Módulo 7 — Gobernanza, cumplimiento y pruebas de agentes

Apuntes redactados con palabras propias a partir del material del curso. Las referencias bibliográficas se reproducen íntegras por ser datos factuales.

---

Índice

1. Enfoque y objetivos de aprendizaje
2. Capítulo 1 — Marcos regulatorios para la privacidad de los datos
3. Capítulo 2 — Evaluar el comportamiento del agente con estrategias de prueba
4. Capítulo 3 — Velocidad de agentes vs. supervisión
5. Capítulo 4 — Documentación y preparación para cumplimiento
6. Preguntas de autoevaluación con respuestas
7. Glosario del módulo
8. Preguntas de reflexión
9. Tareas del módulo
10. Cifras y datos clave para memorizar
11. Vídeos y recursos multimedia
12. Notas de discrepancia entre la web y la guía PDF

---

1. Enfoque y objetivos de aprendizaje

Enfoque del módulo

Este es el módulo que cierra el círculo entre "el agente funciona" y "el agente puede desplegarse legalmente". Su tesis de fondo es que el cumplimiento normativo no se resuelve con conocimiento jurídico: hace falta traducir la ley a controles técnicos verificables, y verificar que esos controles funcionan mediante pruebas. La secuencia de los cuatro capítulos reproduce esa cadena de traducción.

El hilo argumental es acumulativo: las leyes del capítulo 1 fijan las obligaciones; las pruebas del capítulo 2 las convierten en evidencia técnica; los controles del capítulo 3 deciden dónde se ejercen y a qué coste de velocidad; la documentación del capítulo 4 hace que todo lo anterior sea demostrable ante un regulador. El módulo insiste en un cambio de marco: la gobernanza no es una carga administrativa sino un activo estratégico que protege el cumplimiento y la competitividad.

Objetivos de aprendizaje

Al terminar el módulo, el participante podrá:

1. Resumir los marcos regulatorios clave —GDPR, CCPA e HIPAA— y explicar su relevancia para los despliegues de IA agéntica.
2. Aplicar estrategias de prueba —aislamiento de procesos, pruebas A/B y revisiones de seguridad— para evaluar el comportamiento de los agentes antes del despliegue completo.
3. Evaluar las compensaciones entre velocidad de los agentes y supervisión, para determinar los puntos adecuados donde insertar controles.
4. Preparar agentes y sistemas para auditorías, alineando las prácticas de documentación con los estándares de preparación para el cumplimiento.

---

2. Capítulo 1 — Marcos regulatorios para la privacidad de los datos

Por qué la IA agéntica choca con la ley de privacidad

Un agente autónomo procesa volúmenes grandes de datos, muchos de ellos personales o sensibles, y lo hace sin que una persona valide cada acceso. Eso lo pone directamente bajo el radar de tres marcos que difieren en alcance, obligaciones y régimen sancionador. El módulo los presenta como el suelo legal mínimo sobre el que se construye cualquier despliegue.

2.1 GDPR — Reglamento General de Protección de Datos

Norma de la Unión Europea en vigor desde 2018. Su rasgo determinante es el alcance extraterritorial: se aplica a cualquier organización que trate datos personales de individuos en la UE, con independencia de dónde esté domiciliada, y regula también las transferencias de esos datos fuera del EEE.

Principios y requisitos

Derechos del titular — acceso, rectificación, supresión (derecho al olvido), restricción del tratamiento, oposición, portabilidad y derecho a una explicación sobre decisiones tomadas exclusivamente por medios automatizados.

Traducción a la IA agéntica. El GDPR se convierte en cuatro exigencias de ingeniería: (a) explicabilidad —el agente no puede operar como caja negra cuando su decisión afecta a una persona—; (b) minimización —recoger solo lo esencial para la tarea—; (c) supervisión humana —el afectado puede excluirse de decisiones íntegramente automatizadas de impacto significativo—; y (d) anonimización o seudonimización al manejar datos personales.

Sanciones. Aplican las autoridades nacionales de protección de datos; los individuos pueden además ejercer acciones privadas por daños. El incumplimiento llega hasta el 4 % de los ingresos anuales globales o 20 millones de euros (≈23 millones de dólares), la cifra que sea mayor (Dialzara Team, 2024).

2.2 CCPA — Ley de Privacidad del Consumidor de California

También de 2018. Es una ley estatal estadounidense que da a los residentes de California control sobre su información personal, y se aplica a empresas con ánimo de lucro que recogen sus datos y superan determinados umbrales de ingresos o de volumen de datos.

Principios

• Control del consumidor sobre sus datos personales.
• Consentimiento de exclusión voluntaria (opt-out) para la venta: la empresa puede vender los datos salvo que el consumidor lo prohíba explícitamente.
• Prohibición de vender datos de menores de 16 años sin consentimiento.

Derechos del titular — derecho a saber (qué se recoge, usa, comparte o vende), acceso, eliminación y exclusión de la venta de datos.

Traducción a la IA agéntica. La CCPA no menciona la IA de forma explícita, pero sus obligaciones alcanzan igualmente a los despliegues agénticos. El módulo destaca dos aterrizajes, presentados como tarjetas desplegables:

• Minimización de datos: el agente solo recoge y usa los datos personales necesarios para su fin.
• Transparencia: la empresa explica con claridad cómo el sistema toma decisiones que afectan a personas, y diseña el sistema para que sea transparente y responsable.

Sanciones. Las aplica el Fiscal General de California; los individuos pueden litigar por violaciones de datos. La multa máxima citada es de 7.500 dólares por infracción (Dialzara Team, 2024).

2.3 HIPAA — Ley de Portabilidad y Responsabilidad de Seguros de Salud

Ley federal estadounidense de 1996 que protege la privacidad de la información médica de los pacientes y la seguridad de los registros clínicos.

Las cinco reglas

Objetivos declarados: proteger la privacidad del paciente, garantizar la portabilidad del seguro médico al cambiar de trabajo o ante cambios vitales importantes, estandarizar las transacciones electrónicas y combatir el fraude y el abuso en el sistema de salud.

¿Quién debe cumplir? Dos figuras:

• Entidades cubiertas: planes de salud, centros de compensación de datos médicos (clearinghouses) y proveedores sanitarios que transmiten información médica por vía electrónica.
• Socios comerciales: individuos u organizaciones que usan o divulgan PHI en nombre de una entidad cubierta —servicios de facturación, proveedores de TI, servicios de almacenamiento de datos—. La entidad cubierta debe firmar con ellos un acuerdo de asociación comercial (BAA).

Sanciones

• Civiles: de 137 dólares hasta más de 2 millones de dólares anuales, según la gravedad de la infracción y el grado de conocimiento e intención de la organización (Martinez, 2025).
• Penales: el uso indebido o la obtención ilegal de PHI puede acarrear multas de hasta 250.000 dólares y penas de hasta 10 años de prisión; las tramita el Departamento de Justicia (Martinez, 2025).

Traducción a la IA agéntica. El módulo enumera cinco requisitos operativos:

1. Protección estricta de la PHI durante el procesamiento y la decisión autónomos (Regla de Privacidad).
2. Control de acceso dinámico y consciente del contexto: mecanismos granulares basados en atributos que deciden quién ve o modifica PHI según función del usuario, sensibilidad del dato y contexto ambiental — es la implementación del estándar HIPAA de necesidad mínima.
3. BAA y gestión de proveedores con todo tercero que toque PHI.
4. Salvaguardas técnicas, administrativas y físicas: cifrado, control de acceso basado en funciones (RBAC), registros de auditoría y entornos seguros de manejo de datos en todos los flujos de la IA (Regla de Seguridad).
5. Auditabilidad y monitoreo continuo: registros de auditoría inmutables y detallados que capturen cada acceso a PHI, cada decisión del agente y cada interacción de usuario, para verificación regulatoria y detección de infracciones.

---

3. Capítulo 2 — Evaluar el comportamiento del agente con estrategias de prueba

Por qué probar antes de desplegar

Los agentes actúan de forma autónoma sobre datos, usuarios y componentes del sistema. Probarlos en entornos controlados antes del uso generalizado previene errores, sesgos y riesgos de seguridad. El capítulo desarrolla tres estrategias complementarias —ninguna suficiente por sí sola— y las integra después en un canal de pruebas único.

3.1 Sandboxing

El sandboxing aísla el código y las acciones del agente de los sistemas de producción, de modo que un error o un comportamiento indebido quede contenido. Los entornos se construyen con máquinas virtuales, contenedores o técnicas de navegador como WebAssembly (Wasm).

Ejemplo técnico citado: investigadores de NVIDIA demostraron cómo ejecutar código Python generado por modelos de IA dentro de un entorno aislado de navegador mediante Pyodide, aprovechando las capas de seguridad de WebAssembly para proteger el sistema anfitrión de operaciones inseguras (Lucas, 2024).

Cómo implementarlo

• Replicar entornos similares a producción con datos enmascarados o sintéticos. Salesforce recomienda usar datos de CRM realistas y anonimizados para validar la integración antes del despliegue.
• Simular interacciones de usuario, llamadas a API y escenarios de fallo.
• El sandbox bloquea efectos secundarios y fugas de datos procedentes de procesos de IA no confiables.

Puntos clave

1. Ejecutar siempre el código nuevo del agente primero en sandbox o entorno de pruebas.
2. Usar entornos realistas con datos de producción enmascarados, para descubrir problemas que solo afloran bajo cargas de trabajo reales.
3. Emplear múltiples capas de aislamiento —VM/contenedores, restricciones de red, filtros a nivel de aplicación— como defensa en profundidad.

3.2 Pruebas A/B

Las pruebas A/B dividen el tráfico entre dos o más versiones del agente para comparar su desempeño: un grupo recibe el agente actual (control) y otro la versión actualizada (variación). La aleatorización evita sesgos y garantiza que ambos grupos sean estadísticamente comparables. La división habitual es 50/50 (Salesforce, s. f.).

Cómo implementarlas

• Asignación aleatoria de usuarios a control o variación.
• Métricas de éxito definidas de antemano: tasa de éxito en la tarea, tiempo de finalización, satisfacción del usuario (CSAT).
• Recoger datos suficientes hasta alcanzar significancia estadística.
• Control de versiones del prompt: cada vez que cambie el prompt o el modelo del agente, ejecutar una prueba A/B contra la versión anterior. Las comparaciones paralelas de modelos garantizan que cada cambio se evalúe por mejora o regresión.
• Monitorizar métricas primarias (éxito de la tarea) y secundarias (tiempo de respuesta, tasa de error).
• Segmentar el análisis por tipo de usuario o escenario: un agente puede rendir bien en promedio y fallar en casos extremos.

Puntos clave

1. Asignación aleatoria y división equitativa del tráfico.
2. Criterios de éxito fijados antes de empezar; datos hasta significancia estadística.
3. Una sola variable por prueba —solo el modelo, o solo el prompt— para aislar el efecto.
4. Estadística apropiada: intervalos de confianza, pruebas de hipótesis.
5. Interpretación holística: destacar en una métrica y fallar en otra es un resultado frecuente.

IBM sitúa las pruebas A/B y las simulaciones del mundo real dentro de la evaluación de agentes, como método para detectar regresiones, sesgos y comportamientos inseguros.

3.3 Verificaciones de seguridad

Las Verificaciones de seguridad comprueban que el agente se comporta adecuadamente y cumple las normas. Más allá del desempeño, hay que probar seguridad, fiabilidad y cumplimiento de políticas: salidas dañinas (discurso de odio), sesgos, violaciones de privacidad — antes y después del despliegue.

Las cinco medidas

Puntos clave

1. Validar salidas contra reglas de seguridad: bloqueo automático de discurso de odio, fugas de datos privados y contenido no permitido.
2. Sondeo adversario continuo antes de que los fallos lleguen a los usuarios.
3. Defensas en capas: filtros de políticas, API seguras, monitoreo y capas de confianza.
4. Alertas en tiempo real ante métricas anómalas, fallos repetidos o accesos no autorizados a datos.
5. Proceso continuo: la seguridad no es un hito único; hay que reevaluar el agente periódicamente a medida que cambian modelo, datos y entorno.

3.4 El canal de pruebas integrado

1. Sandbox inicial — valida la funcionalidad básica con datos sintéticos a gran escala.
2. Pruebas A/B piloto — despliegan las variantes prometedoras en grupos pequeños de usuarios, midiendo desempeño en vivo y recogiendo retroalimentación humana.
3. Verificaciones de seguridad automatizadas — se ejecutan de forma continua tanto en sandbox como en las pruebas A/B en vivo, bloqueando cualquier actividad que viole reglas predefinidas.
4. Bucles de revisión humana — interceptan los casos de alto riesgo señalados por anomalías o violaciones, y refinan tanto el agente como las propias reglas.
5. Despliegue completo condicionado a: aprobar todos los criterios de sandbox y A/B, no registrar violaciones críticas de seguridad durante un período sostenido, y obtener la aprobación de los equipos de riesgo y cumplimiento.

Conclusión del capítulo. Aislar, comparar variantes, hacer cumplir reglas e involucrar personas convierte las pruebas de una lista de verificación en un activo estratégico. La iteración continua y la supervisión rigurosa son lo que permite desplegar agentes fiables y de alto impacto.

---

4. Capítulo 3 — Velocidad de agentes vs. supervisión: dónde insertar controles

La analogía del gasto

El capítulo arranca con una metáfora financiera. Imagine dos empresas extremas:

• En la primera, cualquier empleado compra lo que quiera sin límite: es rápida, pero está expuesta al uso indebido.
• En la segunda, el director financiero aprueba cada compra, hasta una caja de clips: es segura, pero está paralizada.

La mayoría adopta un punto medio: umbrales. Las compras de bajo valor se aprueban al instante; las de alto valor pasan por revisión. Ese equilibrio entre eficiencia y gestión del riesgo es el marco que el módulo traslada a la gobernanza de la IA.

Traducción. El "gasto" son las decisiones y acciones del agente. Los controles de seguridad (guardrails) equivalen a las reglas de aprobación, y la supervisión es cómo la organización las hace cumplir.

El reto no es elegir entre velocidad y seguridad, sino colocar los controles donde más se necesitan (Trantopoulos et al., 2025; Smith, 2025).

Cómo los controles crean supervisión

Los controles de seguridad son los límites que las personas fijan para que el agente actúe dentro de parámetros aceptables. Pueden escribirse en el código, en reglas de negocio o en políticas operativas, y ser de naturaleza lingüística, procedimental, matemática o contextual. En todos los casos generan supervisión: o bien la IA se detiene y verifica condiciones, o bien la restricción se aplica automáticamente sin intervención humana.

La cadena causal es directa: controles → supervisión → velocidad y seguridad del cumplimiento. Controles estrictos hacen que la IA se autocompruebe más a menudo o escale a un humano; eso ralentiza la decisión pero reduce la probabilidad de infringir GDPR, CCPA o HIPAA. Controles flexibles aceleran, pero aumentan la exposición.

Supervisión manual vs. automatizada

El modelo real es híbrido: acciones de bajo riesgo y alto volumen bajo control automático; casos de mayor riesgo o inusuales escalados a un humano.

Casos de uso empresarial

Cuadrantes de riesgo y velocidad

El módulo ofrece una matriz 2×2 —disponible además como PDF accesible para lectores de pantalla, Cuadrantes_de_riesgo_M7.pdf— que cruza nivel de riesgo con velocidad requerida.

Probar la eficacia de los controles

Por bien diseñado que esté un control, hay que probarlo antes del despliegue y monitorizarlo después.

El monitoreo continuo es igual de crítico. Incluso con pruebas previas exitosas, las condiciones reales producen comportamientos inesperados. El registro automatizado de decisiones, accesos a datos y escalamientos proporciona la evidencia necesaria para auditorías y ayuda a detectar problemas emergentes antes de que se conviertan en infracciones (Gobierno de Australia, s. f.).

Conclusión del capítulo. El equilibrio no es estático: a medida que evolucionan las regulaciones, cambian las prioridades del negocio y mejora la tecnología, la organización debe revisar continuamente dónde coloca sus controles. El objetivo no es frenar la IA, sino que su velocidad sirva al negocio sin comprometer seguridad, legalidad ni confianza.

---

5. Capítulo 4 — Documentación y preparación para cumplimiento

El propósito de documentar

La documentación es la columna vertebral de la gobernanza, no papeleo. Cumple cuatro funciones:

1. Transparencia durante las auditorías de cumplimiento (Informatica, 2024).
2. Confianza de las partes interesadas.
3. Demostrabilidad: permite explicar por qué y cómo se tomó una decisión concreta.
4. Memoria institucional: registra cómo evolucionan las decisiones, recoge lecciones de fallos y casi-fallos, y sostiene la mejora continua.

En sectores regulados —salud, finanzas— acreditar las pruebas realizadas, el manejo de datos y los mecanismos de supervisión es un requisito, no una opción. La documentación cierra la brecha entre el comportamiento técnico del modelo y la responsabilidad legal, especialmente bajo la Ley de IA de la UE o HIPAA (Shorenstein Center, 2023). En última instancia permite a los líderes entender no solo qué hace el sistema, sino por qué y cómo lo hace.

Los cuatro tipos de documentación

Mantenerlos en formato coherente y accesible es lo que permite responder rápido a solicitudes de cumplimiento, investigaciones internas y preocupaciones de las partes interesadas.

Prácticas de preparación para el cumplimiento

La preparación no consiste en reaccionar ante una auditoría, sino en construir sistemas capaces de demostrar adhesión en cualquier momento.

Equilibrar documentación y velocidad

El exceso de papeleo frena el desarrollo tanto como la falta de él expone legalmente. Cuatro tácticas:

1. Priorizar según el riesgo. Los procesos de alto riesgo —datos de salud o financieros— exigen documentación detallada y estrictamente controlada; las funciones de menor riesgo admiten formatos más ligeros. Un enfoque basado en riesgo concentra el esfuerzo donde importa (Trantopoulos et al., 2025).
2. Integrar la documentación en los flujos de trabajo. Registro automatizado, control de versiones y paneles de cumplimiento reducen el reporte manual mientras generan rastros de auditoría sólidos. La IA puede acelerar tareas como resumir evidencia, redactar informes y señalar brechas, siempre que los controles y la supervisión sigan siendo explícitos (Agarwal et al., 2024; Potter, 2025).
3. Aprovechar la tecnología. Herramientas de documentación asistidas por IA generan resúmenes, etiquetan registros y resaltan información faltante; combinadas con estructuras claras de responsabilidad, reducen el tiempo de preparación y mejoran la exactitud (Sanford, 2021).
4. Revisiones periódicas en lugar de cuellos de botella continuos. En vez de exigir aprobación en cada paso, programar revisiones periódicas y reservar alertas automáticas para cambios de alto riesgo, dejando los flujos rutinarios sin bloquear (Fitzgerald, 2024).

Fracasos y éxitos reales

Conclusión para el liderazgo. Tratar la documentación como habilitador estratégico y no como carga administrativa: registros sólidos aceleran auditorías, reducen la exposición legal y mejoran la resiliencia. Combinada con pruebas y controles bien establecidos, convierte la gobernanza en una ventaja práctica que protege el cumplimiento sin sacrificar la innovación.

---

6. Preguntas de autoevaluación con respuestas

El módulo incluye cuatro preguntas de opción múltiple, dos en el capítulo 1 y dos en el capítulo 2.

Capítulo 1

1. ¿Cuál de las siguientes opciones destaca mejor la diferencia entre el GDPR y el CCPA en términos de consentimiento del usuario para el uso de datos?

• ❌ El GDPR requiere consentimiento de exclusión voluntaria para la venta de datos, mientras que la CCPA requiere consentimiento de inclusión voluntaria para todo el procesamiento.
• ✅ El GDPR requiere consentimiento de inclusión voluntaria (opt-in) para procesar datos personales, mientras que la CCPA generalmente requiere consentimiento de exclusión voluntaria (opt-out) para la venta de datos.
• ❌ Tanto el GDPR como la CCPA requieren consentimiento explícito de inclusión voluntaria para todas las actividades relacionadas con datos personales.
• ❌ La CCPA permite la recopilación ilimitada de datos, mientras que el GDPR prohíbe toda toma de decisiones automatizada.

2. Un sistema de IA agéntica se implementa en el ámbito de la salud para procesar registros de pacientes. ¿Qué requisito de HIPAA se aborda más directamente mediante la implementación de registros de auditoría inmutables que registran cada acceso y decisión tomada por la IA?

• ❌ Regla de privacidad
• ❌ Regla de notificación de violaciones
• ❌ Regla de seguridad
• ✅ Auditabilidad y monitoreo del cumplimiento

Capítulo 2

3. Al implementar el sandboxing para los agentes de IA, ¿por qué se recomienda el uso de datos enmascarados o sintéticos?

• ❌ Reducir los costes de computación durante las pruebas.
• ✅ Garantizar que los agentes puedan interactuar de forma segura sin exponer datos confidenciales reales.
• ❌ Acelerar la implementación y omitir las verificaciones de cumplimiento.
• ❌ Garantizar un desempeño idéntico en producción y prueba.

4. ¿Cuál de las siguientes prácticas garantiza mejor que los resultados de una prueba A/B sean válidos y sin sesgos?

• ❌ Probar múltiples cambios a la vez para ahorrar tiempo.
• ✅ Asignar usuarios de forma aleatoria y dividir el tráfico equitativamente (por ejemplo, 50/50).
• ❌ Usar solo usuarios simulados en lugar de reales.
• ❌ Finalizar la prueba tan pronto como una versión funcione ligeramente mejor.

---

7. Glosario del módulo

Reproducido de Glosario_M7.pdf (nueve términos).

---

8. Preguntas de reflexión

Aparecen solo en la guía PDF, en sección propia; la web no las incluye.

1. ¿Qué tan preparada está su compañía para el proceso de gobernanza y auditoría?
2. ¿Actualmente dispone de personal capaz de organizar esto? Si no, ¿qué pasos son necesarios para garantizar el cumplimiento?
3. A medida que capacite a los empleados e implemente estos pasos en los flujos de trabajo, ¿cómo puede presentar esto como una ventaja estratégica y no como una carga burocrática?

La web incluye además un cuadro "Reflexione" dentro del capítulo 1, sobre la diferencia opt-in / opt-out entre GDPR y CCPA.

---

9. Tareas del módulo

Actividad 7 — Plan de gobernanza

Enunciado. Crear un plan de gobernanza para la implementación de IA en la propia organización, cubriendo cuatro apartados:

1. Jurisdicción — país en el que opera la compañía.
2. Sector — industria o sector de actividad.
3. Regulaciones aplicables — enumerar y describir brevemente las normas que aplican al sector y ubicación (GDPR, CCPA, HIPAA o requisitos de cumplimiento sectoriales).
4. Plan de cumplimiento — cómo garantizará la organización la adherencia: políticas, procesos y prácticas de monitoreo.

El módulo incluye además una encuesta de retroalimentación (quiz de Canvas, no evaluable).

---

10. Cifras y datos clave para memorizar

---

11. Vídeos y recursos multimedia

Barrido exhaustivo del reproductor Elucidat: las 11 páginas del módulo recorridas una a una con Elucidat.navigate, rastreando iframe, a[href], todos los atributos del DOM (incluido data-media, donde Elucidat guarda la URL antes de renderizar) y el HTML serializado, buscando YouTube, Vimeo, videocast.emeritus.org, Wistia y Loom. También se revisó el enunciado de la Actividad 7 en Canvas.

Materiales descargables del módulo

---

12. Notas de discrepancia entre la web y la guía PDF

Erratas detectadas en la fuente

Documentadas en detalle en M7 Referencias. Las que más afectan al estudio:

1. Citas sin referencia. El cuerpo del contenido cita a Martinez (2025) —las cifras de sanciones de HIPAA—, Bevan et al. (2024), Van Huizen (2025), Informatica (2024) y Shorenstein Center (2023). Ninguna de las cinco aparece en la lista de referencias de la web ni en la del PDF. Las sanciones de HIPAA quedan, por tanto, sin fuente verificable.
2. "HIPPA" por "HIPAA" en el encabezado del segundo caso de uso empresarial del capítulo 3.
3. Texto duplicado en el capítulo 4: "no solo qué hace un sistema de IA, sino también por quépor qué y cómo lo hace".
4. "FAIRLY IA" / "FAIRLY AI": el cuerpo del texto traduce el nombre propio de la empresa; la referencia bibliográfica usa la forma correcta, FAIRLY AI.
5. NIST citado como "s. f." en el capítulo 3, cuando la propia lista de referencias lo fecha en 2023.
6. Atribuciones dudosas. El ejemplo de detección de fraude en sandbox se atribuye a The Hacker News (2025), artículo que trata sobre agentes de IA con permisos de tipo root; y el ejemplo del recomendador de comercio electrónico a Chan et al. (2024), que es el paper de arXiv Visibility into AI agents. Ninguno de los dos desarrolla el caso que ilustra.
7. "En el módulo7" sin espacio, en la página de objetivos de aprendizaje.

---

Apuntes elaborados el 23 de agosto de 2026 a partir del contenido del Módulo 7 del curso. Ver M7 Referencias para el listado completo con URL verificadas.

13. Material complementario de las sesiones en directo

Dos cohortes impartieron este módulo antes de que se publicara, y su material añade cosas que el módulo no desarrolla:

Y un material externo que complementa el módulo: el OWASP Top 10 para Aplicaciones Agénticas 2026, repartido en la semana 4 de Sandra Ortiz.