El registro de auditoría: qué se ha hecho, quién y cuándo
Respuesta corta
El registro de auditoría (también llamado pista de auditoría) guarda cada acción, por ejemplo que se ha confirmado un uso, que se ha decidido un caso o que se ha cambiado una regla, en lenguaje claro. Cada entrada tiene una huella criptográfica que se apoya en la anterior (una cadena de hashes), de modo que un cambio posterior se nota: la página muestra si el registro está intacto. Desde el 18 de octubre de 2026 el registro solo guarda ID y códigos, ningún nombre. Las entradas anteriores pueden contener nombres de usuarios, conjuntos de datos, columnas y conexiones de IA y no se pueden corregir, porque se rompería la cadena. El registro recibe sellos de tiempo independientes.
Es el sistema real con datos ficticios. Prueba los recorridos de los artículos para ir pulsando paso a paso.
El registro de auditoría es la prueba ante la autoridad de control y ante un auditor. Lo encuentras en Uso de la IA (el punto «Todo queda guardado como prueba») y en Decisiones de personal.
¿Qué pone?
Cada entrada muestra qué ocurrió, cuándo y con qué huella criptográfica. Las entradas están escritas en lenguaje claro, por ejemplo «El uso "Valoración de candidatos" está confirmado». Los nombres de las personas de tus datos, tus palabras secretas y los valores reales no aparecen nunca en el registro.
Desde el 18 de octubre de 2026 el registro solo guarda ID, códigos fijos, cantidades e importes: por ejemplo, el ID aleatorio del usuario y del conjunto de datos en lugar del nombre. La página muestra el nombre del conjunto de datos mientras este exista. De los usuarios muestra el rol, no el nombre.
¿Por qué las entradas anteriores pueden contener nombres?
Las entradas anteriores al 18 de octubre de 2026 pueden contener nombres de usuarios (en los pagos), conjuntos de datos, columnas y conexiones de IA, además de textos de error. Así se escribía el registro entonces.
Esas entradas no se pueden corregir ni eliminar una por una. Cada entrada forma parte de la cadena de hashes, así que un cambio rompería la cadena y destruiría la prueba de todas las entradas posteriores. Se eliminan junto con el resto de los datos de la empresa cuando termina el contrato o cuando eliminas todo. Si una persona ha pedido que se supriman sus datos, escribe a contact@goalcube.eu.
La cadena de hashes
Cada entrada recibe una huella criptográfica (SHA-256) que se apoya también en la entrada anterior. Si se cambia una entrada antigua, la cadena deja de cuadrar y la página muestra «roto». Si pone «intacto», no se ha cambiado nada.
Sellos de tiempo
Después de cada confirmación y de cada decisión, la huella del registro se envía a un servicio de sello de tiempo independiente (RFC 3161). Así puedes demostrar ante terceros que el registro tenía este aspecto en un momento concreto. Hoy GoalCube usa un servicio gratuito (FreeTSA) que no es un servicio cualificado según el Reglamento eIDAS.
¿Cuánto tiempo se guarda el registro?
Al menos 6 meses, como exige el RIA para los registros de la IA de alto riesgo (art. 26, apdo. 6, del RIA). La IA puede mostrar el registro con vis_log, pero nunca cambiarlo.
Pantallas capturadas de GoalCube 0.26.0 el 22 de octubre de 2026 con datos ficticios.