Índice del artículo
En 30 segundos
Un registro de auditoría es un historial ordenado de eventos de un sistema que permite investigar quién hizo qué y cuándo.
En una herramienta de inteligencia artificial (IA), ayuda a reconstruir las acciones capturadas. Puede tener huecos y no explica por sí solo la causa de un error.
Una gestoría necesita saber qué ha pasado
Una gestoría de Zaragoza encarga a un agente preparar respuestas sobre documentación pendiente. Un agente es un programa que usa IA y herramientas para hacer una tarea. Un cliente avisa de que ha recibido una petición equivocada. La responsable necesita comprobar de qué expediente salió, en vez de reconstruir la tarde preguntando a cada compañero qué recuerda. Es una situación ilustrativa, no un cliente real.
Piensa en una bitácora de trabajo. Cada evento es algo que ocurre en el sistema: una consulta, una propuesta, una aprobación o un intento de envío. En documentación técnica puedes verlo como log. Su utilidad está en relacionar los hechos del proceso. Que una herramienta muestre actividad no significa que recoja todo lo necesario para entender ese caso ni que sus entradas estén protegidas frente a cambios.
Del borrador al resultado
- Propone
- Tú apruebas
- Ejecuta
- Confirma
Exige este recorrido al configurar tu proceso. El rechazo detiene la acción antes de ejecutarla. La propuesta, la decisión humana y el resultado son hechos distintos; el registro debe permitir seguir su relación.
Qué necesitas poder reconstruir
Usa esta ficha al hablar con quien configura tu herramienta. Describe la evidencia que te interesa conservar, no campos que todos los productos incluyan. Una ejecución es un recorrido del proceso; su identificador permite relacionar los eventos que pertenecen al mismo trabajo.
- Quién actuó
- Identifica la cuenta responsable de la acción, sea del agente o de una persona con permisos de administración. Una cuenta compartida reduce la precisión: saber qué usuario aparece en el evento no permite atribuirlo automáticamente a un compañero. En el ejemplo, quieres distinguir el trabajo del agente de la decisión de la responsable, sin deducir intenciones a partir de un nombre.
- Cuándo y dónde
- Conserva la hora y el sistema de origen, con la zona horaria necesaria para ordenar el recorrido. El momento de la acción puede ser distinto del momento en que se registra. Si comparas aplicaciones, no relaciones dos entradas solo porque sus horas se parezcan: necesitas también referencias que permitan vincularlas al mismo expediente o ejecución.
- Qué consultó
- Busca la referencia y la versión del documento utilizado, cuando esa consulta esté capturada. Así puedes distinguir la información disponible entonces de la que ves ahora. En la gestoría interesa saber qué documentación sirvió de base a la respuesta. Guardar una referencia suficiente no exige volcar en el registro el contenido completo del expediente.
- Qué propuso
- Distingue el intento de acción del cambio realizado. Debe poder identificarse el expediente afectado, la operación y su destino. Si la propuesta era enviar una respuesta, necesitas reconocer a quién iba dirigida y qué se proponía enviar. Una entrada que solo dice «herramienta utilizada» puede quedarse corta para reconstruir el alcance de lo que se intentó.
- Qué autorizaste
- Relaciona la decisión con la propuesta concreta: quién la aprobó o rechazó y sobre qué destinatario, texto y documentos decidió. Un botón de aprobación aislado no demuestra ese vínculo. Si el agente cambia lo propuesto después de la revisión, esa decisión ya no describe la nueva acción. Puedes ampliar esta separación en persona en el circuito.
- Qué resultado quedó
- Conserva el estado y la confirmación disponibles, vinculados a la ejecución. Que el proceso termine como correcto no demuestra por sí solo que el cambio haya llegado al destino. Para la gestoría, contrasta el intento con la referencia del envío en el sistema receptor cuando sea posible. Incluye también errores y rechazos pertinentes, no solo el resultado final.
No lo confundas con
El chat
El historial del chat conserva mensajes intercambiados. Puede ayudarte a leer el encargo, pero no sustituye la evidencia de las acciones realizadas en otras aplicaciones.
La memoria
La memoria aporta contexto al agente. Su función es ayudarle a trabajar con información previa; no es un diario de cada operación ejecutada.
Un informe posterior
Un informe contiene afirmaciones por contrastar. Pedir después al agente que cuente lo que hizo no equivale a tener evidencia capturada mientras trabajaba.
Cómo proteger un registro útil
Define quién puede verlo
Empieza por el acceso necesario para revisar el proceso. Decide qué personas pueden consultar las entradas y obtener una copia para investigar una incidencia. El registro también puede contener información sensible: limitar el acceso al expediente y después compartir libremente su historial deja esa protección incompleta. Antes de usarlo con clientes, pide que te enseñen los permisos de consulta y exportación que tendrá cada responsable. Los permisos del agente y los de quien revisa el registro cumplen funciones distintas.
Comprueba si se puede alterar
Pide que te expliquen cómo se detectan cambios en las entradas guardadas. Una hoja editable puede servir para el seguimiento diario, pero por sí sola no demuestra que conserve intacta la historia. Tampoco una firma demuestra que el contenido sea verdadero o completo. Lo que necesitas valorar es qué evidencia puedes contrastar, qué parte del proceso cubre y qué fallos de captura podrían dejarte sin información. Una prueba de un caso solo demuestra ese caso.
Guarda lo suficiente
Acuerda qué datos y durante cuánto tiempo se necesitan para la finalidad del registro. Excluye contraseñas, claves de acceso y datos personales innecesarios; conserva identificadores o extractos suficientes. Guardar más información no resuelve por sí solo la investigación y puede exponer documentos que no hacían falta. Decide cómo conservarás las entradas antes de que la limpieza del historial las borre. La retención de datos es precisamente la decisión sobre cuánto tiempo se conservan.
Cuándo te sirve y dónde termina
El registro también sirve durante el trabajo: permite revisar las acciones capturadas sin esperar a una reclamación. Si tu política de uso de IA pide dejar constancia, concreta dónde se consulta esa evidencia y quién la revisa. El registro de actividades de tratamiento del Reglamento General de Protección de Datos (RGPD) es otro documento: describe tratamientos, finalidades y destinatarios, no cada evento de una aplicación.
Antes de ampliar lo que delegas, pide una demostración del recorrido con datos ficticios. Quien configura la herramienta debe mostrarte dónde consultarás la acción, la aprobación y el resultado. Si necesitas revisar ese diseño en un proceso concreto, puedes acudir a la consultoría de Ciade. La revisión ayuda a delimitar lo que puedes reconstruir; disponer de un registro no certifica por sí solo el cumplimiento de todas tus obligaciones.
Dudas sobre registros de auditoría, respuestas cortas
¿Un registro vacío significa que el agente no hizo nada?
No. La ausencia de entradas puede deberse a qué se captura, a la configuración o a la eliminación del historial. Comprueba el alcance del registro y sus posibles fallos antes de sacar conclusiones. Un evento que falta no demuestra, por sí solo, que la acción no ocurriera.
¿El registro demuestra quién tiene la culpa de un error?
No. El registro ayuda a comprobar hechos, pero no decide quién tiene la culpa. Puede tener huecos y no explicar por sí solo la causa del error. Una cuenta compartida reduce la precisión al atribuir una acción; necesitas contrastar la evidencia disponible antes de sacar conclusiones.
¿Un resultado correcto demuestra que el envío llegó al destino?
No. El intento y el resultado son hechos distintos. Que el proceso termine como correcto no demuestra por sí solo que el cambio haya llegado al destino. Contrasta la confirmación del sistema receptor cuando sea posible y relaciónala con el identificador de la ejecución.
¿Basta con guardar que alguien pulsó el botón de aprobar?
No. La aprobación debe corresponder a la propuesta concreta. Conserva quién decidió y qué destinatario, texto y documentos estaba aprobando. Un botón aislado no demuestra ese vínculo. Si el agente cambia la propuesta después de revisarla, la decisión anterior ya no describe la nueva acción.
Fuentes
Fuentes oficiales, consultadas el 4 de noviembre de 2026
- NIST · Definición de registro de auditoría
- OWASP · Registro de eventos en aplicaciones
- OWASP · Seguridad y aprobaciones en agentes de IA
- OWASP · Cómo contrastar evidencia de ejecución
- BOE · RGPD: datos necesarios, conservación y seguridad
Cómo lo comprobamos. Definición, criterios de registro, límites de la evidencia y protección de datos según las fuentes oficiales consultadas el 4 de noviembre de 2026. Ciade no ha probado este proceso ni ha exportado un registro real.
Qué ha cambiado.
- 4 de noviembre de 2026: Ampliadas las dudas sobre atribución de errores, confirmación del resultado y vínculo entre aprobación y propuesta.
Términos relacionados
Aprende a usar la IA en tu trabajo, con criterio.
El nivel 0 es gratis: cuarenta minutos para entender qué pedirle a la IA y qué revisar. El programa completo enseña a implementarla en tu propio negocio, tarea a tarea.
