c6.7 Monitorea el uso de la aplicación de IA con logs de auditoría atribuidos
Registra el acceso y el uso de la aplicación de IA con atribución de usuario y monitorea el comportamiento anómalo, para que el uso indebido, las credenciales comprometidas y las violaciones de política sean detectables.
Guía de implementación
Cómo implementarlo en AWS
Habilita CloudTrail (trail de organización) para registrar el acceso y el uso de la app de IA con atribución de contexto de usuario. Monitorea patrones de uso, tasas de error y adopción con métricas y alarmas de CloudWatch, y usa analítica específica de cada app (usage analytics de Q Developer, audit logging de Quick, telemetría de Kiro). Aplica límites de tasa y cuotas de uso por usuario.
Criterios de aceptación
El acceso a la app de IA se registra con atribución de usuario y de forma centralizada; las anomalías de uso generan alarmas de CloudWatch; se aplican límites de tasa/cuotas por usuario.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
El acceso a la app de IA se registra con atribución de usuario vía el CloudTrail de organización al Log archive, las anomalías de uso alarman en CloudWatch y se aplican límites de tasa por usuario.
- Habilita el CloudTrail de organización para registrar el acceso y el uso de la app de IA con atribución de contexto de usuario, reenviado al Log archive.Cuenta de aplicación → Log archive
CloudTrail 
Amazon S3 - Monitorea patrones de uso, tasas de error y adopción con métricas/alarmas de CloudWatch, complementado con analítica específica de cada app (usage analytics de Q Developer, audit logging de Quick, telemetría de Kiro).Cuenta de aplicación
CloudWatch - Aplica límites de tasa y cuotas de uso por usuario.Cuenta de aplicación
AWS WAF 
API Gateway
Cómo validar: El acceso a la app de IA se registra con atribución de usuario y de forma centralizada en el Log archive; las anomalías de uso generan alarmas de CloudWatch; se aplican límites de tasa/cuotas por usuario.
Evita: Registrar el uso de la app sin atarlo a un usuario. La atribución es lo que te permite investigar una cuenta comprometida o el uso indebido.
CloudTrail en la cuenta con atribución de usuario, alarmas de anomalías de CloudWatch y límites de tasa por usuario hacen auditable el uso de la app de IA.
- Registra el acceso y el uso de la app de IA con atribución de contexto de usuario vía CloudTrail en el bucket con Object Lock de la cuenta.Registro en la cuenta CloudTrail Amazon S3
- Monitorea uso, tasas de error y adopción con CloudWatch y analítica específica de cada app.Registro en la cuenta CloudWatch
- Aplica límites de tasa y cuotas por usuario.Capa de aplicación (rol IAM) AWS WAF API Gateway
Cómo validar: El acceso a la app de IA se registra con atribución de usuario; las anomalías de uso generan alarmas; se aplican límites de tasa/cuotas por usuario.
Evita: Sin analítica de uso ni límites de tasa. No puedes detectar abuso ni una credencial comprometida sin datos de uso atribuidos.
Amenazas que atiende
- Credenciales comprometidas o uso anómalo que pasan desapercibidos.
- Sin traza de auditoría atribuida del acceso a la aplicación de IA para investigaciones.
Servicios AWS
AWS CloudTrail Amazon CloudWatch Mapeos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
- LLM06 Unbounded Consumption
NIST AI Risk Management Framework (AI 100-1)
- MEASURE.3 Mechanisms for tracking AI risks are in place
- MANAGE.4 Risk treatments, monitoring and response are documented and applied
AWS Well-Architected Generative AI Lens (Security)
- GENSEC03-BP01 Implement control plane and data access monitoring
Recursos de aprendizaje
Referencias
- AWS SRA para IA — Capacidad 6, Registro y monitoreo