Actualidade CCN
El Centro Criptológico Nacional desarrolla una metodología de evaluación de seguridad de productos con inteligencia artificial
- Detalles
Fecha de publicación: 29/10/2026
- La guía CCN-STIC-2011 ahora publicada por el CCN recoge esta metodología junto con dos plantillas de Declaración de Seguridad y el Informe Técnico de Evaluación.
- La metodología establece un marco común y comparable para que fabricantes, laboratorios y organismos usuarios puedan confiar en la seguridad de los productos con inteligencia artificial.
El Centro Criptológico Nacional (CCN) del Centro Nacional de Inteligencia (CNI) ha publicado la guía CCN-STIC-2011, Metodología de Evaluación de Seguridad de Productos – Inteligencia Artificial (ESP-IA), acompañada de dos anexos: la plantilla de Declaración de Seguridad y la plantilla del Informe Técnico de Evaluación.
Este nuevo desarrollo del CCN responde a la necesidad de analizar los riesgos propios de los productos con IA que no cubren las evaluaciones tradicionales. Para ello, se centra en vulnerabilidades vinculadas a la forma en que estos sistemas aprenden, interpretan instrucciones, recuerdan información o ejecutan acciones.
Amenazas y principios de seguridad
La guía contempla amenazas como la evasión de decisiones, la inyección de instrucciones, el envenenamiento, la extracción del modelo, la fuga de información protegida, el agotamiento de recursos y el uso indebido de herramientas y acciones por parte de sistemas agénticos.
También incorpora dos principios esenciales: la supervisión humana antes de ejecutar acciones críticas o irreversibles y la trazabilidad necesaria para reconstruir posteriormente la actuación de la IA.
Una evaluación adaptada a cada producto
La evaluación se adapta a las características de cada producto. El fabricante describe su arquitectura y responde a un cuestionario sobre las capacidades de la IA; a partir de esta información, una matriz de aplicabilidad determina cuáles de los 27 requisitos previstos debe cumplir.
Un laboratorio acreditado y autorizado por el CCN verifica cada requisito aplicable y realiza pruebas de penetración adicionales, tomando como referencia la OWASP AI Testing Guide y las técnicas de ataque más actuales.
Más información:
