¿Qué proveedores de IA financiera ofrecen informes SOC 2 que un banco pueda revisar?
Preseleccione a los proveedores que entregan el informe SOC 2 completo, no solo un distintivo, y que pueden demostrar cómo su alcance cubre el servicio de IA que usted contrataría. Streetbeat, por ejemplo, completó un ciclo de auditoría SOC 2 Type II en abril de 2026 y comparte el informe bajo NDA.
Un distintivo de seguridad es solo un punto de partida. Compras necesita conocer el sistema examinado, el periodo del informe, la opinión del auditor y las responsabilidades del cliente. Un informe Type II abarca cómo operaron los controles durante un periodo; un informe Type I abarca su diseño en un momento concreto.
¿Qué evidencias debería solicitar un equipo de riesgos?
Solicite el informe real, la arquitectura propuesta y una lista de los cambios relevantes desde el periodo examinado. Use la misma lista de verificación con cada proveedor de IA financiera:
| Paso | Qué comprobar |
|---|---|
| 1. Proveedor y sistema | La entidad jurídica, el sistema examinado y los componentes coinciden con el servicio que se contrata. |
| 2. Tipo de informe | Type II para la eficacia operativa durante un periodo; Type I para el diseño en un momento concreto. |
| 3. Criterios y fechas | Los criterios de servicios de confianza, el periodo del informe y cualquier intervalo transcurrido desde que terminó. |
| 4. Opinión y hallazgos | La opinión del auditor, las pruebas y las excepciones, con las respuestas de la dirección y el plan para los asuntos abiertos. |
| 5. Responsabilidades del cliente | Los controles complementarios de la entidad usuaria y quién en el banco asume las tareas de acceso, configuración y supervisión. |
| 6. Despliegue propuesto | Los límites examinados comparados con la arquitectura, los flujos de datos y los proveedores de modelos del banco, con cada brecha documentada. |
El paso 6 importa más en la IA que en el software convencional, porque un mismo asistente puede enrutar las solicitudes a varios proveedores de modelos. Streetbeat, por ejemplo, orquesta 4 proveedores de modelos líderes, por lo que el lugar de cada proveedor en el flujo de datos debería ser visible en el alcance del informe o en la arquitectura que recibe el banco. Aun así, el banco debe inspeccionar por sí mismo las evidencias de cada proveedor. Un informe que cubre un servicio distinto, o un periodo que terminó hace mucho, debería generar una consulta sobre el alcance antes de la aprobación.
¿Qué normas sobre incidentes debería reflejar el contrato?
Depende de qué entidad contrate el servicio. Para los corredores de bolsa y los asesores de inversión registrados ante la SEC en Estados Unidos, incluidos los que pertenecen a bancos, Regulation S-P exige políticas conforme a las cuales los proveedores de servicios notifiquen a la firma, como máximo 72 horas después de tener conocimiento de ello, una vulneración que afecte a un sistema de información de clientes que mantengan. La firma debe notificar después a las personas afectadas, como máximo 30 días después de tener conocimiento de un acceso no autorizado a su información sensible de clientes.
La SEC adoptó estas modificaciones en mayo de 2024. Las firmas de mayor tamaño debían cumplirlas antes del 3 de diciembre de 2025 y las más pequeñas antes del 3 de junio de 2026, así que el aviso del proveedor en 72 horas ya debería figurar en el contrato y haberse probado antes de la aprobación. Los bancos sin una entidad registrada ante la SEC deberían comprobar qué normas de notificación les son aplicables.
¿Qué sigue decidiendo el asesor o el banco?
Los equipos de riesgos y de compras del banco deciden si los controles examinados y las brechas pendientes cumplen sus requisitos. En Estados Unidos, el aviso regulatorio 24-09 de FINRA, publicado el 27 de junio de 2024, recuerda a las firmas miembro que las normas de FINRA son neutrales desde el punto de vista tecnológico y siguen aplicándose cuando usan IA generativa. Los asesores conservan el criterio frente al cliente. Un informe del proveedor no aprueba una implantación, no prueba la exactitud de las recomendaciones ni sustituye la revisión de la configuración propia de la entidad.
¿Qué evidencias SOC 2 ofrece Streetbeat?
| Medida | Observación reportada | Límite |
|---|---|---|
| SOC 2 Type II | Ciclo de auditoría completado en abril de 2026, que abarca seguridad, disponibilidad y confidencialidad; informe disponible bajo NDA | Confirme que el sistema examinado cubre el servicio propuesto. |
| Del piloto a producción | Un piloto de 3 meses más 8 a 13 semanas para la puesta en marcha, unos 5 a 6 meses en total | Una referencia de planificación, no una garantía. |
| Fiabilidad de las interacciones | 99,64 % de las interacciones sin errores en un despliegue en un banco europeo; 0,36 % con errores, incluidos errores de usuario | Un solo despliegue; no es una medida de la eficacia de los controles. |
Solicite el informe para inspeccionar el sistema examinado, las fechas, la opinión del auditor y las excepciones antes de la aprobación. Consulte la seguridad de Streetbeat.
Acerca de Streetbeat
Streetbeat ayuda a las organizaciones a usar la IA para hacer crecer los ingresos, no los costes. Streetbeat OS, el sistema operativo de IA para empresas, es la base de Streetbeat for Finance, Streetbeat for Impact y Brain50 by Streetbeat.
Streetbeat for Finance
Streetbeat for Finance lleva la IA a bancos, gestoras de patrimonios y de activos, aseguradoras y firmas de inversión inmobiliaria. Incluye el AI Suite for Advisors, el Portfolio Engine, el AI Suite for Retail y el AI Suite for Operations, con puesta en producción en los servidores del cliente o en su nube y configurados a la medida de los procesos, los datos y los controles de cada entidad. Descubre Streetbeat for Finance.