Cumplimentación de security/vendor questionnaires

El agente de IA recibe el security questionnaire entrante en cualquier formato (Excel, Word, formulario web, PDF), extrae las preguntas, busca respuestas en la base de conocimiento corporativa y devuelve un borrador listo con citación de fuente para cada fila. La empresa obtiene la primera versión del cuestionario completado en minutos en lugar de días, y Legal & Compliance se enfoca en los puntos no estándar en lugar de copiar repetidamente las respuestas estándar.

Qué hace la automatización

1. Recibe el questionnaire en Excel, Word, PDF o mediante exportación CSV desde portales web de vendor review.
2. Parsea la estructura — extrae números, texto de las preguntas, tipos de respuesta (yes/no, texto libre, multi-choice).
3. Clasifica las preguntas por temas: cifrado, accesos, SDLC, incident response, subprocesadores, data residency.
4. Busca el contexto relevante en la base de conocimiento — cuestionarios completados anteriores, políticas, informes SOC 2 / ISO 27001, plantillas DPA.
5. Genera un borrador de respuesta con cita de fuente: «Véase Security Policy §4.2» o «De la respuesta al SIG 2025 Q1».
6. Marca las incertidumbres — las preguntas donde el modelo no encontró una respuesta exacta o se requiere una decisión jurídica se marcan con el indicador «requiere revisión manual».
7. Genera el archivo final en el formato original (Excel con la estructura original, Word con forms) — listo para revisión.
8. Guarda las respuestas en la base de conocimiento tras la aprobación, para que el siguiente cuestionario se complete más rápido.

Qué NO hace la automatización

• No firma compromisos en nombre de la empresa. Las respuestas permanecen como borrador hasta la aprobación explícita de un empleado autorizado.
• No reemplaza la experiencia jurídica para preguntas no estándar. Los términos contractuales, los requisitos de compliance regionales y las nuevas regulaciones requieren intervención humana.
• No garantiza la aprobación en el vendor review. La calidad de las respuestas depende de la exhaustividad y la vigencia de la base de conocimiento — las políticas desactualizadas generan borradores desactualizados.

La arquitectura técnica se apoya en el patrón RAG Q&A: una base de conocimiento vectorial con embeddings de documentos corporativos, una capa de retrieval para buscar chunks relevantes, un LLM para generar la respuesta considerando el contexto encontrado. La integración se realiza a través de file storage — el questionnaire entrante llega a una carpeta compartida, el agente de IA toma el archivo, lo procesa y devuelve el borrador a la misma carpeta.

Flujo de datos

1. Indexación de la base corporativa. Todos los documentos relevantes — cuestionarios anteriores completados, políticas de seguridad, informes de auditoría, DPA, esquemas de arquitectura, materiales de preventa — se convierten en chunks y se cargan en el almacenamiento vectorial con metadatos (tipo de documento, fecha, sección).
2. Parsing del questionnaire entrante. El agente reconoce la estructura del archivo: tablas de Excel, preguntas numeradas de Word, campos de PDF. Extrae pares «question_id → question_text».
3. Clasificación y routing. Cada pregunta recibe una etiqueta de categoría (access-control, encryption, incident-response, data-handling, entre otros) y se dirige a la subsección correspondiente de la base de conocimiento para acotar la búsqueda.
4. Retrieval. A partir del texto de la pregunta y la etiqueta de categoría se realiza un semantic search — se devuelven los top-N chunks relevantes con la fuente y el confidence score.
5. Generación de respuesta. El LLM recibe la pregunta junto con los fragmentos encontrados y genera la respuesta en el formato requerido (yes/no + justification, texto libre, referencia al documento).
6. Flagging uncertain items. Si el retrieval no encontró contexto relevante o el confidence es bajo, la respuesta se marca como «REVIEW REQUIRED» con una explicación de qué es lo que no está claro.
7. Ensamblaje del archivo final. Las respuestas se insertan de vuelta en la plantilla original conservando el formato y los números de preguntas.
8. Review loop. El abogado o el ingeniero de seguridad revisa el borrador, corrige las preguntas marcadas, las respuestas aprobadas regresan a la base de conocimiento para el aprendizaje de las siguientes iteraciones.

Componentes clave

Pasos de implementación

1. Recopilar el corpus de documentos — Los 10-30 últimos questionnaires completados, políticas vigentes, informes de auditoría, DPA. Esta es la base de la calidad del retrieval.
2. Configurar el trigger de file storage — la carpeta donde llega el nuevo questionnaire inicia el procesamiento.
3. Definir la taxonomía de preguntas — 15-25 categorías que cubren las secciones típicas de SIG/CAIQ.
4. Conectar el LLM considerando el compliance — con datos sensibles se elige un modelo self-hosted o un proveedor con DPA/BAA firmado.
5. Lanzar el piloto con los 2-3 últimos cuestionarios — comparar con el llenado manual, medir la proporción de respuestas automáticas y errores.
6. Configurar el review interface — como mínimo una tabla con la columna confidence y el botón de aprobación.
7. Poner en modo productivo — conectar al inbox donde llegan los cuestionarios y establecer el SLA de revisión.

Para iniciar la automatización se requieren accesos a la documentación, un acuerdo básico sobre el formato de revisión y una muestra de questionnaires anteriores — cuanto más completo el corpus, menos respuestas pasarán a verificación manual.

Datos y accesos

• Corpus de questionnaires anteriores — mínimo 5-10 cuestionarios completados del último año (SIG, CAIQ o custom).
• Políticas de seguridad — seguridad de la información, incident response, access control, data handling, SDLC.
• Informes de auditoría — SOC 2 Type II, ISO 27001, PCI DSS vigentes (si aplica).
• DPA y subprocesadores — plantilla DPA, lista actualizada de subprocesadores, regiones de procesamiento de datos.
• File storage — carpeta compartida donde se depositan los questionnaires entrantes y se devuelven los borradores.
• Proveedor LLM con compliance — para datos sensibles se elige un modelo self-hosted o un proveedor cloud con DPA y BAA firmados.

Preparación del equipo

• Owner del proceso — abogado o security engineer que aprueba las respuestas finales.
• Soporte técnico — 1 ingeniero o contratista externo para la configuración del pipeline y la interfaz de revisión.
• Reglas de actualización de la base de conocimiento — acuerdo sobre quién añade nuevas políticas y respuestas aprobadas después de cada revisión.

Plazos

La versión básica (file storage + RAG + tabla de revisión) se despliega en 1-2 semanas. El primer piloto con un cuestionario real — en la primera semana. El ajuste de taxonomía, la integración con un vendor portal específico y la calibración de prompts — otras 2-4 semanas después del piloto.