@ingeniomaps/cauce 0.70.0 → 0.72.0

package/CHANGELOG.md

@@ -14,6 +14,184 @@ desde este repositorio no va, porque el que lee no puede actuar sobre eso. Cuand
 unas pocas líneas casi siempre es porque cuenta cómo se descubrió el problema o por qué se eligió el
 diseño — eso vive en el commit y en el código.
 
+## [0.72.0] - 2026-09-09
+
+### Corregido
+
+- **Una fuente que el cargo no pudo abrir se declara en `pending:`, y el ciclo avisa cuando vuelve a
+  servir.** Antes eso terminaba en un comentario del propio `sources.yaml` —cinco cargos lo escribían
+  así, y uno dejó un «registrar cuando exista una ficha legible» que nadie iba a revisar—. Ahora es una
+  lista con `name`, `why` y `since`, y `url` cuando hay una candidata; el chequeo semanal reporta **sólo
+  la que volvió a servir el documento**, porque una que sigue cerrada es lo esperado.
+
+  No alcanza con que el host conteste: se pide que la página traiga la marca del documento, el primer
+  número del nombre. Un sitio grande devuelve cientos de palabras de navegación sin una línea de la
+  norma, y así fue como la primera versión de esto dio por recuperada una ficha de IEEE que seguía
+  siendo una cáscara.
+
+  **Lo que te pide algo**: si tenías pendientes anotadas como comentario en un cargo propio, moverlas a
+  `pending:` es lo que hace que alguien se entere cuando la URL empiece a funcionar.
+
+- **La fase `Pick` de `autobuild` deja de prometer una expansión que ya no existe.** Su descripción
+  —lo único del recorrido que se lee **antes** de autorizar la corrida— seguía diciendo «o la épica que
+  falta expandir» después de que la promoción de épicas se quitara. Lo que el recorrido hace hoy es
+  tomar la próxima tarea del hito y reservarla.
+
+- **Un merge a `main` ya no le quita la corrida de CI al merge anterior.** Todos los pushes a `main`
+  compartían grupo de concurrencia, y sólo una corrida puede estar pendiente por grupo: la que llega
+  desaloja a la que esperaba. En una tanda de merges sobrevivían la primera y la última y morían todas
+  las del medio — el 2026-09-08, quince corridas. No lo causaba `cancel-in-progress`, que ya estaba
+  apagado en `main` y funciona: la corrida **en curso** sobrevivió cada vez. Ahora cada commit de `main`
+  tiene su propio grupo, así que ninguna espera detrás de otra.
+
+  **Lo que te pide algo**: si mergeás varios PR seguidos, ahora corre la suite completa una vez por
+  merge en vez de una por tanda. Lo que se compra es saber cuál rompió `main` sin bisect.
+
+- **`agent evaluate` deja de anunciar que el contrato cambió hoy cuando no cambió.** La fecha sale de
+  `git log` sobre el `SKILL.md` del cargo, y un checkout de un solo commit —el que hace `actions/checkout`
+  por defecto— no tiene con qué contestarla: git le atribuye el árbol entero a ese commit, así que
+  **todos** los contratos parecían haber cambiado el día de la corrida. En un repositorio truncado el
+  aviso ahora dice que no se puede saber, en vez de inventar una fecha, y el job que evalúa se lleva la
+  historia completa para que sí se pueda.
+
+  **Lo que te pide algo**: si corrés `agent evaluate` en un pipeline con clon superficial, vas a ver el
+  aviso nuevo. Se destraba con `fetch-depth: 0` en el checkout; sin eso el chequeo no puede correr y
+  decirlo es la mitad del arreglo.
+
+### Cambiado
+
+- **El README del catálogo dice qué calibra un caso de evaluación recién escrito.** El rojo de su primera
+  corrida prueba que puede fallar, no que falle por lo que dice medir: eso lo prueba una corrida donde se
+  rompa a propósito la conducta que cuida. Es lo que R9 ya pedía para una prueba, dicho donde se leen los
+  veredictos.
+
+## [0.71.0] - 2026-09-09
+
+### Cambiado
+
+- **`planning/PROTOCOL.md` pide contrastar la línea de una tarea contra su propia descripción.** La línea
+  declara cuatro cosas —qué hace, en qué carril, quién entrega y revisa, con qué se comprueba— y las
+  cuatro las escribe la misma mano en el mismo acto, así que nada las cruzaba después. Releerlas no
+  encuentra el hueco: una aceptación incompleta se lee perfecta porque todo lo que dice es cierto.
+
+  La pasada vive al escribir la tarea y no en una fase, y la razón es que cualquier fase donde viviera es
+  una que el carril puede saltar — una tarea mal marcada `express` es justamente la que se salta la fase
+  donde alguien lo notaría.
+
+  **Lo que te pide algo**: cuesta minutos por tarea al promover un hito. En el caso que originó esto, seis
+  correcciones sobre cinco tareas, todas antes de escribir una línea de código.
+
+### Corregido
+
+- **`autobuild` comprueba su raíz en la primera fase, y lo dice nombrándola.** `ROOT` viaja escrito en
+  el workflow y es relativo a la carpeta donde se abre la herramienta: si la sesión abrió en otra, todas
+  las rutas resuelven a `<raíz>/<raíz>/…` y ninguna existe. Nada lo comprobaba, así que la corrida
+  gastaba Triage entero sobre archivos ausentes y paraba más abajo mandando a revisar el planning — que
+  está bien; lo que no existe es la carpeta de la que cuelga.
+
+- **`learning/HISTORY.md` dice lo mismo en los 53 cargos, y su fila entra en una tabla.** El encabezado
+  tenía trece redacciones distintas y nueve contradecían la tabla que llevan debajo —«registrar únicamente
+  cambios aprobados», cuando la columna se llama «Decisión» y hay dos—. Y dieciséis archivos no tenían
+  tabla: la fila que escribe el ciclo quedaba pegada al párrafo, que en markdown es texto con barras.
+
+  Los tres cargos con una exigencia propia —país, jurisdicción, revisión de Legal— la conservan como línea
+  aparte. Ninguna se cumplía, y aun así no se borraron: dos son de cargos regulatorios.
+
+- **`autobuild` ya no promueve épicas: nombra la que sigue y para.** Cuando se le acababa la cola,
+  expandía la próxima épica del roadmap al BACKLOG. El roadmap llama `open` a «candidata editable que aún
+  no fue promovida al backlog», así que pegarla en la cola es promoverla — y BR-OPS-002 deja una propuesta
+  fuera de la cola hasta que la apruebe una persona. El prompt pedía «la próxima épica abierta y
+  aprobada», y «aprobada» no correspondía a ningún dato: una épica declara `epic`, `title`, `status` y
+  `service`, y ninguno registra una aprobación.
+
+  Ahora `ops context` nombra la próxima épica sin promover —`EPIC 003: … — sin promover`, y el campo
+  `nextEpic` en `--json`— igual que ya nombraba una recurrencia vencida, y por el mismo motivo: la máquina
+  calcula, la persona encola.
+
+  **Lo que te pide algo**: si usabas `autobuild` desatendido esperando que encadenara épicas, ahora se
+  detiene al terminar el hito y hay que pegar el siguiente en `BACKLOG.md`. `context` te dice cuál es.
+
+- **El chequeo semanal de fuentes mira también `references/` y `SKILL.md`, y deja de dar por rotas las
+  páginas sanas.** Miraba sólo `sources.yaml`: las 207 URLs que un cargo cita en su método no las
+  comprobaba nadie, y 29 no servían —dos de ellas 404 de páginas movidas hacía meses—. `evaluations/`
+  queda afuera a propósito: un caso adversarial inventa dominios y comprobarlos mide el fixture.
+
+  Y el chequeo se equivocaba en las dos direcciones sobre lo que sí miraba. Se identificaba como
+  `cauce-learning/1.0`, que no es con lo que el cargo lee: las tres páginas de `ftc.gov` del catálogo dan
+  403 a ese `User-Agent` y 200 con miles de palabras a uno de navegador. Y veinte segundos no alcanzan
+  para un PDF grande —el instrumento de la OCDE que cita `sales-representative` llega pasados los
+  treinta—. Ahora lo que falla se reintenta una vez, con más tiempo y como navegador, y el resumen dice
+  cuántas lo necesitaron: que un dominio nos rechace es un dato suyo y se pierde si el reintento lo tapa.
+
+  El aviso nombra además el archivo donde está escrita cada URL, porque eso decide quién la arregla.
+
+- **Las URLs rotas del catálogo se arreglaron, no sólo se reportaron.** Veintitrés reemplazos
+  comprobados uno por uno. Casi ninguna estaba muerta: cuando un dominio bloquea suele haber otra forma
+  publicada del mismo documento —el PDF donde el HTML tiene Cloudflare (`acm.org`, los instrumentos de la
+  OCDE), otro sitio del mismo organismo (`oecd.ai`, `gov.uk`), o el feed que la propia CISA distribuye—.
+  Las cuatro que no tienen ninguna —`pmi.org`, `fatf-gafi.org`— se quedan como fuente y pierden el enlace
+  en `references/`, conservando el nombre: un 403 ahí sólo le hace perder un clic a quien lee.
+
+- **Las normas ISO del catálogo se citan por una ficha que se puede leer.** `www.iso.org` devuelve 403,
+  y 41 entradas de 22 cargos apuntaban ahí: para todas ellas la investigación semanal producía el mismo
+  informe «sin novedades» que produciría una norma que no cambió. Ahora una ISO/IEC se cita por su ficha
+  del IEC Webstore y una ISO sola por la de `committee.iso.org`, que sirve el mismo número de catálogo.
+
+  La edición pasó al nombre de las ISO/IEC —`ISO IEC 25010:2023 product quality model`— porque la ficha
+  del webstore es de una edición concreta: buscar «ISO/IEC 25010» ahí devuelve primero la de 2011.
+  Cada ficha se comprobó contra su `<title>` antes de anotarla, y `cloud-architect` pasó a declarar la
+  edición 2 de ISO/IEC 27017, publicada el 2026-07-27 — su modelo operativo decía «no tratarla como
+  publicada» y eso dejó de ser cierto. Los `references/` de esos cargos enlazaban las mismas normas a las
+  mismas URLs muertas y también se cambiaron: 40 enlaces en 22 archivos.
+
+  **Lo que te pide algo**: si forkeaste alguno de esos 22 cargos, tu copia sigue con las URLs viejas y
+  `check` te avisa que el original cambió río arriba. Vale traerlas: las viejas no responden.
+
+- **El ciclo semanal comprueba que las fuentes declaradas de un cargo respondan, y anota las que no.** Una
+  fuente ilegible y una que no cambió producían el mismo informe —«sin novedades»— y no son lo mismo: la
+  primera no se comprobó. Ahora el resumen del job dice cuántas fuentes declara el cargo y cuáles no
+  respondieron, con su código, y sale una anotación cuando hay alguna. Avisa y no falla: un 403 de una
+  semana puede ser temporal, y lo que decide una cadencia es el patrón sostenido.
+
+  Mide además **el texto que la página trae**, no sólo que responda: por debajo de 50 palabras fuera de
+  etiquetas se reporta igual que un 403, porque una aplicación renderizada por cliente devuelve su título y
+  poco más. El umbral sale de medir las 255 fuentes del catálogo — catorce caen debajo y sólo dos entre 50
+  y 200, así que no parte ningún grupo. Y un `202` se reporta aparte: es «aceptado, vuelve más tarde», que
+  es lo que contestan las seis normas europeas que el catálogo cita.
+
+- **El lector de fuentes era ciego para uno de los dos formatos del catálogo.** `sources.yaml` admite la
+  entrada repartida en varias líneas y la escrita en una sola, y sólo se leía la primera: en los seis
+  cargos que usan la segunda se veían **cero** fuentes. De ahí sale la validación que rechaza una URL
+  declarada dos veces con nombres distintos, así que esos seis nunca la tuvieron — y no fallaba nada,
+  porque no encontrar duplicados y no mirar producen el mismo silencio.
+
+- **Archivar una propuesta ahora deja quién lo decidió y cuándo.** Antes quedaba con «Responsable: por
+  definir» y ninguna fila en `learning/HISTORY.md`, así que una propuesta que alguien miró y descartó se
+  leía igual que una que nadie tocó. El responsable sale de `CAUCE_OWNER` o de `git config user.email` —la
+  misma identidad con la que se reclama una tarea— y la fila usa la columna «Decisión» que la tabla ya
+  tenía, con el valor `archivada`.
+
+- **`ops context` y `ops tree` sobre un planning que no existe ahora fallan, en vez de contestar como una
+  cola terminada.** Antes devolvían `queued: 0` con código 0, así que una ruta equivocada se propagaba
+  como dato y no como error. Ahora salen con código 2 y nombran la **ruta resuelta**, que es la que hace
+  falta para ver el problema: en `sidecar`, `<empresa>-ops/planning` escrito desde adentro de la raíz
+  apunta a `<empresa>-ops/<empresa>-ops/planning`, y las dos formas se ven razonables.
+
+  **Lo que te pide algo**: si tenías un script que trataba la salida vacía como «nada que hacer», ahora
+  recibe un error. Es deliberado y va en la misma dirección que el cambio de código de salida de
+  `upgrade` en 0.67.0 — un comando que no pudo leer no responde como si hubiera leído.
+
+- **`autobuild` no expande una épica sobre una lectura que falló.** La fase Pick tomaba «sin tarea y cola
+  en cero» como permiso para promover la próxima épica al BACKLOG, y ese es exactamente el estado que
+  devolvía un planning ilegible. Una corrida real escribió seis historias que ninguna persona aprobó
+  —lo que BR-OPS-002 prohíbe— y el `check` posterior dio verde, porque once tareas en cola es un estado
+  válido.
+
+  El arreglo del CLI no alcanzaba solo: el esquema se completa igual, y ceros es lo que un modelo escribe
+  cuando no tiene qué poner. Así que el informe de estado ahora declara si de verdad leyó, y expandir
+  exige esa lectura afirmada en vez de la ausencia de tarea. Parar cuesta una corrida; promover escribe en
+  el repositorio.
+
 ## [0.70.0] - 2026-09-08
 
 ### Agregado

package/agents/README.md

@@ -25,6 +25,73 @@ mejor que repetirla en cada instalación.
 Por eso `learn` falla si lo corrés sobre un cargo del catálogo dentro de una instancia: escribiría en el
 paquete y se perdería. El ciclo de aprendizaje de esos cargos tampoco se distribuye.
 
+## Las URLs que un cargo cita
+
+Un cargo cita URLs en dos lugares y los dos se comprueban cada semana: `sources.yaml`, que es lo que
+investiga, y `references/` más `SKILL.md`, que es el método que sigue. Las de `evaluations/` **no** —los
+casos adversariales inventan dominios a propósito—, y las de `learning/reports` tampoco, porque son
+evidencia fechada de lo que una corrida encontró.
+
+Cuando una responde 403, casi nunca está muerta. Tres cosas que conviene probar antes de darla por
+perdida, todas encontradas midiendo el catálogo:
+
+- **El documento en vez de la página.** Cloudflare protege el HTML y no el PDF: `acm.org/code-of-ethics`
+  bloquea y `acm.org/binaries/.../acm-code-of-ethics-booklet.pdf` no; lo mismo con los instrumentos de la
+  OCDE, que se leen enteros bajo `legalinstruments.oecd.org/public/doc/<n>/<n>.en.pdf`.
+- **Otro sitio del mismo organismo.** `oecd.org/en/topics/ai-principles.html` bloquea y `oecd.ai` no;
+  `projectdelivery.gov.uk` bloquea y la misma norma está publicada en `gov.uk`.
+- **La forma publicada del dato.** El catálogo KEV de CISA bloquea en HTML y su feed JSON, que la propia
+  CISA distribuye, no.
+
+Si aun así no hay ninguna que responda —`pmi.org`, `fatf-gafi.org`—, la fuente **se queda en
+`sources.yaml`**, porque sigue siendo lo que la profesión publica y el chequeo semanal tiene algo que
+decir sobre ella; lo que sale es el enlace en `references/`, donde un 403 sólo le hace perder un clic a
+quien lee. El nombre se conserva.
+
+### Lo que no se pudo abrir va en `pending:`, no en un comentario
+
+Una fuente que el cargo necesita y no pudo verificar no es una fuente: `require_primary_source` exige
+una ficha comprobada, no un número de norma. Pero tampoco es nada, y hasta 0.72.0 terminaba en un
+comentario del propio archivo — cinco cargos lo escribían así, y uno dejó un «registrar cuando exista
+una ficha legible» que nadie iba a revisar.
+
+```yaml
+pending:
+  - name: IEEE 1028 Software Reviews and Audits
+    url: https://standards.ieee.org/ieee/1028/4266/
+    why: responde 200 pero la ficha se arma con JavaScript y sirve el título genérico del sitio
+    since: 2026-08-22
+  - name: ISO IEC IEEE 24765 vocabulario de ingeniería de software
+    why: falta una URL primaria que responda
+    since: 2026-08-22
+```
+
+`url` es opcional, y ésa es la mitad del punto: muchas están pendientes **porque no hay ninguna URL que
+responda**, y exigirla dejaría fuera justo las que más cuestan. `why` y `since` no lo son — sin la razón
+la lista es un cementerio de enlaces, y sin la fecha no se ve que una lleva meses ahí.
+
+El chequeo semanal las prueba y reporta **sólo la que volvió a servir el documento**: «ya se puede
+declarar». Una que sigue sin abrir es lo esperado y no se anuncia, porque un aviso que sale siempre es
+el que enseña a ignorar el resto. Y no alcanza con que el host conteste: se pide además que la página
+traiga la marca del documento —el primer número del nombre—, porque un sitio grande devuelve cientos de
+palabras de navegación sin una línea de la norma. Eso pasó con la ficha de IEEE 1028 en la primera
+corrida de este chequeo.
+
+## Por qué las normas no se citan en `iso.org`
+
+`sources.yaml` cita cada norma por una ficha de catálogo, y para ISO esa ficha **no es la de
+`iso.org`**: ese dominio devuelve 403 a todo el catálogo —31 URLs, ninguna legible— y una fuente que no
+se puede abrir produce el mismo informe «sin novedades» que una que no cambió. Las dos que sí responden:
+
+- **`webstore.iec.ch/en/publication/<n>`** para una ISO/IEC, que los dos organismos co-publican.
+- **`committee.iso.org/standard/<n>.html`** para una ISO sola. Es el mismo número de catálogo que
+  llevaba la URL vieja, servido por un host que no bloquea.
+
+La diferencia entre las dos importa al escribir una entrada nueva: el número del IEC Webstore es
+**suyo** y nombra una edición concreta —buscar «ISO/IEC 25010» ahí devuelve primero la ficha de 2011,
+no la de 2023—, así que se comprueba contra el `<title>` de la ficha antes de anotarla. El de
+`committee.iso.org` es el mismo de ISO y no hay edición que equivocar.
+
 ## Quedarse con una versión propia
 
 ```bash
@@ -68,6 +135,12 @@ nada cambie. Por eso un rojo aislado no autoriza a concluir; y por eso repetir l
 número no es medir. Lo que distingue una varianza de un defecto es que el defecto se repite **por la
 misma razón**, no que se repita el rojo.
 
+Hay un cuarto que no es ninguno de los tres y sólo le pasa a un caso recién escrito: **el rojo de su
+primera corrida no lo calibra**. Prueba que el caso puede fallar, no que falle por lo que dice medir —
+es la misma distinción que R9 hace para una prueba, aplicada al caso. Lo que lo calibra es una corrida
+donde se rompa a propósito la conducta que el caso cuida, con el contrato puesto, y verlo ponerse rojo
+**por eso**. Hasta entonces su veredicto no sostiene una conclusión sobre el cargo.
+
 Lo que un rojo nunca significa es que el paquete venga fallado. El cargo es un contrato y el caso es la
 medición: que la medición encuentre algo es para lo que existe, y un cargo con un caso en rojo se sigue
 usando mientras se sepa por qué.

package/agents/roles/system/accounting-specialist/learning/HISTORY.md

@@ -1,4 +1,6 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|

package/agents/roles/system/ai-governance-lead/learning/HISTORY.md

@@ -1,3 +1,8 @@
 # Historial de aprendizaje
 
-Registrar fecha, propuesta, fuentes/versiones/estado, revisión humana/Legal, cambios aplicados, evaluaciones y responsable.
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
+Para este cargo, la fila dice además si hubo revisión de Legal.
+
+| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
+|---|---|---|---|---|

package/agents/roles/system/ai-governance-lead/learning/sources.yaml

@@ -13,12 +13,12 @@ sources:
     url: https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10
     tier: standard
     topics: [ai-risk, govern, map, measure, manage]
-  - name: ISO IEC 42001 AI management system
-    url: https://www.iso.org/standard/81230.html
+  - name: ISO IEC 42001:2023 AI management system
+    url: https://webstore.iec.ch/en/publication/90574
     tier: standard
     topics: [ai-governance, management-system, accountability, improvement]
-  - name: ISO IEC 42005 AI system impact assessment
-    url: https://www.iso.org/standard/44545.html
+  - name: ISO IEC 42005:2025 AI system impact assessment
+    url: https://webstore.iec.ch/en/publication/107659
     tier: standard
     topics: [impact-assessment, individuals, groups, society, lifecycle]
   - name: OECD AI Principles updated 2024

package/agents/roles/system/ai-governance-lead/references/operating-model.md

@@ -34,8 +34,8 @@ Mantener fuente primaria, instrumento, artículo/sección, jurisdicción, actor/
 ## Fundamento externo
 
 - [NIST AI RMF 1.0](https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10): marco voluntario y agnóstico con Govern, Map, Measure y Manage; NIST indica que está en revisión en 2026.
-- [ISO/IEC 42001:2023](https://www.iso.org/standard/81230.html): requisitos para establecer y mejorar un AI management system; certificación organizacional no aprueba cada sistema.
-- [ISO/IEC 42005:2025](https://www.iso.org/standard/44545.html): evaluación de impactos sobre individuos, grupos y sociedad durante el lifecycle.
+- [ISO/IEC 42001:2023](https://webstore.iec.ch/en/publication/90574): requisitos para establecer y mejorar un AI management system; certificación organizacional no aprueba cada sistema.
+- [ISO/IEC 42005:2025](https://webstore.iec.ch/en/publication/107659): evaluación de impactos sobre individuos, grupos y sociedad durante el lifecycle.
 - [OECD AI Principles](https://oecd.ai/en/ai-principles): principios intergubernamentales actualizados en mayo de 2024 sobre IA innovadora, trustworthy y respetuosa de derechos.
 - [EU AI Act — fuente oficial](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai): ejemplo jurisdiccional con obligaciones y calendario cambiante; verificar EUR-Lex, rol, alcance, modificaciones y fecha aplicable con Legal.
 

package/agents/roles/system/ai-product-manager/learning/HISTORY.md

@@ -1,3 +1,6 @@
 # Historial de aprendizaje
 
-Registrar fecha, propuesta, fuentes/versiones, evidencia, decisión humana, cambios, evaluaciones y responsable.
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
+| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
+|---|---|---|---|---|

package/agents/roles/system/ai-product-manager/learning/sources.yaml

@@ -11,7 +11,7 @@ rules:
 sources:
   - {name: NIST AI RMF 1.0 and status, url: "https://www.nist.gov/itl/ai-risk-management-framework", tier: standard, topics: [ai-risk, lifecycle, status, monitoring]}
   - {name: NIST Generative AI Profile AI 600-1, url: "https://www.nist.gov/itl/ai-risk-management-framework/ai-risk-management-framework-resources", tier: standard, topics: [generative-ai, risk, evaluation]}
-  - {name: ISO IEC 42001 AI management systems, url: "https://www.iso.org/standard/42001", tier: standard, topics: [ai-management, governance, improvement]}
-  - {name: OECD AI Principles, url: "https://www.oecd.org/en/topics/ai-principles.html", tier: standard, topics: [rights, transparency, robustness, accountability, sustainability]}
+  - {name: ISO IEC 42001:2023 AI management systems, url: "https://webstore.iec.ch/en/publication/90574", tier: standard, topics: [ai-management, governance, improvement]}
+  - {name: OECD AI Principles, url: "https://oecd.ai/en/ai-principles", tier: standard, topics: [rights, transparency, robustness, accountability, sustainability]}
   - {name: Anthropic API release notes, url: "https://docs.anthropic.com/en/release-notes/overview", tier: platform, topics: [modelos, parámetros, deprecaciones]}
   - {name: OpenAI API changelog, url: "https://platform.openai.com/docs/changelog", tier: platform, topics: [modelos, parámetros, deprecaciones]}

package/agents/roles/system/ai-product-manager/references/operating-model.md

@@ -30,7 +30,7 @@ Verificar outcome, evals, data rights, privacy, security, accessibility, transpa
 
 - [NIST AI RMF 1.0](https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10): marco voluntario y agnóstico al sector para gestionar riesgos durante el ciclo de vida; NIST indica que está en revisión.
 - [NIST AI 600-1 Generative AI Profile](https://www.nist.gov/itl/ai-risk-management-framework): perfil 2024 para riesgos y acciones específicos de IA generativa.
-- [ISO/IEC 42001:2023](https://www.iso.org/standard/42001): sistema de gestión para desarrollar y usar IA responsablemente con mejora continua.
-- [OECD AI Principles](https://www.oecd.org/en/topics/ai-principles.html): principios intergubernamentales centrados en derechos, actualizados en 2024 para IA general-purpose y generativa.
+- [ISO/IEC 42001:2023](https://webstore.iec.ch/en/publication/90574): sistema de gestión para desarrollar y usar IA responsablemente con mejora continua.
+- [OECD AI Principles](https://oecd.ai/en/ai-principles): principios intergubernamentales centrados en derechos, actualizados en 2024 para IA general-purpose y generativa.
 
 Estas fuentes no sustituyen investigación de usuarios, evaluación técnica, expertise de dominio, obligaciones aplicables ni autoridad empresarial.

package/agents/roles/system/analytics-engineer/learning/HISTORY.md

@@ -1,3 +1,6 @@
 # Historial de aprendizaje
 
-Registrar fecha, propuesta, fuentes/versiones, evidencia, decisión humana, cambios, evaluaciones y responsable.
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
+| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
+|---|---|---|---|---|

package/agents/roles/system/analytics-engineer/learning/sources.yaml

@@ -9,8 +9,8 @@ rules:
 # El contexto de la empresa no es una fuente de la profesión: vive en
 # organization/roles/analytics-engineer.md dentro de cada instalación.
 sources:
-  - {name: ISO IEC 25012 data quality model, url: "https://www.iso.org/standard/35736.html", tier: standard, topics: [data-quality, measures, evaluation]}
-  - {name: ISO 8000-61 data quality management, url: "https://www.iso.org/standard/63086.html", tier: standard, topics: [data-quality, process, maturity]}
+  - {name: ISO IEC 25012:2008 data quality model, url: "https://webstore.iec.ch/en/publication/11246", tier: standard, topics: [data-quality, measures, evaluation]}
+  - {name: ISO 8000-61 data quality management, url: "https://committee.iso.org/standard/63086.html", tier: standard, topics: [data-quality, process, maturity]}
   - {name: W3C RDF Data Cube Vocabulary, url: "https://www.w3.org/TR/vocab-data-cube/", tier: standard, topics: [measures, dimensions, metadata]}
   - {name: W3C PROV-O, url: "https://www.w3.org/TR/prov-o/", tier: standard, topics: [provenance, lineage]}
   - {name: dbt Core upgrade notes, url: "https://docs.getdbt.com/docs/dbt-versions/core-upgrade", tier: platform, topics: [materializaciones, incremental, cambios incompatibles]}

package/agents/roles/system/analytics-engineer/references/operating-model.md

@@ -28,8 +28,8 @@ Definir unique key, watermark, late arrivals y equivalencia con full refresh. Un
 
 ## Fundamento externo
 
-- [ISO/IEC 25012:2008](https://www.iso.org/standard/35736.html): requisitos, medidas y evaluación de calidad de datos; confirmado vigente en 2025.
-- [ISO 8000-61:2016](https://www.iso.org/standard/63086.html): procesos para gestionar calidad y evaluar capacidad o madurez.
+- [ISO/IEC 25012:2008](https://webstore.iec.ch/en/publication/11246): requisitos, medidas y evaluación de calidad de datos; confirmado vigente en 2025.
+- [ISO 8000-61:2016](https://committee.iso.org/standard/63086.html): procesos para gestionar calidad y evaluar capacidad o madurez.
 - [W3C RDF Data Cube Vocabulary](https://www.w3.org/TR/vocab-data-cube/): observaciones, medidas, dimensiones y metadatos multidimensionales.
 - [W3C PROV-O](https://www.w3.org/TR/prov-o/): procedencia interoperable mediante entidades, actividades y agentes.
 

package/agents/roles/system/backend-engineer/learning/HISTORY.md

@@ -1,5 +1,7 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|
 | 2026-08-30 | `learning/proposals/2026-08.md` | Aprobada | @ingeniomaps (Manuel Pinzon) | Nada: el período se revisó y se decidió no cambiar ningún contrato. |

package/agents/roles/system/business-strategist/learning/HISTORY.md

@@ -1,4 +1,6 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|

package/agents/roles/system/business-strategist/learning/sources.yaml

@@ -18,7 +18,7 @@ sources:
     tier: regulation
     topics: [options, appraisal, costs, benefits, risk]
   - name: ISO 56002
-    url: https://www.iso.org/standard/68221.html
+    url: https://committee.iso.org/standard/68221.html
     tier: standard
     topics: [innovation, opportunities, learning]
   - name: Strategyzer Business Model Canvas

package/agents/roles/system/business-strategist/references/operating-model.md

@@ -71,9 +71,9 @@ Separar compromisos del núcleo, opciones adyacentes y experimentos. Ajustar tam
 
 Modelo sintetizado con fuentes revisadas en agosto de 2026:
 
-- [OECD Strategic Foresight](https://www.oecd.org/strategic-foresight/): escenarios y anticipación para decisiones robustas bajo incertidumbre.
+- **OECD Strategic Foresight** (sin enlace: `oecd.org` bloquea): escenarios y anticipación para decisiones robustas bajo incertidumbre.
 - [UK Government Green Book](https://www.gov.uk/government/publications/the-green-book-appraisal-and-evaluation-in-central-government): definición de objetivos, opciones, costos, beneficios, riesgos y evaluación.
-- [ISO 56002 Innovation management](https://www.iso.org/standard/68221.html): enfoque sistemático para oportunidades, innovación, aprendizaje y mejora.
+- [ISO 56002 Innovation management](https://committee.iso.org/standard/68221.html): enfoque sistemático para oportunidades, innovación, aprendizaje y mejora.
 - [Strategyzer Business Model Canvas](https://www.strategyzer.com/library/the-business-model-canvas): lenguaje para relacionar propuesta de valor, clientes, canales, recursos, actividades, socios, ingresos y costos.
 
 Verificar siempre fuentes primarias del sector, datos internos y contexto real de cada empresa.

package/agents/roles/system/cloud-architect/learning/HISTORY.md

@@ -1,6 +1,6 @@
 # Historial de aprendizaje
 
-Registrar fecha, propuesta, fuentes/versiones, evidencia, decisión humana, cambios, evaluaciones y responsable.
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
 
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|

package/agents/roles/system/cloud-architect/learning/sources.yaml

@@ -10,8 +10,8 @@ rules:
 # organization/roles/cloud-architect.md dentro de cada instalación.
 sources:
   - {name: NIST SP 800-145 cloud definition, url: "https://csrc.nist.gov/pubs/sp/800/145/final", tier: standard, topics: [cloud, service-models, deployment-models]}
-  - {name: ISO IEC 27017 cloud security controls, url: "https://www.iso.org/standard/43757.html", tier: standard, topics: [cloud-security, customers, providers]}
-  - {name: ISO IEC 27017 edition 2 status, url: "https://www.iso.org/standard/82878.html", tier: standard, topics: [cloud-security, revision-status]}
+  - {name: ISO IEC 27017:2015 cloud security controls, url: "https://webstore.iec.ch/en/publication/23891", tier: standard, topics: [cloud-security, customers, providers]}
+  - {name: ISO IEC 27017:2026 cloud security controls, url: "https://webstore.iec.ch/en/publication/115400", tier: standard, topics: [cloud-security, revision-status]}
   - {name: FinOps Framework, url: "https://www.finops.org/framework/", tier: profession, topics: [value, cost, usage, accountability]}
   - {name: AWS What is New, url: "https://aws.amazon.com/new/", tier: platform, topics: [servicios, regiones, precios, deprecaciones]}
   - {name: Google Cloud release notes, url: "https://cloud.google.com/release-notes", tier: platform, topics: [servicios, regiones, deprecaciones]}

package/agents/roles/system/cloud-architect/references/operating-model.md

@@ -29,8 +29,8 @@ Descubrir dependencias y baseline; priorizar waves reversibles; preparar observa
 ## Fundamento externo
 
 - [NIST SP 800-145](https://csrc.nist.gov/pubs/sp/800/145/final): características esenciales y modelos de servicio/despliegue de cloud computing.
-- [ISO/IEC 27017:2015](https://www.iso.org/standard/43757.html): controles para clientes y proveedores cloud; en agosto de 2026 sigue publicada pero será sustituida por la edición 2, actualmente bajo publicación.
-- [ISO/IEC 27017 edición 2](https://www.iso.org/standard/82878.html): estado oficial de la revisión; no tratarla como publicada hasta que ISO lo confirme.
+- [ISO/IEC 27017:2026](https://webstore.iec.ch/en/publication/115400): edición 2, publicada el 2026-07-27 según su ficha; controles para clientes y proveedores cloud.
+- [ISO/IEC 27017:2015](https://webstore.iec.ch/en/publication/23891): la edición 1, que la de 2026 reemplaza. Un contrato firmado contra ella no se satisface con la nueva.
 - [FinOps Framework](https://www.finops.org/framework/): modelo operativo abierto para conectar valor, uso, costo y accountability entre ingeniería, finanzas y negocio.
 
 Verificar documentación, precios, SLA, quotas, regiones y estado del servicio para proveedor y fecha concretos antes de recomendarlo.

package/agents/roles/system/community-manager/learning/HISTORY.md

@@ -1,3 +1,6 @@
 # Historial de aprendizaje
 
-Registrar fecha, propuesta, fuentes/versiones, decisión humana, cambios aplicados, evaluaciones y responsable.
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
+| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
+|---|---|---|---|---|

package/agents/roles/system/community-manager/learning/sources.yaml

@@ -21,7 +21,7 @@ sources:
     url: https://www.w3.org/TR/WCAG22/
     tier: standard
     topics: [accessibility, inclusion, web, conformance]
-  - name: OECD privacy principles
-    url: https://www.oecd.org/en/topics/privacy-principles.html
+  - name: OECD Privacy Guidelines
+    url: https://legalinstruments.oecd.org/public/doc/188/188.en.pdf
     tier: standard
     topics: [privacy, collection, purpose, use, accountability]

package/agents/roles/system/community-manager/references/operating-model.md

@@ -35,6 +35,6 @@ Sintetizar tema, necesidad, segmento/contexto, frecuencia, severidad, impacto, e
 - [Contributor Covenant 3.0](https://www.contributor-covenant.org/version/3/0/code_of_conduct/): ejemplo adaptable de conductas, reporte, investigación privada y escala de medidas; requiere completar y aprobar el proceso propio.
 - [GitHub — Community management and moderation](https://docs.github.com/en/communities/setting-up-your-project-for-healthy-contributions/about-community-management-and-moderation): herramientas y prácticas específicas de esa plataforma; verificar equivalentes en cada canal.
 - [W3C WCAG 2.2](https://www.w3.org/TR/WCAG22/): criterios de accesibilidad para superficies web; complementar con necesidades de eventos, idiomas y discapacidades no cubiertas totalmente.
-- [OECD Privacy Guidelines](https://www.oecd.org/en/topics/privacy-principles.html): limitación de recolección, propósito, uso, calidad, seguridad, apertura, participación y accountability.
+- [OECD Privacy Guidelines](https://legalinstruments.oecd.org/public/doc/188/188.en.pdf): limitación de recolección, propósito, uso, calidad, seguridad, apertura, participación y accountability.
 
 Estas fuentes orientan diseño y controles; las políticas aprobadas, plataforma, comunidad y jurisdicción reales determinan las acciones permitidas.

package/agents/roles/system/content-specialist/learning/HISTORY.md

@@ -1,4 +1,6 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|

package/agents/roles/system/customer-success-manager/learning/HISTORY.md

@@ -1,5 +1,7 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|
 | 2026-08-30 | `learning/proposals/2026-08.md` | Aprobada | Manuel Pinzon | `SKILL.md` (párrafo nuevo al final de «Construir contexto»); `learning/proposals/2026-08.md`. Dos desviaciones, escritas al final de «Aprobación humana» de la propuesta: (1) los ejemplos del párrafo se adaptaron al vocabulario del cargo —la propuesta autoriza adaptar la redacción y la licencia se usó sólo en esa lista: donde decía «Delighted, una herramienta de analítica», el `SKILL.md` dice «la encuesta de NPS o CSAT, el producto de analítica», porque Delighted es el proveedor del caso `07-nps-que-subio` y nombrarlo metía un caso de evaluación dentro del contrato del cargo—; el resto entró literal, incluida «abstenerse cubre lo que no se puede consultar, no lo que cuesta abrir una página», y en la ubicación que la propuesta fija; (2) no se re-corrió `07-nps-que-subio`, que la sección «Evaluación» pide como confirmación: esta aplicación se limitó a «Cambio propuesto», y hasta que exista ese veredicto el efecto del párrafo en este cargo no está medido. Sin caso adversarial nuevo: la propuesta acota el cambio al párrafo y nada más. |

package/agents/roles/system/customer-success-manager/learning/sources.yaml

@@ -10,18 +10,18 @@ rules:
 # organization/roles/customer-success-manager.md dentro de cada instalación.
 sources:
   - name: ISO 10001
-    url: https://www.iso.org/standard/71579.html
+    url: https://committee.iso.org/standard/71579.html
     tier: standard
     topics: [customer-promises, codes-of-conduct]
   - name: ISO 10002
-    url: https://www.iso.org/standard/71580.html
+    url: https://committee.iso.org/standard/71580.html
     tier: standard
     topics: [complaints, handling, improvement]
   - name: ISO 10004
-    url: https://www.iso.org/standard/71582.html
+    url: https://committee.iso.org/standard/71582.html
     tier: standard
     topics: [customer-satisfaction, monitoring, measurement]
   - name: Gainsight Customer Success Guide
     url: https://www.gainsight.com/guides/the-essential-guide-to-customer-success/
-    tier: platform
+    tier: standard
     topics: [outcomes, onboarding, adoption, health, risk]

package/agents/roles/system/customer-success-manager/references/operating-model.md

@@ -71,9 +71,9 @@ Conservar objetivos, configuración, datos, integraciones, compromisos, incident
 
 Modelo sintetizado con fuentes revisadas en agosto de 2026:
 
-- [ISO 10001:2018](https://www.iso.org/standard/71579.html): códigos de conducta y promesas al cliente diseñados, mantenidos y mejorados sistemáticamente.
-- [ISO 10002:2018](https://www.iso.org/standard/71580.html): proceso accesible, responsable y orientado a mejora para manejar quejas.
-- [ISO 10004:2018](https://www.iso.org/standard/71582.html): monitoreo y medición de satisfacción del cliente.
+- [ISO 10001:2018](https://committee.iso.org/standard/71579.html): códigos de conducta y promesas al cliente diseñados, mantenidos y mejorados sistemáticamente.
+- [ISO 10002:2018](https://committee.iso.org/standard/71580.html): proceso accesible, responsable y orientado a mejora para manejar quejas.
+- [ISO 10004:2018](https://committee.iso.org/standard/71582.html): monitoreo y medición de satisfacción del cliente.
 - [Gainsight — Essential Guide to Customer Success](https://www.gainsight.com/guides/the-essential-guide-to-customer-success/): prácticas de outcomes, onboarding, adopción, health, riesgo y expansión.
 
 Verificar políticas, contratos, modelos de servicio y requisitos sectoriales reales de cada empresa.

package/agents/roles/system/customer-support-specialist/learning/HISTORY.md

@@ -1,4 +1,6 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|

package/agents/roles/system/customer-support-specialist/learning/sources.yaml

@@ -10,11 +10,11 @@ rules:
 # organization/roles/customer-support-specialist.md dentro de cada instalación.
 sources:
   - name: ISO 10002
-    url: https://www.iso.org/standard/71580.html
+    url: https://committee.iso.org/standard/71580.html
     tier: standard
     topics: [complaints, accessibility, confidentiality, improvement]
   - name: ISO 18295-1
-    url: https://www.iso.org/standard/64739.html
+    url: https://committee.iso.org/standard/64739.html
     tier: standard
     topics: [contact-centres, customer-experience, operations]
   - name: ITIL

package/agents/roles/system/customer-support-specialist/references/operating-model.md

@@ -90,8 +90,8 @@ Owner y fecha de revisión:
 
 Modelo sintetizado con fuentes revisadas en agosto de 2026:
 
-- [ISO 10002:2018](https://www.iso.org/standard/71580.html): accesibilidad, objetividad, confidencialidad, responsabilidad y mejora en manejo de quejas.
-- [ISO 18295-1:2017](https://www.iso.org/standard/64739.html): requisitos para centros de contacto orientados a experiencia consistente y medición.
+- [ISO 10002:2018](https://committee.iso.org/standard/71580.html): accesibilidad, objetividad, confidencialidad, responsabilidad y mejora en manejo de quejas.
+- [ISO 18295-1:2017](https://committee.iso.org/standard/64739.html): requisitos para centros de contacto orientados a experiencia consistente y medición.
 - [ITIL 4 Incident Management](https://www.peoplecert.org/browse-certifications/it-governance-and-service-management/ITIL-1): restauración del servicio, coordinación y prácticas de gestión; verificar materiales licenciados aplicables.
 - [W3C Writing for Web Accessibility](https://www.w3.org/WAI/tips/writing/): instrucciones, headings, enlaces y mensajes comprensibles.
 

package/agents/roles/system/data-analyst/learning/HISTORY.md

@@ -1,5 +1,7 @@
 # Historial de aprendizaje
 
+Una fila por propuesta cerrada: cuándo, cuál, qué se decidió —aplicarla o archivarla—, quién lo decidió y qué cambió.
+
 | Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
 |---|---|---|---|---|
 | 2026-08-30 | `learning/proposals/2026-08.md` | Aprobada | Manuel Pinzon | `SKILL.md` (párrafo nuevo al final de «Construir contexto», literal como lo escribe la propuesta y en la ubicación que fija). No se re-corrió `07-usuarios-activos`, que la sección «Evaluación» de la propuesta pide como confirmación: hasta que exista ese veredicto el efecto del párrafo en este cargo no está medido. |