Qué puede mostrar NOUS en una auditoría de ISO 27001 y 42001

A media mañana tesorería pregunta si pagaron. El agente contesta con la factura que está en Pulse: cliente, monto y fecha. Quien audita hace otra pregunta. Quiere el nombre de quien autorizó esa lectura y el registro del porqué.

ISO/IEC 27001:2022 e ISO/IEC 42001:2023 piden ese registro a la organización que opera el sistema. NOUS deja las piezas que se pueden enseñar en esa revisión. El certificado, el alcance y la fecha los emite un organismo cuando la organización los tiene.

Dos normas, dos dueños

27001 organiza cómo la empresa cuida la confidencialidad, la integridad y la disponibilidad de la factura. 42001 organiza cómo se gobierna la inteligencia artificial que la consulta: política, datos, supervisión de una persona y trazabilidad.

Pulse sigue siendo el expediente. Ahí nace la provisión, se emite el comprobante y se cobra. NOUS lee esa operación. EVA propone el paso. El kernel autoriza, guarda memoria y deja el evento.

Qué se puede mostrar de 27001

Quien audita el acceso puede pedir la lista permitida y la aprobación de la conversación. La lectura de un archivo del host espera esa lista y esa aprobación. La administración corre en un plano de control distinto del chat y de la pasarela.

EVA razona bajo contrato. Políticas, catálogos y memoria global los cambia el kernel. Una mutación sensible espera autorización explícita. En la documentación pública eso se llama zero auto-merge.

Las decisiones relevantes quedan en eventos Avro, con linaje para reconstruir el porqué. El mismo kernel arranca con llama.cpp en el servidor del cliente.

Qué se puede mostrar de 42001

El kernel aplica la política mientras EVA razona. Limita el costo, cancela la tarea, inyecta contexto o escala a una persona cuando la confianza se degrada.

Los flujos llevan puntos de control. Una persona autoriza la mutación sensible. Las skills salen de un catálogo que queda trazable.

PDF, Office, CSV y texto entran a memoria con permisos. Al cerrar la tarea, NOUS guarda el episodio, actualiza el grafo y escribe el evento en el EventStore. Tesorería vio la respuesta. El auditor puede pedir el evento.

El alcance lo escribe la organización

El sistema de gestión incluye el análisis de riesgos, el tratamiento y la seguridad física. El personal y los proveedores entran en el mismo alcance. La evaluación de impacto del sistema de IA entra en ese documento. Esos textos los firma la organización.

Si la factura no está en Pulse, la respuesta de NOUS es que no está.

El registro de la consulta se puede enseñar hoy. El certificado entra al expediente el día en que un organismo lo emite, con alcance y fecha.

El canal entre Pulse y NOUS está en el post del 7 de septiembre. Memoria, políticas y auditoría están en nousengine.co.