Kit de Despliegue de MCP de Seguros Regulado

Arquitectura de Cotización Determinista y Kit de Entrega Empresarial para Seguros Europeos

Una implementación de referencia con forma de producción que muestra cómo una aseguradora europea puede exponer un proceso de cotización de seguro de hogar determinista y no vinculante a través del Model Context Protocol (MCP), manteniendo a la vez la validación, los cálculos de precios, el bloqueo obligatorio del consentimiento GDPR y la auditabilidad a prueba de manipulaciones en el servidor.

1. El Problema de Negocio

Los asistentes conversacionales con IA mejoran drásticamente la conversión de cotizaciones de seguros, pero las regulaciones financieras (AI Act de la UE, GDPR, Solvencia II y normas de conducta de seguros) prohíben la fijación de precios no determinista o las decisiones de elegibilidad no auditables.

Los chatbots conversacionales tradicionales adolecen de tres defectos fatales en el ámbito financiero regulado:

1. Alucinación de precios: Los LLM generan o modifican primas y descuentos de forma no determinista.

2. Incumplimiento normativo: Las cotizaciones emitidas sin consentimiento explícito y registrado vulneran los artículos 6 y 7 del GDPR.

3. Transiciones de estado de caja negra: Los reguladores no pueden reconstruir la secuencia exacta de entradas del usuario y reglas actuariales.

Este kit de despliegue demuestra el patrón de autoridad de servidor determinista: el asistente de IA proporciona la extracción conversacional de lenguaje natural, mientras que el núcleo del servidor compilado gestiona todas las transiciones de estado, validación, fórmulas actuariales, bloqueo de consentimiento y registro de auditoría criptográfica.

Related MCP server: @getplexa/mcp

2. Descripción General de la Arquitectura

flowchart LR
    subgraph Conversational Boundary
        Client[MCP Client / User Assistant]
    end

    subgraph Northstar MCP Server
        Sanitizer[Input Sanitizer & Regex Guard]
        StateMachine[Funnel State Machine]
        Store[(Session Store: Memory / Postgres)]
    end

    subgraph Deterministic Core
        Rules[Actuarial Pricing Engine (v1/v2)]
        Eligibility[Underwriting Eligibility Evaluator]
        ConsentGuard[GDPR Consent Gate]
        Audit[Append-Only SHA-256 Audit Store]
    end

    Client -->|MCP Tool Calls| Sanitizer
    Sanitizer --> StateMachine
    StateMachine <--> Store
    StateMachine --> Eligibility
    StateMachine --> ConsentGuard
    ConsentGuard --> Rules
    StateMachine --> Audit

Invariantes Fundamentales

• Autoridad de Precios del Servidor: Las primas se calculan mediante funciones puras en TypeScript compilado (packages/rules/src/pricing.ts). Los payloads del cliente no pueden modificar los precios.

• Puerta de Consentimiento Obligatoria: La emisión de cotizaciones está bloqueada de forma estricta hasta que se registre el consentimiento explícito para el procesamiento de datos ([CONSENT_REQUIRED]).

• Pista de Auditoría Criptográfica: Cada evento del ciclo de vida añade un hash SHA-256 que encadena de vuelta al génesis de la sesión (packages/audit/src/audit-store.ts).

• Ruta Local sin Credenciales: Totalmente comprobable y ejecutable localmente sin credenciales de API de terceros de pago.

3. Capacidades Clave

• Direccionamiento Europeo Multi-País: Formatos de código postal validados para Francia (FR), España (ES), Portugal (PT), Alemania (DE) e Italia (IT).

• Elegibilidad y Derivaciones de Suscripción: Evalúa combinaciones de riesgo (p. ej., siniestros >3, grandes villas de alto valor) y emite códigos de motivo legibles por máquina.

• Bucles de Corrección e Invalidación de Estado: Modificar parámetros de riesgo previamente confirmados invalida automáticamente las cotizaciones activas y restablece el consentimiento.

• Ajuste Dinámico de Cotizaciones: Modificar niveles de cobertura (essential, comfort, premium) y franquicias (150 € a 1.000 €) en cotizaciones activas sin reiniciar el embudo.

• Planos para Alojamiento en la Nube y SaaS: Manifiestos de despliegue completos, stack local de Docker Compose y una matriz de decisión multicriterio.

• Paquete de Entrega y Adquisición Empresarial: 32 artefactos exhaustivos, incluyendo un cuestionario de seguridad de 35 preguntas, modelo de amenazas STRIDE, RTM, RACI y planes de UAT.

4. Verificación Rápida

Requisitos previos

• Node.js v20.x o posterior

• npm v10.x o posterior (Docker opcional para PostgreSQL en contenedor)

Verificación en un comando

# 1. Install dependencies (idempotent, local)
make setup

# 2. Run the full interactive demonstration
make demo

# 3. Run all unit and integration tests (32 tests)
make test

# 4. Run the 24-scenario automated evaluation benchmark
make eval

# 5. Execute all release audit quality gates
make release-check

5. Transcripción de Cotización en 60 Segundos

[User]      "Hi, I need home insurance for my apartment in Paris (75008)."
[Assistant] submit_property_basics({ country: 'FR', postcode: '75008', propertyType: 'apartment', occupancyType: 'owner_occupied' })
[Server]    -> Status: PROPERTY_RECORDED. State advanced to COLLECTING_RISK.

[User]      "It was built in 2010, 75 sqm, primary residence, 0 claims in past 5 years."
[Assistant] submit_risk_factors({ constructionYearBand: '2000_2015', floorAreaBand: '50_100_sqm', isPrimaryResidence: true, claimsCount5Years: 0 })
[Server]    -> Status: RISK_FACTORS_RECORDED.

[Assistant] evaluate_eligibility()
[Server]    -> Outcome: ELIGIBLE (Reason: RISK_CRITERIA_MET). Rule version: northstar-home-eu-v1.

[User]      "I'd like the Comfort tier with a €300 deductible."
[Assistant] select_coverage({ coverageTier: 'comfort', deductible: 300 })
[Assistant] confirm_quote_parameters({ confirmed: true })
[Server]    -> Status: PARAMETERS_CONFIRMED. State advanced to AWAITING_CONSENT.

[Invariant] calculate_quote() -> Throws [CONSENT_REQUIRED] "Cannot calculate quote without verified consent."

[User]      "I agree to the data processing terms."
[Assistant] submit_consent({ consentVersion: 'consent_v1_2026' })
[Assistant] calculate_quote()
[Server]    -> QUOTE ISSUED (ID: 90484678-f868...)
               Base Annual: €180.00 | Property Multiplier: x0.9 | Deductible Discount: -€25.00
               Net Annual:  €137.00 | Tax (18%): +€24.66
               TOTAL:       €161.66 / year (€13.47 / month)
               Fingerprint: 36d5b534f844c6e43243398f3fb42436c251712183d3e0036f239a7bc168d56a (SHA-256)
               Status:      Active (Non-binding indicative)

6. Estructura del Repositorio

├── apps/
│   ├── mcp-server/              # Model Context Protocol server (Stdio/HTTP)
│   └── pricing-service/         # Fastify microservice (/health, /ready, /metrics, /calculate)
├── packages/
│   ├── domain/                  # Zod validation schemas, error taxonomy, state machine
│   ├── rules/                   # Actuarial pricing engine, versioned rules (v1, v2), eligibility
│   ├── persistence/             # SessionStore interface (In-Memory with TTL & PostgreSQL)
│   ├── audit/                   # Append-only audit store with SHA-256 hash chaining & redactor
│   └── security/                # Input sanitization, prompt injection detection, data catalog
├── docs/
│   ├── fde/                     # 16-document Enterprise FDE Delivery Pack (RTM, RACI, UAT, etc.)
│   ├── procurement/             # 16-document Procurement & Security Library (35-question FAQ, DPIA)
│   ├── architecture/            # Threat model (STRIDE), Hosted vs VPC blueprints, SDK notes
│   ├── portfolio/               # Role requirement map, interview walkthrough, STAR stories
│   └── DEMO_SCRIPT.md           # 5-minute video recording script
├── tests/                       # Unit, property, integration, and adversarial security tests
├── scripts/
│   ├── demo-flow.ts             # Interactive demonstration runner
│   ├── run-eval.ts              # 24-scenario automated evaluation benchmark
│   └── anonymize-session.ts     # GDPR Article 17 right-to-erasure utility
├── Makefile                     # Canonical developer command interface
├── docker-compose.yml           # Local multi-container deployment stack
└── .github/workflows/ci.yml     # Automated CI verification pipeline

7. Resultados de Medición y Evaluación

Todas las afirmaciones de este repositorio están respaldadas por código que pasa las pruebas y puntos de referencia de evaluación automatizados:

Los resultados brutos de la evaluación se exportan a artifacts/evals/flow-evaluation.json.

8. Paquete de Entrega y Adquisición Empresarial

• Resumen Ejecutivo de la Solución

• Cuestionario de Descubrimiento de Cliente

• Matriz de Trazabilidad de Requisitos (RTM)

• Matriz de Decisión Alojado vs. Auto-Alojado

• Cuestionario de Seguridad Empresarial de 35 Preguntas

• Modelo de Amenazas STRIDE

• Plan de Pruebas de Aceptación de Usuario (UAT)

9. Limitaciones Conocidas

• Cotización No Vinculante: Northstar Home Insurance EU ofrece cotizaciones orientativas y no vinculantes que no comprometen la suscripción final.

• Factores Actuariales Ilustrativos: Los factores de riesgo utilizados en docs/ son ilustrativos y no reflejan tablas actuariales reales de ninguna aseguradora.

• Validación Local Únicamente: Este repositorio no requiere ni utiliza credenciales de terceros, claves de API o proveedores de pago. Todo se ejecuta localmente con datos falsos.

10. Licencia

Este repositorio se distribuye bajo la licencia MIT. Consulta el archivo LICENSE para más detalles. Todos los artefactos de documentación son de uso libre para fines de evaluación y prueba de concepto.

Si deseas una explicación más detallada o tienes preguntas específicas sobre la arquitectura, puedes consultar la documentación técnica o abrir una issue.