad y marca de tiempo. Si la Persona B aprobó "reiniciar desde el PASO 040" y el agente ejecutó "reiniciar desde el PASO 010", el registro debería marcar automáticamente la discrepancia.

Esta secuencia también se corresponde con los niveles graduales de autoridad de la IA: Observar, Recomendar, Actuar con aprobación y Actuar de forma autónoma. La mayoría de las acciones de producción importantes corresponden al nivel Actuar con aprobación. El registro de auditoría demuestra qué nivel se aplicó a cada acción.  

¿Qué hace que un registro de auditoría de IA sea defendible?

Un registro de auditoría de IA fiable es completo, atribuible y a prueba de manipulaciones. Si alguien lo cuestiona seis meses después, debería mantenerse sin depender de la memoria de nadie.

Verifique su registro de auditoría según estos criterios:

• Atribución: Cada entrada está vinculada a un agente o identidad humana única, nunca a una cuenta compartida.
• Integridad: Los registros no pueden alterarse sin ser detectados. El uso de funciones hash o la firma digital garantizan esto.
• Inmutabilidad: Escriba el registro inmutable en un almacenamiento que los agentes y operadores no puedan editar ni eliminar.
• Registro de tiempo: utilice fuentes de tiempo sincronizadas y confiables en sistemas centrales, distribuidos y en la nube.
• Alcance: El registro muestra los límites de la política y los permisos vigentes en el momento de la decisión, no la configuración actual.
• Trazabilidad: Un revisor puede seguir un hilo conductor desde el incidente hasta la evidencia, la recomendación, la aprobación, la acción y el resultado.
• Conservación de registros: Mantenga los registros de acuerdo con los requisitos legales, reglamentarios y organizativos aplicables.

Los periodos de retención varían según el sector, la jurisdicción y el tipo de registro. Sus equipos de cumplimiento normativo, legal y de gestión de riesgos deben establecerlos.

¿Qué aspecto tiene un registro de auditoría de IA durante un incidente de procesamiento por lotes en un sistema central?

Un registro de auditoría de IA útil se lee como un relato breve y verificable de un incidente. Así es como debería verse el reinicio del trabajo de liquidación a las 2:47 a. m. del escenario inicial.

Escenario: El proceso de liquidación de pagos nocturnos, PAYSETL01, falla en STEP040 con el código SQL Db2^® -911. Una transacción en línea del Sistema de Control de Información del Cliente (CICS) superó su tiempo de procesamiento habitual y bloqueó la tabla de liquidación. Un agente de IA investiga, identifica el conflicto de bloqueo y recomienda reiniciar el proceso una vez que se libere el bloqueo. El operador de guardia remite el problema al responsable de operaciones por lotes, quien lo aprueba.

Fíjese en lo que hace este registro. Un auditor puede verificar cada reclamación sin llamar a nadie. El operador puede ver por qué el agente hizo la llamada. El equipo de la aplicación recibe un seguimiento claro en lugar de un misterio.

¿Dónde encaja Rocket EVA ?

Rocket^® EVA^™ Se adapta a situaciones en las que los equipos de operaciones necesitan un diagnóstico asistido por IA que genere evidencia que un humano pueda revisar antes de que se produzca cualquier cambio en la producción.

Según IDC, Rocket EVA permite a los operadores y desarrolladores de TI formular preguntas en lenguaje natural y recibir recomendaciones sobre el estado de los incidentes, las dependencias y las correlaciones de las causas raíz en diversas fuentes, como IBM Db2^®, SMF, TMON/SDSF y datos del gestor de cargas de trabajo. IDC también señala que Rocket EVA se integra con sistemas de gestión de incidencias como Jira, lo que facilita la vinculación de las recomendaciones con el registro del incidente y con la forma en que la organización ha resuelto problemas similares anteriormente.

Esto se corresponde directamente con los elementos de Contexto, Evidencia y Recomendación del marco. Cuando llega una recomendación con las señales de respaldo adjuntas, los operadores pueden validarla y los auditores pueden rastrearla posteriormente. También ayuda al personal con menos experiencia a llevar a cabo una investigación, mientras que los expertos en sistemas centrales mantienen el control de las decisiones que requieren un juicio subjetivo.

Para los elementos de Identidad, Autoridad, Aprobación Humana y Acción, consulte la documentación oficial de Rocket Software para confirmar las funcionalidades actuales. El objetivo sigue siendo el mismo: un mejor diagnóstico y una gestión de acciones más eficaz sobre los sistemas que ya utiliza, sin interrumpir los procesos en los que confían sus equipos.