Una empresa incorpora un asistente de inteligencia artificial para revisar solicitudes de clientes. Semanas después, una persona cuestiona una respuesta, pero nadie puede precisar qué versión del sistema intervino, qué información recibió ni quién autorizó su uso. La dificultad no está solo en el modelo: faltan decisiones documentadas, responsables claros y evidencia para reconstruir lo ocurrido.
La gobernanza de IA organiza esas responsabilidades antes de que aparezca un incidente. La auditoría comprueba después si los controles fueron diseñados con criterio, se aplicaron en la práctica y dejaron registros suficientes. Para entender ambos procesos conviene revisar el inventario de sistemas, la clasificación de riesgos, los controles del ciclo de vida y la evidencia que sostiene una conclusión de auditoría.
Prueba credenciales para tu organización
El Instituto Internacional de Ingeniería (3i) permite a organizaciones e instructores que ya forman alumnos explorar la emisión de certificados verificables y revisar si la plataforma encaja con su proceso actual.
Gobernar antes de auditar
Una política general de uso responsable no basta para gobernar la IA. La organización necesita decidir quién aprueba cada caso de uso, qué riesgos acepta, quién administra los datos, cómo se atienden las reclamaciones y en qué situaciones una persona puede suspender el sistema. También conviene separar las responsabilidades de quienes desarrollan o contratan la herramienta, quienes supervisan su operación y quienes ofrecen aseguramiento independiente.
El AI Risk Management Framework 1.0 del NIST organiza la gestión mediante cuatro funciones: gobernar, mapear, medir y gestionar. Su uso es voluntario y flexible; sirve para ordenar resultados y prácticas, no para demostrar por sí solo cumplimiento jurídico. ISO/IEC 42001:2023, en cambio, establece requisitos para crear, mantener y mejorar un sistema de gestión de IA dentro de una organización.
Inventario y nivel de riesgo
No se puede controlar un sistema que no figura en ningún registro. El inventario debería incluir soluciones desarrolladas internamente, servicios contratados y funciones de IA incorporadas en plataformas de uso cotidiano. Para cada elemento resulta útil registrar el propósito, propietario, proveedor, versión, fuentes de datos, usuarios, población afectada, grado de automatización y decisiones que dependen de sus resultados.
La clasificación comienza con el contexto, no con una etiqueta genérica. Un sistema que resume documentos internos presenta consecuencias distintas de otro que filtra candidatos, detecta fraude o evalúa el desempeño de alumnos. ISO/IEC 23894:2023 ofrece orientación para integrar el riesgo de IA en las actividades de la organización y permite adaptar el proceso a su entorno.
Cuando existen obligaciones legales, el análisis debe considerar el rol de la entidad, el territorio, la finalidad y la categoría del sistema. El Reglamento (UE) 2024/1689 sobre inteligencia artificial adopta un enfoque basado en el riesgo, pero su aplicación no se resuelve con una lista universal. Una norma técnica puede apoyar el control; no reemplaza la revisión del texto legal vigente ni de las obligaciones aplicables al caso.
Controles durante el ciclo de vida
La aprobación inicial pierde valor si después cambian el modelo, los datos, las instrucciones o el grupo de personas afectadas. Por eso los controles deben acompañar al sistema desde la propuesta hasta su retiro. El nivel de revisión puede variar, pero cada cambio relevante necesita un criterio para decidir si exige nuevas pruebas o una autorización adicional.
Auditoría basada en evidencia
Una auditoría comienza delimitando el sistema, el periodo, el objetivo y los criterios de evaluación. Preguntar si existe una política aporta poco si no se comprueba cómo fue aplicada. El auditor puede revisar aprobaciones, repetir pruebas, tomar muestras de resultados, entrevistar responsables y comparar los registros con los procedimientos definidos.
El marco de rendición de cuentas sobre IA de la U.S. Government Accountability Office se estructura en gobernanza, datos, desempeño y monitoreo. Cada principio incluye prácticas y preguntas que pueden orientar a gestores, auditores y evaluadores externos. Su origen en el ámbito federal estadounidense obliga a adaptar los procedimientos al sector y la jurisdicción examinados.
El Artificial Intelligence Auditing Framework del Institute of Internal Auditors aborda riesgos, gobernanza, gestión y controles desde la perspectiva de auditoría interna. Su utilidad aumenta cuando el equipo conserva independencia respecto de quienes diseñan, contratan u operan la solución.
Evidencia, proveedores y cambios
La trazabilidad se construye antes de la auditoría. Entre los registros útiles se encuentran el inventario, las evaluaciones de impacto, los contratos, la procedencia y transformación de los datos, los resultados de validación, las autorizaciones, los incidentes y el historial de versiones. Un documento preparado después de una falla puede explicar una decisión, pero no demuestra que el control funcionara durante el periodo revisado.
En servicios externos, el acceso al código fuente puede ser limitado o inexistente. La revisión puede concentrarse entonces en las cláusulas sobre tratamiento de datos, los cambios comunicados por el proveedor, las restricciones conocidas, los niveles de servicio y las pruebas realizadas con información propia. Si una actualización modifica el comportamiento del sistema, la organización necesita decidir quién la evalúa y bajo qué condiciones puede pasar a producción.
Marcos con funciones distintas
NIST, ISO, los marcos de auditoría y la regulación cumplen papeles diferentes. Un marco voluntario ayuda a ordenar prácticas; una norma de sistema de gestión establece requisitos organizativos; una guía de riesgo orienta el proceso; la legislación crea obligaciones dentro de su ámbito; la auditoría examina si los controles definidos funcionan y están respaldados por evidencia.
Una matriz común puede relacionar cada riesgo u obligación con el control, el responsable, la evidencia esperada, la frecuencia de revisión y el resultado de auditoría. Esta conexión evita dos conclusiones apresuradas: que adoptar una norma equivale a cumplir toda la legislación o que satisfacer un requisito formal garantiza el desempeño confiable del sistema.
Conclusión
La gobernanza de IA adquiere valor cuando cada sistema tiene un propósito delimitado, una persona responsable, controles proporcionales y un historial verificable. Preparar esa evidencia desde el comienzo permite detectar fallas con mayor claridad y ofrece a la auditoría una base objetiva para evaluar cómo se tomaron las decisiones.
Convierte formación en credenciales verificables
Si tu organización capacita en gobernanza, riesgos o auditoría de IA, puede mantener sus programas y emitir certificados con QR, enlace o código de validación para sus alumnos.
Fuentes consultadas
National Institute of Standards and Technology. Artificial Intelligence Risk Management Framework (AI RMF 1.0). 2023.
International Organization for Standardization. ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system. 2023.
International Organization for Standardization. ISO/IEC 23894:2023, Information technology — Artificial intelligence — Guidance on risk management. 2023.
U.S. Government Accountability Office. Artificial Intelligence: An Accountability Framework for Federal Agencies and Other Entities. 2021.
The Institute of Internal Auditors. The IIA’s Artificial Intelligence Auditing Framework. 2024.
Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial. 2024.
