seguridad
La normativa europea dejó hace tiempo de dirigirse a la empresa en abstracto: nombra roles y responsables. Mientras tanto, las automatizaciones que mueven tus datos y tus facturas las construyen cada vez más equipos que nunca pasaron por IT — y todas ellas caen bajo deberes que ya tienen nombre, artículo y fecha.
EU-hosted · GDPR · NIS2 · DORA · AI Act-ready
quién responde
La normativa europea ya no se detiene en la empresa: nombra roles y, en el caso de NIS2, alcanza directamente al órgano de dirección. Las automatizaciones construidas fuera del proceso de revisión entran igualmente dentro de estos deberes.
Debe aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad, y puede responder personalmente si no lo hace — incluida la inhabilitación temporal para ejercer funciones directivas.
NIS2 art. 20 · art. 32.6
Gestión de activos y políticas de control de acceso como medida obligatoria, y alerta temprana de incidentes en 24 horas — inalcanzable sobre automatizaciones que nadie ha inventariado.
NIS2 art. 21.2.i · art. 23 · RGPD art. 32
Inventario completo y actualizado de activos TIC y sus dependencias, más registro de proveedores terceros — también de sistemas construidos por equipos que nunca pasaron por IT.
DORA art. 8 · art. 28.3
Toda automatización que toca datos personales es una actividad de tratamiento: debe figurar en el registro del art. 30, puede requerir EIPD, y cualquier brecha se notifica en 72 horas.
RGPD art. 30 · 33 · 35 · 22.3
Integridad, inalterabilidad y trazabilidad de los registros de facturación generados por software — incluido cualquier flujo intermedio que los transforme o replique.
RRSIF art. 8 (VeriFactu) · RD 1007/2023
Transparencia cuando el sistema interactúa con personas, supervisión humana y registro de eventos cuando el uso es de alto riesgo, y un dossier técnico que sostenga ambas.
AI Act art. 50 · art. 14 · art. 11
El alcance y los umbrales varían por sector, tamaño y transposición nacional — verifica tu caso concreto.
Informativo, no constituye asesoramiento jurídico.
riesgos a mitigar
Cinco patrones, cada uno consecuencia directa de que cada departamento pueda construir su propia operativa. Para cada uno, qué hace Kimetai al respecto.
RIESGO 01
El low-code y la IA agéntica permiten a cualquier departamento construir herramientas y automatizaciones sin pasar por IT ni por seguridad. Lo que nunca se declaró no se puede gobernar, y no figura en ningún registro.
Conectores de solo lectura inventarían cada automatización en las plataformas que tu empresa ya paga, y avisan de cada nueva — sin pedir a los equipos que cambien su forma de construir.
RGPD art. 30 · NIS2 art. 21.2.i · DORA art. 8
RIESGO 02
Una API key escrita dentro de un flujo, jamás rotada, con acceso de escritura a producción. Una identidad no humana con privilegio permanente que ninguna política gobierna.
Cada automatización recibe una identidad firmada con un humano detrás, permisos acotados, rotación automática de claves y revocación global en segundos.
RGPD art. 32 · NIS2 art. 21.2.i
RIESGO 03
Construida por alguien que ya no está y ausente de todos los manuales internos. Cuando falla, nadie sabe qué debía hacer — ni quién puede apagarla.
Un dueño con nombre por automatización y una ficha de clasificación versionada: clases de dato, sistemas donde escribe, criticidad y normativa que le alcanza.
RGPD art. 30 · DORA art. 8.4 · AI Act art. 11
RIESGO 04
El día en que alguien añade un paso de IA a un workflow determinista, o lo apunta a un sistema nuevo, el régimen aplicable se mueve. La evaluación que consta ya no vale.
La reclasificación la dispara el cambio, no el calendario: alertas de desviación y una nueva propuesta de nivel de riesgo cada vez que el flujo se modifica.
AI Act art. 50 · anexo III · NIS2 art. 21
RIESGO 05
Cada plataforma guarda su log, en su formato y con su propia ventana de retención. Reconstruir un incidente son cinco consolas — con el reloj ya en marcha (24 h para la alerta temprana de NIS2, 72 h para notificar una brecha de datos personales bajo el RGPD).
Una única traza encadenada por hashes para todas las plataformas, sellada con marcas de tiempo cualificadas eIDAS, bajo una sola política de retención — y exportable como el paquete de evidencia que pide cada normativa.
RGPD art. 33 · NIS2 art. 23 · RRSIF art. 8
kimetai: auditoría inmutable
Cada evento de auditoría lleva el hash del anterior, formando una cadena por tenant: alterar cualquier registro rompe visiblemente todos los hashes posteriores. Los sellos periódicos usan marcas de tiempo cualificadas eIDAS, de modo que un tercero puede verificar la cadena — sin confiar en Kimetai.
$ kimetai audit verify --tenant acme --from 2026-01comprobando 1.204.318 eventos…cadena de hashes intacta52 sellos eIDAS válidossin huecos, sin reescriturasverificado en 41,2s · exit 0Ejecución ilustrativa · datos sintéticos
posicionamiento regulatorio
Clasificación de riesgo según el Reglamento (UE) 2024/1689, documentación técnica del artículo 11 autogenerada, flujos de supervisión humana del artículo 14 con registro de aprobaciones sellado.
Marcas de tiempo cualificadas sellan la cadena de auditoría, dando a las trazas exportadas peso probatorio en jurisdicciones europeas.
Las acciones de tus automatizaciones se convierten en eventos trazables y atribuibles — la disciplina de reconstrucción y reporte de incidentes que NIS2 espera de las entidades esenciales.
Para entidades financieras y sus proveedores TIC: el inventario de automatizaciones y sus dependencias encaja directamente con el registro de información que exige el reglamento.
Seis regímenes nacionales que convergen en el reporte digital intra-UE a partir de 2030: el clearance del SdI en Italia, KSeF en Polonia, las plataformas PDP en Francia, XRechnung en Alemania, Peppol BIS en Bélgica y VeriFactu en España. Te aplique el que te aplique, los flujos que transforman o replican datos de factura siguen siendo trazables.
Residencia UE por defecto, DPA con todos los planes, payloads de evento con minimización de datos, y ventanas de retención bajo tu control.
En 45 minutos mapeamos qué automatizaciones están operando en tu empresa, identificas quién responde de cada una y qué deberes ya les alcanzan. Sales de la llamada sabiendo exactamente a qué estás expuesto — con Kimetai o sin él.