Red Hat ha presentado asago (AI Safety And Governance Orchestration), un nuevo proyecto comunitario de código abierto que quiere resolver uno de los problemas que empieza a aparecer cuando la inteligencia artificial abandona las pruebas y llega a producción: convertir las políticas de seguridad, cumplimiento y gobernanza en controles técnicos que realmente puedan aplicarse sobre modelos y agentes de IA.
Las claves de asago en 20 segundos
- Red Hat impulsa asago como proyecto open source para automatizar la gobernanza y seguridad de sistemas de IA.
- El sistema pretende conectar políticas y normativas con evaluaciones de riesgo, pruebas, guardrails y controles desplegables.
- Contempla estándares como NIST AI RMF, OWASP LLM Top 10 y el Reglamento europeo de IA.
- Podrá generar configuraciones declarativas para Kubernetes, Terraform y Ansible.
- Microsoft, NVIDIA, IBM Research, Brave y The Alan Turing Institute figuran entre los participantes iniciales.
La propuesta llega cuando muchas organizaciones empiezan a encontrarse con un problema bastante menos visible que elegir un modelo de lenguaje. Una empresa puede disponer de una política que establezca qué datos puede procesar una aplicación de IA, qué acciones puede ejecutar un agente o qué riesgos deben evaluarse antes de poner un sistema en producción. El trabajo complicado comienza al trasladar esas reglas a infraestructura, configuraciones y controles verificables.
Ahí es donde Red Hat quiere situar asago.
De una política escrita a un control desplegado en Kubernetes
La idea que hay detrás de asago es relativamente sencilla de explicar, aunque técnicamente ambiciosa: crear una cadena que conecte una obligación de gobernanza con el control que termina ejecutándose en producción.
El proyecto plantea cuatro etapas.
La primera es el mapeo de riesgos. asago analizará las políticas de gobernanza proporcionadas por una organización y relacionará sus requisitos con marcos y referencias ya existentes. Red Hat menciona expresamente el NIST AI Risk Management Framework (AI RMF), OWASP LLM Top 10 y el Reglamento de Inteligencia Artificial de la Unión Europea, utilizando también IBM AI Risk Atlas.
El resultado debería ser un perfil de riesgos que pueda utilizarse posteriormente desde ingeniería.
Después llegará la evaluación. En lugar de limitarse a ejecutar una batería genérica de benchmarks, asago pretende generar escenarios adaptados al caso de uso y comprobar comportamientos potencialmente peligrosos del sistema.
La tercera fase será la mitigación. A partir de las pruebas realizadas, el proyecto podrá recomendar controles y guardrails adecuados, manteniendo además información sobre por qué se ha introducido cada medida.
La última etapa lleva esos controles hasta producción.
Según Red Hat, asago está diseñado para generar configuraciones declarativas compatibles con Kubernetes, Terraform y Ansible, lo que permitiría integrar las políticas de IA dentro de prácticas que muchos equipos de infraestructura ya utilizan mediante DevOps, GitOps e Infrastructure as Code (IaC).
Este último punto puede acabar siendo uno de los aspectos más interesantes del proyecto para administradores de sistemas, equipos de plataforma y responsables de cloud.
La gobernanza dejaría de ser únicamente un documento que alguien revisa antes de aprobar una aplicación. Parte de esas reglas podría terminar convertida en configuración versionada, reproducible y auditable.
Una especie de Policy as Code aplicada a la inteligencia artificial
Aunque Red Hat no presenta asago simplemente como una herramienta de Policy as Code, el paralelismo ayuda a entender el problema que intenta solucionar.
En las infraestructuras modernas ya resulta habitual expresar mediante código qué recursos deben desplegarse, qué configuraciones están permitidas o qué políticas debe cumplir un clúster.
Con la IA aparece una capa adicional.
Una organización puede establecer, por ejemplo, que determinado agente no debe acceder a ciertos recursos, que un modelo debe superar determinadas evaluaciones antes de desplegarse o que una aplicación necesita controles específicos frente a determinados riesgos.
El problema es mantener la relación entre todas esas piezas.
asago quiere conservar una traza continua de auditoría desde la política original hasta las pruebas realizadas y los controles utilizados durante la ejecución. Un auditor podría identificar qué requisito justificó determinado control y qué evaluación se utilizó para comprobarlo.
Esto cobra más importancia con la llegada de los agentes de IA.
Un chatbot tradicional puede limitarse a generar texto. Un agente puede recibir herramientas, consultar sistemas corporativos, utilizar APIs, modificar información o iniciar procesos. Cuantas más capacidades se delegan en el sistema, más importante resulta controlar no solo qué modelo se utiliza, sino qué puede hacer, bajo qué condiciones y cómo queda registrada su actividad.
Red Hat lleva meses trabajando precisamente alrededor de esta cuestión. La compañía también participa junto a NVIDIA en la Open Secure AI Alliance, una iniciativa centrada en desarrollar herramientas abiertas para reforzar la seguridad de modelos, agentes y otros componentes de la cadena de IA.
Kubernetes, Terraform y Ansible entran en la gobernanza de la IA
Para los equipos técnicos, una de las diferencias importantes de asago está en su intención de conectar compliance con herramientas ya presentes en la infraestructura.
Red Hat afirma que el proyecto podrá producir configuraciones para Kubernetes, Terraform y Ansible, con independencia de que las aplicaciones terminen ejecutándose en cloud, nube híbrida o infraestructura on-premises.
Esto permitiría introducir controles de IA dentro del mismo ciclo utilizado para administrar el resto de una plataforma.
Una política podría convertirse en una configuración declarativa, almacenarse en Git, pasar por un proceso de revisión y desplegarse posteriormente mediante automatización. Si cambia el requisito original, también existiría una referencia para determinar qué controles deben revisarse.
No significa que asago vaya a convertir automáticamente cualquier legislación en una infraestructura plenamente conforme. El cumplimiento normativo continúa necesitando interpretación jurídica, análisis de riesgos y decisiones organizativas.
El proyecto intenta automatizar otra parte del problema: la traducción entre esas decisiones y los controles técnicos necesarios para aplicarlas y documentarlas.
También conviene tener presente que asago todavía está en una fase temprana. Red Hat describe actualmente la iniciativa como una comunidad en formación, por lo que muchas de las capacidades anunciadas representan el objetivo técnico del proyecto y no deben interpretarse como las características de un producto empresarial terminado.
El código se publica bajo Apache License 2.0 y desarrolladores, investigadores y organizaciones pueden participar en su evolución.
Red Hat busca convertir la gobernanza de IA en infraestructura
La lista inicial de participantes ayuda a entender la dimensión que Red Hat quiere dar al proyecto.
Además de la propia compañía aparecen Brave Software, EvalEval, IBM Research, Interdisciplinary Transformation University Austria, Microsoft, MIT Lincoln Laboratory, North Carolina State University, NVIDIA y The Alan Turing Institute, entre otros colaboradores.
La combinación tampoco parece casual. La gobernanza de IA está dejando de ser exclusivamente un problema de regulación o de desarrollo de modelos.
En una aplicación empresarial intervienen responsables de seguridad, desarrolladores, científicos de datos, administradores de Kubernetes, equipos de plataforma, especialistas en cumplimiento y auditores. Cada grupo utiliza además herramientas y lenguajes diferentes.
asago intenta crear una capa común entre ellos.
Si consigue avanzar en esa dirección, el concepto interesante no será únicamente automatizar guardrails. Será poder seguir el recorrido completo de una regla: desde una política corporativa o requisito regulatorio hasta el control que está funcionando sobre un sistema de IA en producción.
La propuesta encaja además con otro cambio que está experimentando la administración de sistemas. Infrastructure as Code permitió definir servidores, redes y servicios mediante código. GitOps trasladó ese modelo a la operación continua de plataformas. La expansión de la IA empresarial está empezando a plantear una nueva pregunta: si la infraestructura se administra como código, ¿por qué no hacer algo parecido con parte de las políticas que gobiernan los sistemas de inteligencia artificial?
asago es uno de los primeros intentos de Red Hat y de una comunidad tecnológica más amplia por construir esa capa abierta.
Todavía tendrá que demostrar hasta dónde puede llegar en implementaciones reales.
Preguntas frecuentes
¿Qué es asago?
asago significa AI Safety And Governance Orchestration. Es un proyecto comunitario open source impulsado por Red Hat para conectar políticas de gobernanza de IA con evaluaciones de riesgos, medidas de mitigación y controles desplegables en producción.
¿Puede asago ayudar con el Reglamento europeo de IA?
El proyecto contempla el Reglamento europeo de IA entre las referencias que pueden utilizarse durante el mapeo de riesgos, junto al NIST AI RMF y OWASP LLM Top 10. Esto no implica que utilizar asago garantice por sí mismo el cumplimiento de la normativa.
¿asago funciona con Kubernetes y Terraform?
Red Hat plantea que asago genere configuraciones declarativas para Kubernetes, Terraform y Ansible, facilitando su integración con infraestructuras cloud, híbridas y on-premises.
¿Ya se puede utilizar asago en producción?
El proyecto se encuentra actualmente en fase de formación de la comunidad. Su repositorio está abierto a desarrolladores, investigadores y organizaciones interesadas, pero no debe confundirse todavía con un producto empresarial maduro de Red Hat.
