Las directrices Critical Supplier revisadas por la MGA (efectivas desde el T2 2026) introducen tres nuevas categorías de documentación: evidencia de pruebas de continuidad de negocio, riesgo de concentración de subprocesadores y divulgación explícita de governance de IA / modelo para cualquier proveedor que despliegue ML en flujos de protección del jugador o fraude.
Las pruebas de continuidad de negocio ahora requieren ejercicios trimestrales documentados de mesa-redonda con participantes nombrados y minutas firmadas, más un drill anual completo de failover medido contra el SLA del operador. Este es el más pesado operacionalmente de los tres cambios — la mayoría de proveedores que conocemos ya corren tabletops trimestrales, pero la MGA ahora exige que la traza de auditoría se parezca a la traza que un auditor MGA armaría.
El riesgo de concentración de subprocesadores es un ejercicio de divulgación: cualquier subprocesador que maneje más del 25% del tráfico destinado a la plataforma debe ser nombrado, y el operador debe mantener un plan de mitigación documentado. Es en gran parte un pase de documentación para proveedores que ya corren sobre infraestructura diversificada.
La divulgación de governance de IA / modelo es la mayor incógnita. La MGA aún no ha publicado un template final, pero el borrador pide el flujo de datos, el origen de los datos de entrenamiento, la metodología de testeo de sesgo y el camino de intervención human-in-the-loop. Los proveedores que corren modelos ML de anti-fraude o juego responsable deben esperar mapear la documentación de sus modelos al nuevo template.