PCI DSS & AI Compliance

Overview

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un conjunto de requisitos de seguridad establecido por el Consejo de Estándares de Seguridad de PCI para proteger los datos de los titulares de tarjetas. El estándar aplica a todas las organizaciones que almacenan, procesan o transmiten datos de titulares de tarjetas, independientemente de su tamaño o volumen de transacciones. PCI DSS versión 4.0, publicada en marzo de 2022 con cumplimiento obligatorio para marzo de 2025, introdujo actualizaciones significativas incluyendo un enfoque más flexible basado en resultados para los controles de seguridad y nuevos requisitos para autenticación, cifrado y monitoreo continuo.

Para los sistemas de IA en servicios financieros, el cumplimiento de PCI DSS se vuelve relevante siempre que los datos de entrenamiento incluyan o se deriven de información de tarjetas de pago. Los modelos de detección de fraude, sistemas de calificación de riesgo de transacciones, analítica de comportamiento del cliente e IA de optimización de pagos potencialmente interactúan con datos de titulares de tarjetas. Los doce requisitos centrales del estándar cubren seguridad de red, protección de datos, gestión de vulnerabilidades, control de acceso, monitoreo y política de seguridad — todos los cuales tienen implicaciones directas para cómo los pipelines de entrenamiento de IA manejan los datos de tarjetas de pago.

PCI DSS categoriza a las organizaciones en niveles de cumplimiento basados en el volumen de transacciones, siendo los comerciantes de Nivel 1 (más de 6 millones de transacciones anuales) los que requieren evaluaciones anuales en sitio por un Evaluador de Seguridad Calificado (QSA). Incluso las organizaciones más pequeñas deben completar Cuestionarios de Autoevaluación (SAQs) anuales y mantener el cumplimiento continuo. Las consecuencias del incumplimiento van más allá de las multas — las organizaciones pueden perder la capacidad de procesar pagos con tarjeta por completo, lo que para la mayoría de los negocios representa una amenaza existencial.

AI-Specific Requirements

El Requisito 3 de PCI DSS exige la protección de los datos almacenados de titulares de tarjetas mediante cifrado, truncamiento, enmascaramiento y hashing. Para los datos de entrenamiento de IA, esto significa que los números de cuenta primarios (PANs), nombres de titulares de tarjetas, códigos de servicio y fechas de vencimiento deben hacerse ilegibles cuando se almacenan. Si los datasets de entrenamiento contienen registros de transacciones con PANs completos, los datos deben cifrarse con algoritmos criptográficos robustos o los PANs deben truncarse o hacerse hash antes de que los datos ingresen al pipeline de entrenamiento. Las organizaciones también deben implementar procedimientos de gestión de claves para cualquier clave criptográfica utilizada para proteger datos de titulares de tarjetas.

El Requisito 7 restringe el acceso a los datos de titulares de tarjetas solo a aquellas personas cuyo trabajo requiere dicho acceso, implementando el principio de mínimo privilegio. Para los equipos de desarrollo de IA, esto significa que no todos los científicos de datos o ingenieros de ML deberían tener acceso a datasets que contengan datos de titulares de tarjetas — solo aquellos que trabajen directamente en modelos relacionados con pagos con una necesidad empresarial documentada. El Requisito 10 exige el registro y monitoreo de todo el acceso a recursos de red y datos de titulares de tarjetas, requiriendo que los pipelines de entrenamiento de IA mantengan registros de auditoría detallados de quién accedió a los datos de titulares de tarjetas, cuándo y con qué propósito.

PCI DSS v4.0 introdujo nuevos requisitos particularmente relevantes para los sistemas de IA. El Requisito 6.3.2 exige un inventario de software personalizado y a medida, que incluye modelos de IA personalizados que procesan datos de titulares de tarjetas. El Requisito 12.3.1 requiere análisis de riesgos dirigidos para cada requisito de PCI DSS que ofrece flexibilidad en cómo se cumple. Para los sistemas de IA, esto significa documentar los riesgos específicos que enfrentan los datos de titulares de tarjetas dentro del pipeline de ML y justificar los controles implementados para abordar esos riesgos. Las organizaciones también deben abordar las obligaciones de escaneo de vulnerabilidades y pruebas de penetración del Requisito 11 para los componentes del sistema de IA que están dentro del alcance.

How Ertas Helps

Ertas Data Suite aborda directamente los requisitos centrales de protección de datos de PCI DSS para los pipelines de entrenamiento de IA. El motor de redacción de PII puede identificar y enmascarar patrones de datos de tarjetas de pago incluyendo PANs, fechas de vencimiento y nombres de titulares de tarjetas antes de que ingresen a los datasets de entrenamiento. Esto satisface el mandato del Requisito 3 de hacer ilegibles los datos de titulares de tarjetas en almacenamiento al asegurar que los datos de entrenamiento de IA nunca contengan información de titulares de tarjetas sin procesar. La arquitectura on-prem mantiene todo el procesamiento de datos dentro de tu entorno de datos de titulares de tarjetas (CDE) compatible con PCI DSS, eliminando la expansión de alcance que ocurre cuando los datos de titulares de tarjetas fluyen a proveedores externos de servicios de IA.

El registro de auditoría integral en Ertas Data Suite satisface los mandatos del Requisito 10 para rastrear y monitorear todo el acceso a datos de titulares de tarjetas. Cada acceso a datos, transformación e interacción con modelos se registra con marcas de tiempo, identidades de usuario y descripciones de acciones. Estos registros de auditoría respaldan la detección de intentos de acceso no autorizados y proporcionan la evidencia forense necesaria si ocurre un incidente de seguridad. La naturaleza inmutable de los registros asegura que no puedan ser manipulados, cumpliendo con los requisitos de integridad de registros de PCI DSS.

Vault de Ertas Studio implementa los controles de acceso y cifrado que los Requisitos 3 y 7 exigen. Los controles de acceso basados en roles aseguran que solo el personal autorizado con necesidades empresariales documentadas pueda acceder a datasets derivados de datos de titulares de tarjetas. El cifrado en reposo protege todos los datos y artefactos de modelo almacenados, y la gestión de claves del sistema se alinea con los requisitos criptográficos de PCI DSS. Al reducir el número de componentes del sistema que manejan datos de titulares de tarjetas y mantener todo el procesamiento on-prem, Ertas ayuda a las organizaciones a minimizar el alcance de su CDE — lo que reduce directamente el esfuerzo, costo y complejidad del cumplimiento de PCI DSS para cargas de trabajo de IA.

Compliance Checklist