EIS-011 — Investigar y redactar el análisis de cumplimiento por regulación (datos)

EIS-011 — Análisis de cumplimiento por regulación (investigación + datos)

1. Contexto técnico

Producir, para cada regulación — EU AI Act, DORA, RGPD/GDPR, ISO 27001/27017/27018, PCI DSS y OWASP (incl. Top 10 para LLMs) — entradas de la colección regulaciones con: (1) obligaciones/requisitos concretos con referencia a artículo/control/requisito; (2) qué artefacto(s) Designio (ADN/MAP, Requisitos, EIS, registro de interrogatorio, certificación/firma, WORM, puntos de control, Guardián…) y qué paso del método ayudan; (3) cómo ayudan; (4) etiqueta garantiza por diseño vs facilita. Analizar cada ley — no mapear a grandes rasgos.

2. Restricciones de arquitectura

• Investigación con búsqueda web obligatoria; para el AI Act, solo fuentes oficiales UE (EUR-Lex, Comisión/AI Office), marcando la fecha de la versión consultada y qué obligaciones están en vigor vs diferidas (no fiarse de memoria del modelo).
• Anclar en el libro lo que el libro ya trata (pp. 31-33, 49…); citar página.
• Honestidad: el cumplimiento final depende de la implementación; ninguna metodología «te hace cumplir» una norma (libro, p. 33). La etiqueta garantiza se reserva a evidencias que el método produce por construcción (p. ej. trazabilidad WORM del proceso).
• Parafrasear normas y estándares; citar fuente; no reproducir texto extenso (ISO/PCI tienen copyright).
• Esquema Zod de regulaciones: norma, version_consultada, fecha_consulta, obligaciones[] {referencia, resumen, artefactos[], como_ayuda, nivel: garantiza|facilita, vigencia}.

3. Criterios de aceptación (Test-Driven Intent)

criterios:
  - id: C1
    given: "las 6+ regulaciones del alcance"
    when: "se revisa la colección"
    then: "cada una tiene >= 5 obligaciones concretas con referencia exacta (art./control), fuente y fecha de consulta"
  - id: C2
    given: "el análisis del EU AI Act"
    when: "se contrasta con EUR-Lex/Comisión"
    then: "indica fechas de aplicación escalonada y qué obligaciones ya rigen, con la fecha de versión consultada visible"
  - id: C3
    given: "todas las entradas"
    when: "se inspecciona el campo nivel"
    then: "existe mezcla razonada de 'garantiza' y 'facilita' — ninguna norma aparece 100% garantizada"

4. Definition of Done

• Colección regulaciones completa; análisis publicado también como artefacto del caso vivo (con fecha); fuentes listadas.