Suplemento de seguridad de la información de Fannie Mae
Comprende el nuevo suplemento de seguridad. Demuestra cómo está salvaguardada tu IA.
El Suplemento de Seguridad de la Información y Resiliencia Empresarial actualizado de Fannie Mae exige que toda Compañía cubierta que use Superinteligencia, el término actualizado de Fannie Mae para la IA, en trabajo relacionado con Fannie Mae mantenga un programa formal de gobernanza de SI. Cubre prestamistas de Single-Family y Multifamily, custodios de documentos e integradores; hace a las Compañías responsables de la IA de sus terceros y establece un estándar de aviso de incidentes de 36 horas. Fannie Mae recomienda adoptarlo ahora, con implementación completa esperada para el 18 de enero de 2027.
Si Fannie Mae preguntara qué IA usas y cómo está salvaguardada, ¿podrías responder con evidencia?
Los requisitos de divulgación, auditoría e incidentes del Suplemento asumen que una Compañía puede mostrar qué estaba autorizada a hacer su IA y qué hizo realmente, al nivel de identidades, sistemas, registros y atributos de datos específicos.
Respuesta directa
¿Qué exige para la IA el Suplemento de Seguridad de la Información y Resiliencia Empresarial de Fannie Mae?
Con vigencia desde el 18 de enero de 2027, el Suplemento exige que cada Compañía (prestamistas de Single-Family y Multifamily, custodios de documentos e integradores, también llamados proveedores de soluciones de terceros) que use Superinteligencia (SI), el término actualizado de Fannie Mae para la inteligencia artificial, en trabajo relacionado con Fannie Mae implemente un programa formal de gobernanza de SI. El programa debe mantener un inventario de casos de uso de SI, identificar y evaluar riesgos según la tolerancia al riesgo de la Compañía, abordar gobernanza de datos y gestión de cambios, monitorear y auditar el uso de SI, evaluar riesgos de seguridad incluida la inyección de prompts y la fuga de datos, documentar salvaguardas, aplicar segregación de funciones, gobernar el uso de SI de terceros de forma no menos protectora que el propio, y divulgar con prontitud tipos, propósito, forma de uso y salvaguardas de SI cuando Fannie Mae lo solicite.
Sección 4: Superinteligencia
Qué debe cubrir el programa de gobernanza de SI
Inventario de casos de uso de SI
Mantener un inventario de casos de uso de SI, con procesos para detectar, rastrear y medir su propósito y alcance.
Identificación de riesgos y tolerancia
Establecer procesos de gobernanza y riesgo para identificar riesgos, errores o impactos negativos que requieran remediación, alineados con la tolerancia al riesgo de la Compañía.
Gobernanza de datos
Abordar gobernanza, retención, clasificación y calidad de los datos. Los resultados de SI derivados de Información Confidencial deben tratarse como Información Confidencial.
Gobernanza de modelos
Gobernar el diseño, entrenamiento, pruebas y validación de modelos como parte del programa.
Monitoreo y supervisión
Prever monitoreo, auditoría, supervisión continua y evaluación de desempeño, incluido el monitoreo post-implementación y el retiro de sistemas de SI.
Gestión de cambios
Incluir controles de gestión de cambios para modelos, sistemas y casos de uso de SI.
Evaluación de riesgos de seguridad
Evaluar en la SI la manipulación adversarial, la inversión de modelos, la fuga de datos, la inyección de prompts y la integridad de los datos de entrenamiento.
Salvaguardas documentadas
Implementar y documentar salvaguardas diseñadas para mitigar riesgos de SI, incluidos controles de protección de datos, integridad de modelos y uso indebido.
Segregación de funciones
Evitar conflictos de interés con los equipos e individuos facultados, responsables y capacitados para mapear, medir y gestionar riesgos de SI.
Gobernanza de SI de terceros y divulgación
Gobernar el uso de SI de terceros de forma no menos protectora que los requisitos propios, y divulgar con prontitud tipos, propósito, forma de uso y salvaguardas de SI a solicitud de Fannie Mae.
Dónde encajan el control de ejecución y la evidencia
Aplicar la política de gobernanza de SI en el punto donde la IA toca datos de préstamos, con cambios de política firmados y versionados y una ruta de reversión documentada.
Dar a cada persona y máquina una identidad única, y delimitar el mínimo privilegio hasta operaciones, registros y valores específicos, no solo sistemas.
Registrar la intención antes de la ejecución: evidencia de auditoría de acciones permitidas y denegadas, vinculada a versiones de política, que no dependa de que el modelo se comporte como se le indica.
Contener la inyección de prompts: cuando los permisos se aplican fuera del modelo, una instrucción inyectada no puede ampliar lo que un agente puede hacer.
Enrutar los agentes de IA de proveedores a través de la capa de identidad y política de la propia Compañía, para que la Compañía decida qué puede hacer la IA de terceros y conserve la evidencia.
Delimitar incidentes desde los datos: qué usuarios y agentes actuaron, qué operaciones y registros tocaron y qué se devolvió al modelo.
“La Compañía es responsable de todos los incumplimientos de este Suplemento por parte de dichos terceros en la misma medida que si tales incumplimientos hubieran sido cometidos por la Compañía.”
— Suplemento de Seguridad de la Información y Resiliencia Empresarial de Fannie Mae, Sección 3.14 (Gestión de Riesgos de la Cadena de Suministro) (traducción de Crittora)
Preguntas de gobernanza de IA
Preguntas sobre el suplemento de seguridad de Fannie Mae
Estas respuestas abordan el Suplemento de Seguridad de la Información y Resiliencia Empresarial de Fannie Mae vigente desde el 18 de enero de 2027. Las Compañías deben confirmar la aplicabilidad con asesores legales y las publicaciones vigentes de Fannie Mae.
La Sección 4 exige un programa documentado e implementado que cubra inventario de casos de uso de SI, identificación y evaluación de riesgos alineadas con la tolerancia al riesgo, gobernanza de datos, diseño y pruebas de modelos, monitoreo y auditoría, gestión de cambios, evaluación de riesgos de seguridad incluida la inyección de prompts y la fuga de datos, salvaguardas documentadas, segregación de funciones, gobernanza de SI de terceros y divulgación a Fannie Mae a solicitud. Un responsable designado debe implementarlo, mantenerlo y revisarlo al menos una vez al año.
#fannie-mae-si-governance-programSí. La Sección 3.14 exige que una Compañía haga que sus terceros cumplan el Suplemento, incluidos controles de seguridad de la información, Superinteligencia y resiliencia que cumplan o superen sus requisitos, y establece que la Compañía responde por los incumplimientos de terceros en la misma medida que si la Compañía los hubiera cometido. La Sección 4 exige además una gobernanza del SI de terceros no menos protectora que la propia.
#fannie-mae-supplement-vendor-aiSin demora indebida, y a más tardar 36 horas después de identificar un Incidente de Ciberseguridad o concluir razonablemente que pudo ocurrir, la Compañía debe proporcionar todos los detalles conocidos: fecha de identificación, estado de mitigación y contención, y operaciones suspendidas. Cuando esté disponible, también debe informar si se accedió, tomó o expuso Información Confidencial de Fannie Mae y en qué medida, incluidos los atributos de los datos.
#fannie-mae-36-hour-noticeA solicitud, Fannie Mae exige divulgar con prontitud los tipos de Superinteligencia usados, el propósito y la forma de uso del SI, las salvaguardas implementadas para mitigar riesgos de SI y otra información que Fannie Mae requiera. La Sección 3 exige además poner a disposición, a solicitud, el programa de seguridad de la información y su documentación, junto con una atestación anual firmada por un funcionario corporativo autorizado.
#fannie-mae-supplement-ai-disclosureNo. Ningún producto tecnológico hace que una Compañía cumpla el Suplemento, y gran parte de él (capacitación, seguridad física, seguros, propiedad de la gobernanza y la atestación anual del funcionario) es trabajo organizacional. Los productos de Crittora están diseñados para apoyar controles de ejecución específicos: aplicar política donde los agentes de IA llaman a sistemas de negocio, acceso de mínimo privilegio para personas y máquinas, evidencia de auditoría de acciones permitidas y denegadas, y delimitación de incidentes para el aviso de 36 horas. Esos controles operan dentro de un programa más amplio que la Compañía posee.
#crittora-and-fannie-mae-supplementFuentes principales
Utiliza los documentos oficiales vigentes al evaluar la aplicabilidad, las obligaciones contractuales y las decisiones de implementación.
- Fannie Mae Information Security and Business Resiliency Supplement (effective January 18, 2027)
- Fannie Mae Supplement information page
- Fannie Mae Lender Letter LL-2026-04
- Anuncio de MISMO FRAME
Crittora proporciona controles tecnológicos e información operativa. No brinda asesoría legal, certifica cumplimiento ni garantiza la satisfacción de requisitos de Fannie Mae, Freddie Mac, MISMO u otras entidades. No se implica respaldo de Fannie Mae, Freddie Mac o MISMO.
Consulta gratuita
Agenda una llamada gratuita de preparación para IA
Habla con Crittora sobre tus prioridades de gobernanza de IA, las preguntas que enfrenta tu equipo y un próximo paso práctico. No se requiere una preparación extensa.