Guía enterprise

Guía para organizaciones que evalúan o adoptan licit como parte de su estrategia de gobernanza de IA.

Para quién es esta guía

• CTOs / VP Engineering: Evaluando herramientas de AI governance
• Compliance officers: Necesitan documentación regulatoria automatizada
• Legal teams: Preparando para auditorías EU AI Act
• Security leads: Implementando controles OWASP para agentes IA
• Procurement: Evaluando licit vs alternativas

Propuesta de valor

El problema

Las organizaciones que usan agentes IA para generar código enfrentan tres brechas:

1. Trazabilidad: No pueden distinguir código humano de código IA a escala. Esto crea riesgos de propiedad intelectual, responsabilidad legal, y gestión de calidad.

2. Regulación: El EU AI Act exige documentación específica (FRIA, Annex IV), sistemas de gestión de riesgos, y supervisión humana. Generar esta documentación manualmente es costoso y propenso a errores.

3. Seguridad de agentes: Los agentes IA operan con permisos elevados y pueden introducir vulnerabilidades que las herramientas de seguridad tradicionales no cubren (OWASP Agentic Top 10).

Cómo licit lo resuelve

Diferenciadores clave

1. Standalone: No requiere SaaS, bases de datos, ni infraestructura. Todo son archivos locales.
2. Developer-first: CLI que se integra en git/CI/CD workflows existentes.
3. Agnóstico de lenguaje: Python, JS/TS, Go, Rust, Java.
4. Open source (MIT): Sin vendor lock-in, auditable, extensible.
5. Multi-framework: EU AI Act + OWASP en una ejecución, con NIST/ISO en roadmap.

Modelo de adopción

Fase 1: Piloto (1-2 semanas)

Objetivo: Validar licit en un proyecto representativo.

# Un dev instala y prueba
pip install licit-ai-cli
cd proyecto-piloto/
licit init
licit trace --stats
licit report --format html -o compliance.html
licit gaps

Entregable: Reporte HTML de compliance + gap analysis del proyecto piloto.

Fase 2: Equipo (2-4 semanas)

Objetivo: Integrar en el flujo de CI/CD de un equipo.

1. Añadir licit verify al pipeline de PRs
2. Completar el FRIA (licit fria)
3. Generar Annex IV (licit annex-iv)
4. Habilitar connectors si usan architect/vigil
5. Versionar .licit.yaml y reportes

Fase 3: Organización (1-3 meses)

Objetivo: Estandarizar compliance de IA en toda la organización.

1. Definir .licit.yaml estándar por tipo de proyecto
2. Configurar dashboards (parseando JSON reports)
3. Integrar en proceso de auditoría interna
4. Designar compliance leads por equipo
5. Establecer cadencia de revisión (mensual/quarterly)

Requisitos técnicos

Marcos regulatorios cubiertos

EU AI Act — Cobertura actual

OWASP Agentic Top 10 — Cobertura actual

Los 10 riesgos evaluados cubren: control de acceso, inyección de prompts, cadena de suministro, logging, manejo de output, supervisión humana, sandboxing, consumo de recursos, manejo de errores, y exposición de datos.

Roadmap de frameworks

Seguridad y datos

Qué datos genera licit

Modelo de seguridad

• Sin red: licit no hace HTTP requests, no tiene telemetría, no phone-home
• Read-only: Los connectors solo leen; nunca modifican código fuente
• Sin ejecución: No compila, interpreta, ni ejecuta código analizado
• YAML seguro: Solo usa yaml.safe_load() (sin ejecución de código)
• Firmado: HMAC-SHA256 opcional para integridad de provenance

Integración con herramientas existentes

Herramientas de seguridad

Herramientas de IA

Plataformas GRC (Governance, Risk, Compliance)

licit genera reportes JSON que pueden alimentar plataformas GRC:

licit report --format json -o compliance-data.json
# → Parsear con la API de tu plataforma GRC

El JSON contiene: project metadata, per-framework results, compliance rates, gap analysis.

Preguntas frecuentes enterprise

¿licit reemplaza una auditoría?

No. licit automatiza la recopilación de evidencia técnica y genera documentación regulatoria. Las decisiones finales de compliance deben ser revisadas por profesionales cualificados. licit es una herramienta para el auditor, no un sustituto del auditor.

¿El reporte de licit es legalmente vinculante?

No. Los reportes de licit son evidencia técnica de soporte. Para obligaciones legales del EU AI Act, se requiere revisión legal formal del FRIA y la documentación técnica.

¿Funciona en entornos air-gapped?

Sí. licit no requiere conexión a internet en ningún momento. Solo necesita Python 3.12 y sus 6 dependencias instaladas previamente.

¿Soporta monorepos?

licit analiza un directorio raíz. Para monorepos, ejecuta licit init en cada subdirectorio de proyecto o en la raíz según tu necesidad.

¿Cuál es el coste de ejecución en CI/CD?

licit verify típicamente toma 2-5 segundos en proyectos medianos (100-500 commits). licit trace puede tomar 10-30 segundos en repos grandes (10,000+ commits). No requiere servicios externos ni API calls.

¿Cómo manejan la propiedad intelectual del código generado por IA?

licit no toma posición legal sobre IP. Lo que hace es rastrear qué código fue generado por IA (y por qué modelo), lo cual es evidencia necesaria para cualquier análisis de IP que tu equipo legal necesite hacer.

Soporte y comunidad

• Issues: github.com/Diego303/licit-cli/issues
• Documentación: docs/
• Licencia: MIT (uso comercial permitido sin restricciones)
• Seguridad: SECURITY.md