Cuenta AWS institucional

Trazo usa dos servicios gestionados de la cuenta AWS del Ministerio, en la región y con los modelos que el Ministerio autorice por escrito (numeral 2.12 a): Amazon Bedrock para la inferencia y Amazon Transcribe para la transcripción, con un bucket S3 temporal que se vacía al terminar cada trabajo y cuya regla de ciclo de vida elimina cualquier residuo en 24 horas (RO-16).

La carpeta infra-cliente/ del paquete trae la plantilla de OpenTofu (compatible con Terraform) que crea solo eso: el bucket temporal con acceso público bloqueado y cifrado, la política IAM de mínimo privilegio y, opcionalmente, un usuario IAM para la máquina virtual.

cd infra-cliente
tofu init
tofu apply -var 'region=us-east-1' -var 'modelos_autorizados=["us.anthropic.claude-sonnet-4-6"]'

La política permite únicamente bedrock:InvokeModel* y bedrock:Converse* sobre los perfiles de inferencia autorizados, transcribe:StartTranscriptionJob, GetTranscriptionJob y DeleteTranscriptionJob, y s3:PutObject, GetObject, DeleteObject y ListBucket sobre el bucket temporal. Nada más de la cuenta.

El Ministerio activa además, a nivel de organización, la política de exclusión del uso de contenido por los servicios de IA (AI services opt-out, numeral 2.16). Bedrock no entrena modelos con las solicitudes de los clientes ni las conserva.