Declarar lo que no aplica: IA, APIs y dependencias

En una auditoría o en un cuestionario de seguridad, no todos los controles tienen sentido para todas las organizaciones. Dejar una casilla en blanco genera dudas; explicar por escrito por qué un control no aplica, y cuándo volvería a exigirse, genera confianza.

Una declaración de no aplicabilidad es una justificación breve, firmada y con fecha.
Evita llenar de papeleo lo que no corresponde y demuestra criterio.
Debe revisarse cuando cambien los sistemas o los servicios.
Orientación general; no reemplaza asesoría legal.

Qué es una declaración de no aplicabilidad

Es un documento que señala un control o requisito, explica por qué no aplica a la organización o a un servicio concreto, y fija en qué circunstancias deberá evaluarse de nuevo. No es un modo de evitar obligaciones: es una forma de ser preciso.

Ejemplos de situaciones comunes

Inteligencia artificial. Si la organización no usa sistemas de IA propios o personalizados, puede dejar constancia de ello y mantener lista una plantilla de evaluación de impacto para el día en que incorpore alguno.
Interfaces de programación (APIs). Si no hay interfaces expuestas a internet, ciertos controles asociados a ellas pueden no corresponder.
Análisis de dependencias de software. Si no se desarrolla software propio con procesos de construcción, el análisis puede no corresponder, hasta que se inicie un desarrollo.
Otros controles propios de entornos que la organización no tiene.

Cómo redactarla bien

Identificar con precisión el requisito.
Explicar la razón en lenguaje claro.
Indicar la condición de reactivación: qué cambio la volvería aplicable.
Fijar responsable, fecha y vigencia.
Guardarla junto con el resto de la evidencia.

Qué hacer

Revisar los cuestionarios y marcos que su organización responde y detectar qué ítems no aplican.
Redactar las declaraciones en un formato único.
Aprobarlas formalmente por la gerencia.
Revisarlas al menos una vez al año o ante cambios relevantes.
Mantener una postura clara y verídica sobre el uso de IA.

Preguntas frecuentes

¿Un evaluador aceptará un «no aplica»? Suele ser más aceptable una justificación clara que una respuesta vacía; la decisión final es del evaluador.

¿Puedo declarar que no aplica algo solo por comodidad? No; la declaración debe ser veraz y comprobable.

¿Qué pasa si después incorporo IA? La declaración deja de valer y corresponde realizar la evaluación de impacto correspondiente.

Esta práctica ayuda a responder evaluaciones de seguridad de proveedores. Organizaciones que hemos acompañado han superado evaluaciones de seguridad de proveedores exigidas por sus clientes institucionales.

IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.