Agentes de IA: lo que cambia para la auditoría interna

Un asistente de IA redacta un correo y espera a que una persona lo envíe. Un agente de IA puede redactarlo, consultar el CRM para identificar al destinatario, adjuntar un documento, enviarlo, registrar el seguimiento y programar la próxima acción. La diferencia parece pequeña hasta que algo sale mal.

Para auditoría interna, el cambio esencial es este: cuando la IA pasa de generar contenido a ejecutar acciones, la superficie de aseguramiento deja de estar concentrada en la calidad de la respuesta y se extiende a autoridad, identidad, permisos, herramientas, memoria, secuencias de decisión y consecuencias operativas.

No existe todavía una única definición universal y estable de “agente de IA”. El NIST AI Agent Standards Initiative, lanzado en 2026, describe el campo alrededor de agentes capaces de actuar de forma autónoma y destaca como áreas prioritarias la seguridad, la interoperabilidad, la identidad y la autorización. Para un auditor, una definición práctica es suficiente: un agente es un sistema de IA que persigue un objetivo, selecciona o encadena pasos y utiliza herramientas para actuar sobre información o sistemas, normalmente manteniendo algún estado o memoria.

Un agente no es simplemente un chatbot más inteligente

Los modelos generativos convencionales producen una salida: texto, código, una clasificación o una recomendación. Un agente incorpora esa capacidad dentro de un ciclo operativo. Puede decidir qué hacer a continuación, llamar una herramienta, observar el resultado y continuar hasta alcanzar un objetivo o una condición de parada.

Por eso conviene pensar en agentes como una arquitectura, no como una sola tecnología.

Componente	Función práctica	Por qué importa para auditoría
Objetivo e instrucciones	Definen lo que el agente intenta conseguir y sus restricciones.	Un objetivo ambiguo puede producir conductas razonables para el agente pero inaceptables para el negocio.
Modelo y razonamiento	Interpreta el contexto, propone pasos y decide entre alternativas.	Persiste el riesgo de errores, respuestas inconsistentes, manipulación del contexto y sobreconfianza.
Herramientas y APIs	Permiten buscar, leer, escribir, ejecutar código o interactuar con aplicaciones.	Una respuesta equivocada puede convertirse en una transacción, un correo, un cambio de datos o una instrucción a otro sistema.
Memoria o estado	Conserva información entre pasos o sesiones.	Puede introducir datos obsoletos, contaminación de contexto, filtración de información o decisiones basadas en memoria incorrecta.
Permisos y credenciales	Determinan qué puede consultar o modificar el agente.	El principio de mínimo privilegio se vuelve central: el riesgo depende tanto de lo que el agente sabe como de lo que puede hacer.
Orquestación y condiciones de parada	Organizan secuencias, reintentos, agentes secundarios y límites de ejecución.	Los fallos pueden propagarse o repetirse si no existen límites, escalamiento y mecanismos de detención.

La autonomía, además, no es binaria. Un flujo puede requerir aprobación humana antes de cada acción material; otro puede actuar libremente dentro de límites predeterminados; y otro puede operar durante horas con poca supervisión. Dos sistemas que usan el mismo modelo pueden presentar perfiles de riesgo muy distintos por sus permisos y por el grado de autonomía concedido.

El riesgo cambia cuando la salida se convierte en acción

Supongamos que una organización introduce un agente para apoyar compras. El sistema puede revisar solicitudes, consultar políticas, comparar proveedores y preparar órdenes. En una versión prudente, el agente solo recomienda. En una versión más autónoma, puede crear órdenes en el ERP o iniciar comunicaciones con proveedores.

La calidad del modelo sigue siendo importante, pero deja de ser la única pregunta. El auditor debe entender qué acciones son posibles, bajo qué identidad se ejecutan, con qué permisos, qué aprobaciones se requieren, qué límites existen y qué evidencia queda después de cada paso.

El análisis publicado por NIST en 2026 sobre seguridad de agentes concluyó que muchos principios tradicionales de ciberseguridad siguen siendo relevantes, pero necesitan adaptarse a los riesgos particulares de combinar resultados de modelos de IA con funciones de software capaces de actuar. NIST también ha puesto foco específico en identidad y autorización de agentes: si un sistema puede operar en nombre de una persona o una función, la organización necesita saber quién o qué está actuando, con qué autoridad y cómo se revoca esa autoridad.

Esto cambia la lógica de control. En un chatbot, una revisión humana del resultado puede ser suficiente para ciertos usos de bajo riesgo. En un agente que puede modificar datos maestros, enviar pagos o aprobar excepciones, revisar el resultado final puede llegar demasiado tarde.

Cuanto mayor sea la capacidad de actuar, menos suficiente resulta controlar únicamente la calidad del texto generado.

Qué debería buscar auditoría interna

El objetivo no es que el auditor se convierta en ingeniero de agentes. Es poder evaluar si la organización ha traducido la autonomía en controles proporcionales al riesgo. Un programa de trabajo puede empezar con seis preguntas.

¿Qué puede hacer el agente realmente? No basta con la descripción comercial. Obtenga el inventario de herramientas, APIs, sistemas conectados y tipos de acciones permitidas.
¿Con qué identidad y permisos opera? Evalúe cuentas de servicio, roles, segregación de funciones, privilegios mínimos, expiración de credenciales y capacidad de revocación.
¿Qué acciones requieren aprobación? Distinga entre leer, recomendar, preparar, ejecutar y revertir. Las acciones materiales deberían tener umbrales y gates explícitos según su impacto.
¿Cómo se controla la memoria y el contexto? Revise qué se persiste, durante cuánto tiempo, quién puede acceder, cómo se actualiza y cómo se evita reutilizar información no autorizada o incorrecta.
¿Puede detenerse de forma segura? Busque límites de tiempo, número de pasos, importe, frecuencia, reintentos, escalamiento y mecanismos de intervención humana.
¿Existe trazabilidad suficiente? Los logs deberían permitir reconstruir qué instrucciones recibió el agente, qué herramientas utilizó, qué decisiones intermedias tomó, qué aprobaciones obtuvo y qué acciones ejecutó.

Estas preguntas son coherentes con la lógica de ISO/IEC 42001:2023, que exige un sistema de gestión para gobernar el uso responsable de IA mediante riesgos, responsabilidades, controles, información documentada, evaluación del desempeño y mejora. La norma no es una lista específica de controles para agentes, pero su enfoque de ciclo de vida y gestión del riesgo ofrece una estructura útil para exigir que la autonomía no aparezca fuera de la gobernanza existente.

La evidencia también debe evolucionar

Los agentes complican una idea básica de auditoría: la evidencia de que una política existe no demuestra que el comportamiento operativo esté controlado. Para un sistema agéntico, los documentos deben conectarse con evidencia de configuración y ejecución.

Un paquete de evidencia útil puede incluir la ficha del caso de uso, propietario, evaluación de riesgos, arquitectura, catálogo de herramientas, permisos, cuentas técnicas, reglas de aprobación, configuraciones de memoria, condiciones de parada, historial de cambios, registros de ejecución, excepciones, incidentes y resultados de pruebas.

Las Global Internal Audit Standards refuerzan esta expectativa desde la disciplina de auditoría. La función debe ejercer debido cuidado profesional, utilizar recursos tecnológicos de forma competente y recopilar información relevante, fiable y suficiente para respaldar conclusiones. Cuando el objeto auditado es un agente, eso significa que una demostración preparada por el proveedor o un diagrama de arquitectura rara vez bastarán. El auditor necesita observar cómo se comporta el sistema dentro de sus límites reales.

Un procedimiento práctico puede consistir en ejecutar escenarios controlados: una instrucción normal, una solicitud fuera del alcance, un intento de usar una herramienta no autorizada, una transacción que supere un umbral, una entrada maliciosa contenida en una fuente externa o una condición donde el agente debería detenerse y escalar. El objetivo no es “romper” técnicamente el modelo, sino comprobar que los controles de negocio y tecnología funcionan cuando el agente intenta actuar.

Los errores más comunes son de gobernanza, no de inteligencia

Las organizaciones pueden cometer el error de concentrarse en si el agente “razona bien” mientras conceden permisos demasiado amplios. También pueden colocar una aprobación humana al final de un proceso sin comprobar si la persona recibe información suficiente para detectar un error. Otra debilidad frecuente es registrar solo la acción final y perder los pasos, herramientas y fuentes que llevaron a ella.

La publicación del IIA sobre capacidades críticas de IA ya recoge usos agénticos dentro de auditoría interna, como solicitar información, revisar respuestas y encadenar tareas de pruebas. Esa posibilidad hace que la pregunta no sea únicamente cómo auditar agentes del negocio. La propia función de auditoría debe aplicar los mismos principios a sus herramientas: datos autorizados, permisos limitados, revisión humana, trazabilidad y responsabilidad profesional.

Un agente puede preparar una prueba de auditoría o resumir evidencia. No debería convertirse, por diseño o por hábito, en el propietario invisible del juicio profesional.

La autonomía debe auditarse como una decisión de riesgo

El nivel correcto de autonomía no es “el máximo que la tecnología permita”. Es el nivel que la organización puede justificar, controlar y supervisar según el impacto del caso de uso.

Para auditoría interna, esto ofrece una forma sencilla de orientar el alcance: empiece por las acciones y trabaje hacia atrás. Identifique qué consecuencias puede producir el agente, qué sistemas toca, qué autoridad utiliza, qué decisiones puede tomar sin aprobación y qué evidencia permitiría reconstruir una ejecución problemática. Después evalúe el modelo, los datos y la arquitectura dentro de ese contexto.

Ese cambio de perspectiva evita convertir una auditoría de agentes en una revisión abstracta de IA. También devuelve el problema a terreno conocido: objetivos, autoridad, segregación de funciones, límites, excepciones, evidencia y rendición de cuentas. La tecnología es nueva. La pregunta de aseguramiento sigue siendo reconocible: ¿puede la organización demostrar que un sistema con capacidad de actuar permanece dentro de los límites que decidió aceptar?