AIF-C01

Deep Dive

Todas las guías
Practicar ahora
D5 · Seguridad, cumplimiento y gobernanza

aplicada a IA

El mismo principio que rige la seguridad en cloud en general aplica a los servicios de IA — pero con una capa adicional: los prompts, el contenido generado y el propio modelo base introducen nuevas líneas de responsabilidad que no existen en cómputo o almacenamiento tradicional.

El modelo aplicado a IA

AWS es responsable de la infraestructura de cómputo para IA, de la seguridad y disponibilidad del foundation model base. El cliente es responsable de sus prompts y los datos que envía al modelo, del control de acceso (IAM) a los servicios de IA, y del cumplimiento normativo de su caso de uso específico.

La diferencia con el modelo "clásico" de IaaS/PaaS/SaaS es que en IA hay un nuevo objeto que proteger: el prompt (lo que envías al modelo) y la respuesta generada. Ninguno de los dos existía como concepto de seguridad en cómputo tradicional.

Por qué esto importa en el examen

Una pregunta frecuente del AIF-C01 presenta un escenario de fuga de datos o de contenido inapropiado generado por un modelo, y pide identificar si la falla es de AWS o del cliente. Casi siempre la respuesta correcta es "el cliente" — porque AWS no controla qué envías al modelo ni cómo configuras el acceso.

Matriz de responsabilidades en IA

Quién es responsable de cada capa cuando usas servicios de IA en AWS.

CapaResponsable
Infraestructura física (GPUs, servidores, datacenters)AWS
Pesos y seguridad del foundation model baseAWS
Disponibilidad del servicio (SLA)AWS
Aislamiento entre tenants (tus datos no entrenan el modelo de otros)AWS
Prompts que envías al modeloCliente
Datos usados para fine-tuning o RAGCliente
Control de acceso (IAM) a los servicios de IACliente
Configuración de Guardrails / filtros de contenidoCliente
Cumplimiento normativo del caso de uso (HIPAA, GDPR, PCI DSS)Cliente
Auditoría de quién invoca qué modelo (CloudTrail habilitado)Cliente
Cifrado de datos de entrenamiento y artefactos de modeloCompartida
Detección de sesgo en el modelo entrenado por el clienteCliente

Lo que SIEMPRE es de cada uno

Sin importar si usas Bedrock (modelo administrado) o SageMaker (modelo propio), estas responsabilidades no cambian.

AWS SIEMPRE es responsable de:

  • Infraestructura de cómputo: GPUs, servidores, red física y datacenters donde corre el servicio de IA
  • Seguridad del foundation model base: Que el modelo pre-entrenado que ofrece Bedrock no haya sido comprometido o manipulado
  • Disponibilidad de la plataforma: SLAs del servicio: Bedrock, SageMaker y los servicios de IA pre-entrenados
  • Aislamiento entre clientes (tenants): Que tus prompts y datos no se mezclen ni entrenen modelos de otros clientes

El cliente SIEMPRE es responsable de:

  • Los prompts que envía: Qué información incluye en el texto que manda al modelo — incluyendo si expone datos sensibles
  • Sus propios datos de entrenamiento/contexto: Datasets para fine-tuning, documentos para RAG — su clasificación y protección
  • Control de acceso (IAM): Quién puede invocar un modelo, crear un endpoint o acceder a un Knowledge Base
  • Cumplimiento de su caso de uso: Si procesa datos médicos, financieros o de menores, cumplir la regulación aplicable

Icon-Architecture/48/Arch_Amazon-Bedrock_48 Caso: Amazon Bedrock — modelo administrado

Bedrock te da acceso a foundation models ya entrenados vía API. Es el equivalente de "SaaS" en el mundo de la IA: la mayor parte de la pila la gestiona AWS.

AWS gestiona:

  • Entrenamiento y pesos del foundation model
  • Infraestructura y escalado del servicio
  • Aislamiento entre cuentas de clientes
  • Disponibilidad regional del modelo

Tú gestionas:

  • El contenido de tus prompts
  • Configuración de Bedrock Guardrails
  • Qué documentos conecta tu Knowledge Base (RAG)
  • Permisos IAM de quién puede invocar el modelo
  • Si fine-tuneas el modelo, tus datos de entrenamiento

Caso: — modelo propio

Con SageMaker entrenas y despliegas tu propio modelo. Es más parecido a "IaaS": tienes más control, y por lo tanto más responsabilidad.

AWS gestiona:

  • El hardware donde corre el entrenamiento y los endpoints
  • Aislamiento de infraestructura entre clientes
  • Disponibilidad de la plataforma SageMaker

Tú gestionas:

  • Los datos de entrenamiento (calidad, sesgo, clasificación)
  • La arquitectura y calidad del modelo entrenado
  • Detectar y corregir bias (con SageMaker Clarify)
  • Cifrado de artefactos del modelo (con KMS)
  • Permisos de quién puede acceder al endpoint desplegado
  • Documentar el modelo con Model Cards

Escenario de brecha: prompt sin Guardrails

Caso realista

Una fintech construye un asistente interno con Bedrock para que los agentes de soporte resuman el historial de un cliente antes de una llamada. Para ahorrar tiempo, un desarrollador pega directamente en el prompt el número completo de cuenta, el DNI y el historial de transacciones del cliente — sin enmascarar ningún dato — y no configura para filtrar información sensible en las respuestas.

Semanas después, un log de la aplicación (mal protegido, con acceso demasiado amplio por un rol IAM sobre-permisivo) queda expuesto. Ese log contiene los prompts completos, incluyendo los datos financieros sin enmascarar.

¿Quién es responsable? El cliente, en cada punto de la cadena: decidió qué incluir en el prompt, no configuró Guardrails para enmascarar PII, y configuró un rol IAM con permisos excesivos sobre los logs. AWS entregó un modelo funcional y una infraestructura segura — ninguna de esas tres decisiones estaba bajo su control.

Identity y Policy in AgentCore

Cuando un actúa de forma autónoma (llama APIs, ejecuta acciones, invoca otras herramientas), necesitas gestionar identidad y permisos específicos para ese agente — no solo para el usuario humano que lo invocó.

  • AgentCore Identity: gestiona quién o qué es el agente — su identidad propia, separada de la del usuario que lo invocó — y cómo se autentica frente a otros servicios
  • Policy in AgentCore: define qué acciones tiene permitido ejecutar ese agente en nombre del usuario o de la aplicación, aplicando el mismo principio de mínimo privilegio que IAM aplica a identidades humanas

Toxicidad y otros riesgos a filtrar en la salida del modelo

Además de prompt injection sobre la entrada, hay riesgos que aparecen en la salida del modelo y que deben filtrarse antes de mostrarla al usuario final.

  • Toxicidad: lenguaje ofensivo, de odio o abusivo generado por el modelo, aun sin que el usuario lo haya pedido explícitamente
  • • Contenido sesgado o discriminatorio en el texto generado
  • • Filtración de información sensible o confidencial incluida en el prompt o en el contexto de RAG

incluye filtros de toxicidad configurables como parte de su función de moderación de contenido.

Source citation y data lineage

Documentar de dónde vienen los datos usados para entrenar o para dar contexto a un modelo (linaje de datos) es clave para trazabilidad y auditoría — especialmente cuando hay que responder "¿por qué el modelo dijo esto?" o "¿de qué documento salió esta respuesta?".

  • documentan de forma estructurada el origen de los datos de entrenamiento de un modelo
  • • Un data catalog registra qué datasets existen, de dónde provienen y cómo se han transformado antes de llegar al modelo
  • • En sistemas RAG, citar la fuente exacta (documento, sección) de la que salió una respuesta permite al usuario verificarla

Detección de alucinaciones y grounding

Además de RAG en general, existen técnicas concretas para reducir y detectar alucinaciones antes de que lleguen al usuario.

  • RAG grounding: anclar la respuesta del modelo en documentos reales recuperados en el momento, en lugar de depender solo de lo que el modelo "recuerda" de su entrenamiento
  • Output validation: validar la salida del modelo (por ejemplo, contra las fuentes recuperadas o contra reglas de negocio) antes de mostrarla al usuario
  • Confidence scoring: puntaje de confianza asociado a la respuesta, que permite decidir si mostrarla directamente, pedir revisión humana o rechazarla

Responsabilidad compartida y compliance en IA

Puedes heredar certificaciones de AWS para la infraestructura, pero el cumplimiento de tu caso de uso específico sigue siendo tuyo — especialmente si procesas datos regulados.

Lo que AWS certifica (infraestructura)

  • ISO 27001: Gestión de seguridad de la información
  • SOC 1/2/3: Controles de servicio de organización
  • HIPAA (con BAA): Servicios elegibles para datos de salud en EE.UU.
  • GDPR: Herramientas y acuerdos de procesamiento de datos

Lo que tú aún debes hacer

  • Evitar enviar datos sensibles sin enmascarar en un prompt
  • Configurar Guardrails apropiados para tu caso de uso
  • Aplicar el principio de mínimo privilegio en IAM
  • Cifrar datos de entrenamiento y artefactos con KMS
  • Auditar accesos a los servicios de IA con CloudTrail
  • Verificar si tu caso de uso requiere un BAA o DPA firmado con AWS

¿Entendiste este tema?

Pon a prueba lo que acabas de aprender

Una empresa usa Amazon Bedrock para un chatbot interno. Un empleado incluye información médica confidencial de un cliente directamente en un prompt, sin enmascararla, y esa información termina expuesta en logs con permisos IAM demasiado abiertos. Según el modelo de responsabilidad compartida, ¿quién es responsable de esta brecha?

Inicia sesión para llevar tu progreso.