Pack Shield: 27 especialistas de cumplimiento y 11 workflows
Shield dirige las consultas de cumplimiento a 27 especialistas de marcos y 11 workflows de RGPD y AI Act, y añade casos de aseguramiento, registro de IA y reglas de revisión. No es asesoría legal.
Shield convierte BMAD+ en un asistente de gobernanza, riesgo y cumplimiento (GRC). Un orquestador lee tu pregunta, identifica el marco o los marcos implicados y la dirige a un agente especialista: 27 en total, cada uno dedicado a una regulación o norma, en seis categorías. Otros once workflows cubren los documentos recurrentes del RGPD y de la AI Act europea (evaluaciones de impacto, respuesta a brechas, avisos de privacidad, políticas de cookies, clasificación de riesgo de IA). Además, Shield incluye tres herramientas de evidencia respaldadas por comandos reales de la CLI: un caso de aseguramiento, un registro de tratamientos de IA y reglas de revisión de cumplimiento.
Advertencia· No es asesoría legal
Cada informe de Shield lleva la marca de generado por IA y un aviso de que no es asesoría legal. El resultado puede estar incompleto o desfasado y no sustituye a un abogado, a un delegado de protección de datos ni a un auditor certificado. Una persona cualificada debe revisarlo antes de cualquier decisión de cumplimiento, presentación o atestación.
Debes demostrar que un producto cumple una regulación o una norma (RGPD, SOC 2, ISO 27001, PCI DSS, HIPAA, NIS2, DORA, AI Act y otras) y quieres un análisis de brechas estructurado en lugar de una página en blanco.
Necesitas un documento típico del RGPD o de la AI Act: EIPD, notificación de brecha, prueba de interés legítimo, aviso de privacidad, política de cookies, clase de riesgo de IA.
Quieres evidencias de auditoría comprobadas por comandos, no afirmadas: un caso de aseguramiento ligado a un commit.
Quieres una revisión de código que diga qué controles de cumplimiento toca un cambio.
Shield es un pack autocontenido: el contenido está en .agents/skills/pack-shield/. Esa carpeta contiene la habilidad del pack SKILL.md, el orquestador shield-orchestrator.md, categories/ (los 27 especialistas y los 11 workflows), references/ (79 archivos de referencia regulatoria), shared/ (mapeador entre marcos, plantillas de análisis de brechas e informe de auditoría, procedimientos de caso de aseguramiento y de registro de IA con sus plantillas) y review-rules/ (las seis reglas de revisión de cumplimiento y su índice). bmad-plus doctor comprueba que existan SKILL.md y review-rules/index.yaml.
SOC 2, PCI DSS v4.0.1, HIPAA, SWIFT CSP, DORA y FedRAMP
Defensa y control de exportaciones
4
CMMC 2.0, ITAR, EAR, directivas de seguridad de la TSA
Gobernanza de la IA
3
AI Act 2024/1689, ISO/IEC 42001, NIST AI RMF 1.0
Accesibilidad y ESG
3
WCAG 2.2, Section 508, CSRD
El pack tiene 27 agentes especialistas, uno por marco. La lista de etiquetas de cumplimiento del registro nombra los 27, y la lista de packs del instalador muestra «GRC compliance (27 frameworks)».
Auditoría de código y sistemas, redacción de documentos, preguntas y respuestas, revisión de flujos y datos personales, EIPD, gestión de brechas, LIA (7 workflows)
ccpa-agent
CCPA / CPRA
California
Quién debe cumplir, derechos de los consumidores, obligaciones, exposición a sanciones
lgpd-agent
LGPD
Brasil
Ámbito, principios, las diez bases legales, derechos de los titulares, diferencias con el RGPD
dpdpa-agent
DPDPA
India
Aviso, derechos del titular, deberes del fiduciario, datos de menores, transferencias transfronterizas
iso27701-agent
ISO/IEC 27701
Internacional
Análisis de brechas, políticas, guía de controles, evaluación de riesgos de privacidad, declaración de aplicabilidad
iso27001-agent
ISO/IEC 27001
Internacional
Análisis de brechas, generación de políticas y documentos, guía de controles, evaluación de riesgos, lista de documentación obligatoria
nist-csf-agent
NIST CSF 2.0
Estados Unidos
Evaluación de brechas, perfiles, hoja de ruta, correspondencia entre marcos, políticas
nist-800-53-agent
NIST SP 800-53 Rev. 5
EE. UU. (federal)
Categorización del sistema, líneas base, familias de controles, adaptación, superposiciones, narrativas del SSP, evaluación
cis-controls-agent
CIS Controls v8
Internacional
Grupos de implementación, los 18 controles, correspondencias con otros marcos, evaluación de brechas
nis2-agent
NIS2
UE
Clasificación de la entidad, evaluación de brechas, notificación de incidentes, deberes del órgano de dirección, alineación con ISO 27001
ism-agent
Australian ISM
Australia
Análisis de brechas, autorización de sistemas, preparación de IRAP, documentación de seguridad, Essential Eight frente al ISM
soc2-agent
SOC 2 Type I/II
Estados Unidos
Evaluación de preparación y brechas, políticas, documentación de controles, evidencias de auditoría, cuestionarios de riesgo de proveedores
pci-dss-agent
PCI DSS v4.0.1
Internacional
Delimitación del entorno de datos de tarjetas, evaluación de brechas, elección del SAQ, guía de controles, políticas
hipaa-agent
HIPAA
Sanidad en EE. UU.
Revisión de cumplimiento, plantillas y políticas, salvaguardas técnicas, explicaciones
swift-csp-agent
SWIFT CSP
Banca internacional
Tipos de arquitectura, marco de controles, calendario de evaluación y atestación anual, hallazgos habituales
dora-agent
DORA
Sector financiero de la UE
Entidades afectadas, marco de gestión del riesgo TIC (artículos 5 a 16)
fedramp-agent
FedRAMP
Nube federal de EE. UU.
Evaluación de preparación, documentación de autorización, correspondencia con NIST 800-53
cmmc-agent
CMMC 2.0
Defensa de EE. UU.
Evaluación de brechas, plan de seguridad del sistema, puntuación SPRS, POA&M, delimitación de CUI
itar-agent
ITAR
Exportación de armamento (EE. UU.)
Jurisdicción ITAR o EAR, registro, licencias, acuerdos, exportaciones presuntas, divulgación voluntaria, plan de control tecnológico
ear-agent
EAR
Exportación de doble uso (EE. UU.)
Jurisdicción, clasificación ECCN, requisito de licencia, excepciones, controles del usuario final
tsa-agent
TSA Security Directives
Transporte (EE. UU.)
Cobertura de las directivas por sector, sistemas cibernéticos críticos, notificación de incidentes, designación del coordinador
eu-ai-act-agent
EU AI Act 2024/1689
UE
Workflow de cumplimiento en ocho pasos, formato de respuesta, calendario, sanciones
iso42001-agent
ISO/IEC 42001
Internacional
Evaluación de brechas, evaluación de impacto del sistema de IA, evaluación de riesgos de IA, declaración de aplicabilidad, camino a la certificación
nist-ai-rmf-agent
NIST AI RMF 1.0
Estados Unidos
Funciones gobernar, mapear, medir y gestionar, fiabilidad, evaluación de brechas, registro de riesgos de IA
wcag-agent
WCAG 2.2
Internacional
Los cuatro principios, auditoría de accesibilidad, declaración de accesibilidad, ARIA, contraste, correspondencia legal
section508-agent
Section 508
EE. UU. (federal)
Marco regulatorio, alcance de las TIC, cumplimentación de un VPAT, auditoría de accesibilidad
csrd-agent
CSRD
UE
Ámbito y umbrales, evaluación de doble materialidad, arquitectura de los ESRS, requisitos de divulgación
Agentes de workflow y documento que produce cada uno
Workflow
Objetivo
dpia-sentinel
Evaluación de impacto (EIPD), artículo 35, con aspectos específicos de IA; informe de nueve secciones
breach-sentinel
Respuesta a una brecha, artículos 33 y 34: clasificación de gravedad, notificación a la autoridad en 72 horas, aviso a los interesados, lecciones aprendidas
legitimate-interest
Evaluación del interés legítimo, artículo 6(1)(f): finalidad, necesidad y ponderación
privacy-advisor
Evaluación de un programa RGPD y de la postura global
privacy-notice-gen
Aviso de privacidad con los elementos obligatorios de los artículos 13 y 14
privacy-policy-gen
Política de privacidad completa para un sitio o una aplicación
cookie-policy-gen
Política de cookies según ePrivacy y RGPD, con la guía de la CNIL
ai-act-classifier
Clase de riesgo de un sistema de IA: prohibido, alto riesgo (anexo III), limitado, mínimo
ai-act-roles
Proveedor, responsable del despliegue o importador: qué obligaciones te corresponden
ai-act-fria
Evaluación de impacto sobre los derechos fundamentales, artículo 27
ai-act-incidents
Workflow de notificación de incidentes graves, artículo 73
Una afirmación solo cuenta como respaldada si la comprobación que la sustenta se ejecutó en el commit en cuestión, registrada en un libro con encadenado de hashes. La evidencia ausente, fallida u obsoleta deja la afirmación sin respaldo.
Registro de tratamientos de IA
bmad-plus ai-register init, check
Compara _bmad/ai-processing-register.yaml con las integraciones de IA halladas en el proyecto y avisa de las no registradas. Los avisos nunca hacen fallar el comando.
Reglas de revisión de cumplimiento
bmad-plus review scope, review rules <ruta>
Seis listas de verificación por ruta, etiquetadas con controles como ISO27001:A.8.5, SOC2:CC6.1 o GDPR:Art.32, para que una revisión enumere los controles que toca un cambio.
Las seis reglas de revisión son shield-access-control, shield-personal-data, shield-cryptography, shield-logging, shield-ai-integrations y shield-change-and-supply-chain. Se suman a las reglas integradas sin sustituirlas nunca; un proyecto puede reemplazarlas o desactivarlas en _bmad/review-rules.yaml.
Core se añade automáticamente. Shield solo necesita Node.js 20 para el instalador; los comandos de evidencia salen de la misma CLI.
En la terminal del proyecto
npx bmad-plus install --packs shield
02
Preguntar al orquestador
Nombra el marco si lo conoces o describe tu situación; Shield hace dos o tres preguntas (jurisdicción, sector, tipos de datos) cuando el marco es ambiguo.
En la terminal del proyecto
Shield, audita mi aplicación para el cumplimiento del RGPD
03
Comprobar la instalación
El diagnóstico confirma que existen la habilidad del pack y el índice de reglas de revisión.
El camino más corto a una revisión de código de un solo marco. Shield reconoce el RGPD por las palabras y cede el paso al especialista en RGPD. Una petición general de «auditoría RGPD» o de «evaluación de cumplimiento» va más bien al workflow privacy-advisor (evaluación de todo el programa de protección de datos): para revisar código, nombra archivos concretos.
En tu asistente de IA
Shield, el backend de nuestra app móvil guarda perfiles de usuario y tokens de notificaciones push. Revisa el código de services/api/ y las definiciones de tablas de db/migrations/ frente al RGPD: enumera los datos personales que encuentres, la base legal deducible para cada uno y las brechas.
Lo que deberías obtener La petición va a gdpr-agent, workflow 1 (auditoría de código y sistemas). El informe sigue el formato de auditoría: datos personales identificados, evaluación de la base legal, hallazgos y resumen. Lleva la marca de generado por IA y el aviso de que no es asesoría legal.
Cuando una petición nombra varios marcos, Shield ejecuta cada especialista y fusiona los resultados.
En tu asistente de IA
Shield, análisis de brechas NIS2 frente a DORA para nuestra plataforma de pagos, que da servicio a bancos de tres países de la UE. Tenemos un proceso de incidentes de seguridad pero ningún registro de proveedores TIC. Muestra qué obligaciones se solapan, como la notificación de incidentes y el riesgo de terceros, para construir un solo proceso que cumpla ambos, y da una hoja de ruta de remediación priorizada.
Lo que deberías obtener Se ejecutan nis2-agent y dora-agent, luego Shield usa el mapeador entre marcos (NIS2 ↔ DORA es uno de los emparejamientos que enumera) para construir la correspondencia de controles solapados y produce un informe consolidado en el formato de auditoría: controles comunes (implementar una vez, cumplir varios), brechas propias de cada marco y hoja de ruta priorizada.
Úsalo antes de una ventana de auditoría, cuando sepas qué criterios de confianza están en el alcance.
En tu asistente de IA
Shield, genera una lista de evidencias SOC 2 para Security y Availability. Trabajamos en AWS con GitHub Actions. Para cada criterio, nombra el artefacto que recoger, quién lo responsabiliza y con qué frecuencia debe renovarse.
Lo que deberías obtener Se dirige a soc2-agent, cuya sección de evidencias de auditoría organiza las evidencias por criterio. Espera una lista que puedes convertir en tickets. No certifica nada: solo un auditor puede emitir un informe SOC 2.
Úsalo cuando un tratamiento puede entrañar un alto riesgo para las personas, por ejemplo la vigilancia sistemática de empleados o el perfilado.
En tu asistente de IA
Shield, realiza una EIPD para la cámara de detección de fatiga que estamos instalando en nuestras furgonetas de reparto. Graba el rostro del conductor de forma continua, calcula una puntuación de fatiga en el dispositivo y solo sube la puntuación y una marca de tiempo al panel de la flota. Las imágenes permanecen 24 horas en el dispositivo. Pídeme lo que necesites para describir el tratamiento.
Lo que deberías obtener El workflow dpia-sentinel recorre los pasos del artículo 35 (umbral, descripción, necesidad y proporcionalidad, riesgos, mitigación, consulta al DPO, consulta previa) y produce un informe de nueve secciones: información del proyecto, evaluación del umbral, descripción del tratamiento, necesidad y proporcionalidad, riesgos para los interesados, medidas de mitigación, opinión del DPO, conclusión y firma. Las secciones 7 (opinión del DPO) y 9 (firma) se dejan para que las rellenen las personas concernidas.
Reaccionar ante una brecha de datos (breach-sentinel)#
Úsalo en cuanto sospeches una brecha: la cuenta atrás de 72 horas del artículo 33 empieza cuando tienes conocimiento de ella.
En tu asistente de IA
Shield, hemos tenido una brecha de datos. Un CSV exportado de clientes (nombres, correos, historial de pedidos, unas 4.200 personas en la UE) se envió esta mañana a las 09:40 a una dirección externa equivocada. Guíame durante las primeras horas y redacta la notificación a la autoridad.
Lo que deberías obtener El workflow breach-sentinel sigue una cronología: detección y evaluación inicial (primeras horas), clasificación de gravedad, notificación a la autoridad antes de las 72 horas con los cuatro elementos del artículo 33(3), aviso a los interesados si la gravedad lo exige, y después documentación y lecciones aprendidas. Los borradores deben revisarlos tu DPO o tu abogado antes de enviar nada.
Úsalo primero, antes de decidir qué obligaciones se aplican. Continúa con los workflows de roles y FRIA si el resultado es alto riesgo.
En tu asistente de IA
Shield, clasifica mi sistema de IA según la AI Act. Ordena candidatos para una agencia de empleo a partir de CV y un cuestionario corto. Lo desarrollamos nosotros y lo vendemos a agencias de Francia y Alemania.
Lo que deberías obtener El workflow ai-act-classifier identifica el sistema, comprueba las prácticas prohibidas del artículo 5, luego el estatus de alto riesgo por el artículo 6 y el anexo III, luego riesgo limitado y mínimo, y devuelve un informe de clasificación con el razonamiento, las obligaciones aplicables y los siguientes pasos recomendados. Que un caso sea de alto riesgo es una conclusión jurídica: haz que la confirmen.
Construir un caso de aseguramiento ligado a un commit#
Úsalo para una versión que tendrás que defender ante un auditor. Ejecuta los comandos desde un árbol de trabajo limpio, en el commit en cuestión.
En tu asistente de IA
Shield, construye un caso de aseguramiento de seguridad para la versión 2.3 de nuestra API móvil. Afirmaciones: el análisis de la imagen de contenedor no informa de ninguna vulnerabilidad crítica, la API rechaza versiones de TLS inferiores a 1.2 y la copia de seguridad de anoche se restaura en una base de datos vacía. Para cada afirmación, elige un comando que falle cuando la afirmación sea falsa; después ejecuta y verifica el caso y dime qué afirmaciones están respaldadas.
Lo que deberías obtener El archivo del caso _bmad/assurance/<id>.yaml se crea con bmad-plus assurance init, bmad-plus assurance run ejecuta cada comando declarado sin shell y añade el resultado a un libro con encadenado de hashes, y bmad-plus assurance verify clasifica cada afirmación como respaldada o sin respaldo, juzgando la comprobación que la sustenta como superada, fallida, obsoleta o ausente. Define BMAD_PLUS_ASSURANCE_KEY (32 caracteres o más) y conserva la cabeza del libro que da run para que las ediciones deliberadas sean detectables. El veredicto dice qué son las evidencias; no es una certificación.
Registrar las herramientas de IA que usa el proyecto#
Úsalo cuando debas responder qué herramientas de IA ven tus datos y con qué base legal.
En tu asistente de IA
Shield, este trimestre hemos añadido un plugin de asistente de código, un servidor MCP de chatbot de soporte y una API de OCR. Crea el registro de tratamientos de IA, anota estas tres herramientas y pregúntame de cada una los datos que ve, la base legal, la conservación y cualquier transferencia fuera de la UE. Después comprueba el registro y dime qué integraciones encontró la comprobación que yo no haya citado.
Lo que deberías obtenerbmad-plus ai-register init crea _bmad/ai-processing-register.yaml a partir de la plantilla de Shield; bmad-plus ai-register check imprime después la fecha de revisión y cuántas integraciones de IA están registradas, con un aviso por cada una sin registrar (adaptadores de BMAD+, carpetas de herramientas, servidores MCP). La comprobación es una puerta blanda: los avisos no la hacen fallar y bmad-plus doctor informa de lo mismo.
Ni Python, ni clave de API, ni herramientas adicionales: Shield son instrucciones más comandos de la CLI. Tu herramienta de IA aporta el modelo.
Un flujo fuera de la máquina atañe a los comandos de evidencia y pertenece a la CLI bmad-plus, no al pack: assurance-checks. El comando assurance existe sin Shield (el pack aporta el procedimiento y las plantillas). bmad-plus assurance run ejecuta los comandos escritos en el caso, con la misma confianza que los scripts del proyecto, así que una comprobación puede acceder a la red si su comando lo hace. Lee un caso escrito por otra persona antes de ejecutarlo. La clave BMAD_PLUS_ASSURANCE_KEY se queda en el entorno y nunca se pasa a una comprobación.
Lo que pegues en una conversación con Shield (código, flujos de datos, detalles de incidentes) va al modelo de tu herramienta de IA como cualquier otro prompt. No pegues datos personales reales en una petición de auditoría.
Los especialistas son prompts de experto apoyados en archivos de referencia. Su contenido regulatorio puede estar desfasado, y una afirmación respaldada en un caso de aseguramiento solo significa que una comprobación concreta pasó en un commit. Trata cada salida como un borrador para una persona cualificada.
Consejo· Instalar el pack
--packs admite una lista de identificadores de packs separados por comas: npx bmad-plus install --packs core,shield. Core siempre se incluye y all instala todos los packs.
Nota· Límites del libro de registro
Sin BMAD_PLUS_ASSURANCE_KEY y sin un --ledger-head conservado, la cadena de hashes solo muestra ediciones accidentales o descuidadas: quien pueda escribir en el libro puede añadir un registro que verifica. Indica qué protección se aplicó al presentar el resultado.
Nota· Procedencia
Los agentes especialistas están adaptados de una colección de código abierto con licencia MIT de habilidades GRC, y los workflows de RGPD y AI Act se enriquecieron con ideas de un catálogo de habilidades profesionales. Los avisos están en THIRD-PARTY-LICENSES.md del paquete.