CMMC y NIST 800-171: Lo que los Fabricantes de Defensa Necesitan de la Inspección con AI

El reloj ya corre para los fabricantes de defensa. CMMC 2.0 se formalizó en el DFARS en noviembre de 2025, lo que lo transformó de una política en camino a un requisito contractual exigible. La siguiente fecha que importa es el 10 de noviembre de 2026, el hito de la Fase 2, cuando las evaluaciones obligatorias por parte de un tercero se convierten en el estándar para los contratos de Level 2 que involucran Controlled Unclassified Information. Para la mayoría del trabajo de Level 2, la era de la autocertificación termina ahí.

Ese cambio modifica cómo debe pensar en cada sistema que toca CUI, incluidas las herramientas de visión AI en sus líneas de inspección. Las imágenes, los modelos y los registros que crea un sistema de inspección pueden contener Controlled Unclassified Information, y el lugar donde residen esos datos decide cuánto de su operación tiene que evaluar un evaluador. La arquitectura, en otras palabras, es ahora una cuestión de cumplimiento.

Lo que CMMC Level 2 le Exige

La Cybersecurity Maturity Model Certification es el marco del Departamento de Defensa para proteger la información controlada en toda la base industrial de defensa. Level 2 es el nivel que aplica a los contratistas que manejan CUI, y se alinea con NIST SP 800-171 y sus 110 controles de seguridad. Esos controles abarcan el control de acceso, la auditoría y la responsabilidad, la gestión de configuración, la integridad de sistemas e información, y más.

Después del 10 de noviembre de 2026, demostrar el cumplimiento de Level 2 generalmente significa una evaluación por parte de un tercero realizada por una Certified Third-Party Assessment Organization, un C3PAO, en lugar de una autocertificación. Prepararse de forma realista lleva de 6 a 12 meses. Usted define su alcance, traza su perímetro de seguridad, ejecuta una evaluación de brechas frente a los 110 controles, redacta un System Security Plan y trabaja en la remediación. Cuantos menos sistemas y flujos de datos incluya en ese perímetro, menos habrá que evaluar y defender.

Por Qué los Datos de Inspección Pertenecen Dentro de su Perímetro

Es fácil pasar por alto los sistemas de inspección al mapear la CUI, pero generan exactamente el tipo de datos que le importan a CMMC. Las imágenes que una cámara captura de una pieza controlada, el modelo entrenado que codifica cómo debe verse esa pieza y los registros de inspección que conserva pueden contener todos Controlled Unclassified Information. Si lo hacen, cada sistema que los almacena o procesa queda dentro de su perímetro de evaluación.

Aquí es donde una herramienta de inspección basada en la nube juega en su contra. Enviar imágenes fuera de las instalaciones para entrenamiento o procesamiento agrega sistemas externos, nuevos flujos de datos y conexiones de terceros que un evaluador tiene que revisar frente a los 110 controles. Cada adición amplía su perímetro y su superficie de ataque. Mantener la inspección en las instalaciones y en el edge hace lo contrario: la CUI permanece dentro del perímetro que ya gestiona, por lo que hay menos que incluir en el alcance.

Nube vs. Edge para el Alcance de CMMC

Cómo la Arquitectura en el Edge Respalda su Programa

Overview.ai ejecuta cada paso de la inspección en la propia cámara. Cada unidad tiene un GPU NVIDIA integrado en el edge, por lo que la captura de imágenes, la inferencia de AI y el entrenamiento de modelos ocurren todos en el dispositivo. Nada se sube a una nube compartida, el sistema puede funcionar con air-gap en una red de producción aislada, y la interfaz es un navegador servido localmente dentro de su red. No hay acceso de terceros a los datos.

Para un programa de CMMC Level 2, esa arquitectura mantiene la CUI de inspección dentro del perímetro que ya controla, lo que respalda sus controles de NIST 800-171 en lugar de complicarlos. Las líneas de defensa también se benefician de la seguridad en el dispositivo en la capa de tecnología operativa. Nuestra descripción general sobre la AI en el edge y la seguridad OT explica cómo mantener la inferencia local reduce la superficie de ataque de ciberseguridad, y nuestra guía sobre la inspección de visión AI conforme a ITAR recorre el mismo enfoque centrado en el edge para los datos técnicos sujetos a control de exportación.

Cómo Construir su Caso de Cumplimiento

La posición más sólida de cara a una evaluación de un C3PAO es aquella en la que la CUI nunca tuvo la oportunidad de salir de su perímetro en primer lugar. Una arquitectura de inspección exclusivamente en el edge le da eso de forma predeterminada, en lugar de depender de políticas de nube y acuerdos de manejo de datos para mantener la información controlada dentro de los límites. Es un caso más simple de documentar en su System Security Plan, y un caso más simple de defender en una evaluación.

Si está definiendo el alcance de la visión AI para una línea de Level 2 antes del 10 de noviembre de 2026, comience por mapear dónde residirían sus datos de inspección en cada paso. Con Overview.ai, la respuesta es la misma en cada paso: dentro de sus instalaciones, dentro de su perímetro.