Saltar a contenido

Visión general#

Trazo («del relato al proceso») convierte entrevistas grabadas y documentos en procesos documentados con apoyo de inteligencia artificial y revisión humana obligatoria. Toda la plataforma corre en la máquina virtual del Ministerio; la nube se usa solo para dos cosas que no pueden correr en 4 vCPU: la inferencia de los modelos de lenguaje (Amazon Bedrock) y la transcripción (Amazon Transcribe), ambas en la cuenta AWS institucional.

Despliegue#

Cinco contenedores orquestados con Docker Compose: tres de imágenes propias (web, api y worker) y dos de terceros (postgres y clamav). La cola de trabajos vive en PostgreSQL, sin Redis ni otros servicios.

Arquitectura de despliegue de TrazoLos usuarios entran por HTTPS al contenedor web dentro de la máquina virtual del Ministerio. web reenvía /api al contenedor api, que usa PostgreSQL y valida el inicio de sesión con el proveedor de identidad institucional. El worker toma los trabajos de la cola en PostgreSQL, analiza los archivos con ClamAV, envía las notificaciones por el correo institucional y usa en la cuenta AWS del Ministerio Amazon Bedrock para la inferencia y Amazon Transcribe con un bucket S3 temporal para la transcripción. Todos los datos permanentes quedan en los volúmenes de la máquina virtual: db, datos, tls y clamav.MÁQUINA VIRTUAL DEL MINISTERIOLinux x86_64 · Docker Compose · 4 vCPU · 8 GB · 500 GBSERVICIOS INSTITUCIONALESCUENTA AWS DEL MINISTERIOregión y modelos autorizadosUsuariosnavegadorred internao VPNwebNginx + interfaz ReactTLS 1.2 o 1.3apiFastAPI · Python 3.12SSO · SCIM · licenciapostgres 16datos y cola de trabajossin otros serviciosworkercola de trabajos:antivirus y extraccióntranscripciónenmascaramiento e IAexportación y correoclamavantivirus de los archivosVOLÚMENES · TODOS LOS DATOS PERMANENTESdbpostgresdatosapi y workertlswebclamavfirmasProveedor de identidadEntra ID o Active DirectoryOIDC · SAML 2.0 · LDAPSCorreo institucionalrelay SMTP o API de correoAmazon Bedrockinferencia de modelosrecibe texto enmascaradoAmazon Transcribevoz a texto en españollee el audio del S3 temporalS3 temporalaudio mientras se transcribeborrado al terminar · 24 hHTTPS 443/apiSQL 5432cola3310443 · 636587HTTPS 443Contenedores de TrazoComponentes de tercerosServicios de AWSLímite de confianza
Despliegue. Cinco contenedores en la máquina virtual del Ministerio; lo permanente queda en sus volúmenes. Fuera de la VM solo hay salidas HTTPS hacia el proveedor de identidad, el correo institucional y los servicios autorizados de la cuenta AWS del Ministerio.

Flujo de un proceso#

Flujo de un proceso, del relato al procesoSiete pasos: 1 carga de insumos con antivirus; 2 texto por extracción local o por transcripción en Amazon Transcribe con S3 temporal; 3 enmascaramiento local de datos personales; 4 generación en Amazon Bedrock con los insumos enmascarados y las instrucciones versionadas; 5 validación local del esquema, las citas y el BPMN; 6 revisión humana con estados de borrador IA, en revisión, revisado y validado; 7 exportación en formatos abiertos. Solo los pasos 2 y 4 usan la cuenta AWS del Ministerio.EN LA MÁQUINA VIRTUAL DEL MINISTERIOEN LA CUENTA AWS DEL MINISTERIO1. Cargaraudio y video,documentos,imágenes y notascon antivirus2. Textodocumentos:lectura local;audio:transcripción3. EnmascararRUT, teléfonos,correos ynombres, en lamáquina local4. Generarinsumosenmascaradose instruccionesversionadas5. Validaresquema JSON,citas contra eloriginal y BPMN2.0 con DI6. Revisarborrador IA→ en revisión→ revisado→ validado7. ExportarBPMN, SVG, PNG,DOCX, MD, PDF,CSV y XLSXAmazon Transcribey S3 temporalAmazon Bedrockmodelo autorizadoaudiotextosolicitudborrador JSON
Del relato al proceso. Solo la transcripción (paso 2) y la generación (paso 4) usan la nube, con datos ya enmascarados; la validación y la revisión humana ocurren en la VM y todo queda como borrador hasta que una persona lo valida.
  1. Captura: se crea el proceso en su área y se cargan los insumos (audio, video, DOCX, PDF, XLSX, imágenes o notas). ClamAV analiza cada archivo antes de usarlo (RO-22). Los documentos se extraen localmente; el audio se transcribe en Transcribe y el objeto temporal se borra al terminar (RO-16).
  2. Enmascaramiento: antes de cualquier llamada a la IA, el texto se enmascara localmente (RUT, teléfonos, correos y nombres de terceros, RD-13) con reglas y un modelo de lenguaje pequeño que corre en la VM.
  3. Generación: con el aviso aceptado (RO-07), el worker envía los insumos enmascarados y las instrucciones versionadas a Bedrock y recibe un borrador estructurado: diagrama BPMN 2.0 con carriles, documento descriptivo, matriz RACI, tabla SIPOC y matriz de registros. Cada actividad cita el fragmento del insumo que la sustenta y Trazo verifica la cita contra el texto original (RD-12).
  4. Revisión humana: el editor BPMN, el documento y las matrices muestran todo como «borrador generado con IA» hasta que una persona lo valida elemento por elemento; cada cambio crea una versión inmutable (RO-06, RO-08) y los estados de revisión quedan con quién y cuándo (RD-15).
  5. Exportación: BPMN XML, SVG y PNG; DOCX sobre plantilla institucional, Markdown y PDF; CSV y XLSX (RO-20, RD-14, RD-17), en cualquier momento, también con la licencia vencida (RO-19, RD-11).

Principios#

  • Nada permanente fuera de la VM (RO-14); a la nube va solo lo necesario para cada solicitud (RO-15).
  • Lo generado con IA es un borrador hasta que una persona lo valida; no hay decisiones automatizadas sobre personas.
  • El contenido de los insumos es dato, nunca instrucción: hay pruebas automáticas de inyección y exfiltración.
  • Todo queda en la bitácora: accesos, modificaciones, eliminaciones, invocaciones a la IA con usuario, modelo, tokens y costo (RO-08, RO-09).