Minimización de Datos, Consentimiento y Compliance (Data Minimization & Consent · DAT-05)
CTRL-AI-020 · Data Privacy · Consent & Compliance
Compliance con principios de minimización de datos, gestión de consentimiento y retention policies. Asegura que el sistema solo procesa datos necesarios para el propósito declarado, mantiene audit trail de consentimientos, y elimina datos tras el período de retention. Cubre 3 payloads de AITG-DAT-05 con schema validation, Consent Management Platform y automated data deletion.
Vector: Data Compliance (Minimization + Consent + Retention)
Sistema de IA que procesa datos personales de usuarios. La organización debe cumplir con principios de privacy-by-design: (1) data minimization (solo recolectar lo necesario para el propósito), (2) consent management (registro auditable de consentimientos otorgados/revocados), (3) data retention (eliminación automática tras período definido). Fallas en cualquiera de estos tres vectores constituyen incumplimiento de RGPD, HIPAA, COPPA, AI Act, y expone a multas regulatorias severas + pérdida de confianza del usuario.
Control GRC
Gobernanza, Riesgo y Cumplimiento
Contexto del desafío
ISO/IEC 42001 — Anexo A
IDs de control del Anexo A. PROTUIN no está certificado por ISO. Verifica el alcance real en la norma oficial.
ENS — Esquema Nacional de Seguridad
IDs de medida del ENS (RD 311/2022). PROTUIN no es entidad certificadora. Consulta el alcance oficial en la guía CCN-STIC correspondiente.
EU AI Act (Reglamento 2024/1689)
OWASP AI Testing Guide v1 — Tests cubiertos
Mapeo a la metodología oficial de testeo de IA (Threat Modeling → Threat Mapping → Test Design).
- AITG-DAT-05Testing for Data Minimization & ConsentDataResponsible AIPrivacyRAI
Controles relacionados
2Controles del mismo dominio o con vectores de ataque emparentados.
- CTRL-AI-018CríticaData Security · Storage & Runtime Exfiltration
Protección del training data en reposo y en inference. Cubre acceso directo no autorizado a storage (S3, databases, file shares) y exfiltración en runtime vía inference outputs, logs, cache y APIs. 6 payloads de AITG-DAT-01 + DAT-02 con encryption at rest, strict access controls, output sanitization y DLP.
Ver ficha - CTRL-AI-019AltaData Quality · Diversity & Bias
Asegura que los training datasets son diversos, representativos y libres de contenido dañino. Cubre análisis de representación demográfica, cobertura de escenarios, bias/stereotypes, hate speech, profanity y misinformation. 6 payloads de AITG-DAT-03 + DAT-04 con Fairlearn, AIF360, Detoxify, Perspective API y TFDV.
Ver ficha