Cómo auditar la gobernanza de IA desde Auditoría Interna

Una organización puede tener una política de inteligencia artificial, un comité de IA y una presentación trimestral al consejo y, aun así, no saber cuántos sistemas utiliza, quién responde por sus decisiones o qué ocurre cuando un proveedor cambia un modelo. Esa diferencia entre gobernanza declarada y gobernanza operativa es precisamente donde Auditoría Interna puede aportar valor.

La buena noticia es que auditar la gobernanza de IA no exige convertirse primero en científico de datos. Un auditor interno puede evaluar si existen decisiones, responsabilidades, criterios, controles y evidencia suficientes para dirigir el uso de IA de forma responsable. La validación técnica de un modelo puede requerir especialistas; comprobar si la organización sabe qué IA tiene, quién la aprueba, cómo evalúa sus riesgos y cómo detecta fallos es trabajo de gobierno, riesgo y control.

La pregunta inicial no es “¿entiendo el algoritmo?”, sino “¿puedo seguir la responsabilidad y la evidencia desde la decisión de usar IA hasta su operación y monitoreo?”.

La gobernanza de IA es un sistema de decisiones, no una política

La Artificial Intelligence Auditing Framework de The IIA ofrece orientación práctica para evaluar estrategia, madurez de gobierno, riesgos y controles relacionados con IA. No sustituye a las Normas Globales ni convierte sus prácticas recomendadas en requisitos obligatorios; funciona como una lente profesional para estructurar el aseguramiento.

Las Normas Globales de Auditoría Interna, vigentes desde enero de 2025, proporcionan la metodología profesional que sostiene ese trabajo. La Norma 9.1 exige al Director de Auditoría Interna comprender los procesos de gobierno, gestión de riesgos y control. En un trabajo concreto, la Norma 13.2 exige comprender la actividad bajo revisión y sus riesgos relevantes, mientras que la Norma 13.4 exige identificar criterios de evaluación adecuados. Después, la evidencia debe ser relevante, fiable y suficiente para respaldar hallazgos y conclusiones.

Antes de probar controles, el auditor debe entender qué decisiones de IA importan para los objetivos de la organización y qué criterio define una buena gobernanza en ese contexto.

Utiliza cada marco para la pregunta que responde mejor

No existe un único marco que deba convertirse automáticamente en checklist universal. Los marcos más útiles cumplen funciones distintas.

Fuente	Qué aporta al auditor	Cómo utilizarla
IIA AI Auditing Framework	Lente específica de Auditoría Interna sobre estrategia, gobierno, riesgos y controles de IA.	Estructurar objetivos, preguntas y áreas de cobertura.
ISO/IEC 42001:2023	Requisitos de un sistema de gestión de IA: contexto, liderazgo, política, responsabilidades, riesgos, operación, evaluación y mejora.	Como criterio cuando la organización la adopta o como benchmark estructurado cuando sea apropiado.
NIST AI RMF 1.0	Resultados voluntarios para gobernar, mapear, medir y gestionar riesgos de IA durante el ciclo de vida.	Evaluar si la gestión de riesgos es continua, contextual y proporcional.
COSO	Lenguaje familiar de ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y monitoreo.	Integrar la IA en el sistema de control interno existente, especialmente en procesos de negocio.

ISO/IEC 42001 merece una precisión importante. Su cláusula 9.2 exige auditorías internas del sistema de gestión de IA a intervalos planificados y un proceso objetivo e imparcial. Eso no asigna automáticamente ese trabajo a la Función de Auditoría Interna regida por las Normas Globales; mandato, independencia, competencia y posible confianza en ese trabajo deben evaluarse por separado.

NIST presenta el AI RMF como un marco voluntario. Su función Govern es transversal a Map, Measure y Manage y enfatiza políticas, responsabilidades, cultura, documentación y gestión continua del riesgo. NIST señala que AI RMF 1.0 está en revisión, por lo que conviene controlar la versión usada como criterio.

COSO añade una ventaja práctica: permite discutir IA con responsables de negocio y control sin crear una arquitectura paralela. Su publicación de febrero de 2026, Achieving Effective Internal Control Over Generative AI, aplica los cinco componentes del Internal Control—Integrated Framework a riesgos y controles de GenAI. Es una guía específica para GenAI, no una norma universal para todo sistema de IA.

Seis preguntas que convierten la gobernanza en evidencia auditable

Un auditor no necesita probar todos los sistemas de IA para evaluar si el modelo de gobierno funciona. Puede seleccionar casos representativos y seguir la cadena completa desde la decisión hasta el monitoreo.

Pregunta de gobierno	Evidencia que debería existir	Prueba de auditoría posible
1. ¿Qué IA existe y cuál importa?	Inventario, clasificación de riesgo, finalidad, propietario, proveedor, datos, usuarios y etapa del ciclo de vida.	Reconciliar el inventario con compras, SaaS, contratos, gastos, nube, SSO o registros de APIs para buscar IA no declarada.
2. ¿Quién puede decidir y quién responde?	Roles, autoridades, comités, RACI, propietarios de negocio, sistema, datos y monitoreo.	Tomar una muestra y comprobar que las decisiones y escalaciones siguen las responsabilidades aprobadas.
3. ¿Qué uso es aceptable?	Política de IA, apetito o tolerancias, usos prohibidos, excepciones y requisitos de datos.	Revisar excepciones reales y verificar si fueron aprobadas al nivel definido y dentro del plazo establecido.
4. ¿Cómo entra y cambia la IA?	Evaluaciones de riesgo e impacto, criterios de aprobación, pruebas, cambios, versiones y retiro.	Seguir casos desde solicitud hasta producción y comprobar si cambios materiales reactivan evaluación y aprobación.
5. ¿La supervisión humana es real?	Funciones del revisor, competencia, autoridad para intervenir, umbrales, registros y escalación.	Observar el proceso, revisar decisiones anuladas y comprobar si el revisor recibe información suficiente para desafiar la salida.
6. ¿Cómo sabe la organización que sigue funcionando?	Métricas, límites, alertas, incidentes, quejas, cambios de proveedor, revisiones periódicas y acciones correctivas.	Seleccionar alertas o incidentes y seguir su detección, escalación, investigación, remediación y cierre.

La fuerza de estas pruebas está en la trazabilidad. Una política aislada demuestra diseño documental. Un caso de uso que puede rastrearse desde inventario y aprobación hasta monitoreo demuestra mucho más sobre la operación del sistema de gobierno.

Prueba diseño y funcionamiento, no solo existencia

Una auditoría de gobernanza de IA débil pregunta si existe una política. Una auditoría útil pregunta si la política cambia decisiones.

Por ejemplo, si la política prohíbe introducir información confidencial en herramientas públicas de GenAI, el auditor puede comprobar herramientas aprobadas, restricciones técnicas, formación, detección y excepciones. Si se exige evaluar riesgos antes del despliegue, una muestra de sistemas recientes puede demostrar si la evaluación y los controles existían antes de producción.

Una técnica eficiente consiste en seleccionar de tres a cinco casos con perfiles distintos: una herramienta interna, una aplicación de GenAI, una solución de tercero y, cuando exista, un sistema que influya en decisiones relevantes. Para cada caso, el auditor recorre la misma secuencia:

confirmar que aparece en el inventario y está correctamente clasificado;
identificar propietario y responsables de decisión;
revisar evaluación de riesgo e impacto y criterios de aprobación;
comprobar controles de datos, acceso, uso, supervisión y terceros;
revisar evidencia de monitoreo, cambios, incidentes y acciones correctivas.

Este enfoque permite evaluar el sistema de gobierno mediante evidencia concreta, en lugar de convertir la auditoría en una revisión documental de alto nivel.

Saber cuándo pedir apoyo especialista también es un control de calidad

Un auditor generalista puede evaluar estrategia, propiedad, inventario, políticas, apetito de riesgo, aprobaciones, segregación de responsabilidades, supervisión humana, gestión de terceros, monitoreo, incidentes y documentación. También puede comprobar si la organización ha definido cuándo necesita validación independiente o pruebas técnicas.

El límite aparece cuando la conclusión depende de conocimientos técnicos que el equipo no posee. Validación estadística, pruebas avanzadas de sesgo o robustez, red teaming y revisiones profundas de datos pueden requerir especialistas.

Eso no elimina la responsabilidad de Auditoría Interna. El auditor debe formular la pregunta de aseguramiento, definir el alcance, evaluar la competencia y objetividad del especialista, integrar su trabajo con el resto de la evidencia y emitir una conclusión coherente con los objetivos del trabajo.

Los errores más comunes son de auditoría, no de tecnología

Cuatro errores reducen rápidamente el valor del trabajo:

Auditar una herramienta y llamarlo gobernanza. Revisar un chatbot no demuestra que la organización controle su cartera completa de IA.
Adoptar un marco como checklist sin contexto. Los criterios deben reflejar obligaciones aplicables, objetivos, riesgos, políticas y madurez de la organización.
Confundir supervisión humana con una firma. Un humano solo es un control si tiene competencia, información, tiempo, autoridad para intervenir y evidencia de que realmente desafía decisiones.
Concluir por documentación, no por operación. Políticas, comités y matrices RACI son evidencia de diseño; muestras, decisiones, registros, alertas e incidentes muestran si el gobierno funciona.

La gobernanza de IA puede parecer nueva, pero su lógica de aseguramiento es familiar: saber qué se hace, quién responde, qué riesgo se acepta, qué controles se esperan y cómo se detectan fallos. Auditoría Interna necesita criterios claros, evidencia trazable, escepticismo profesional y reconocer cuándo hace falta apoyo técnico.

El mejor punto de partida no es preguntar qué modelo utiliza la empresa. Es tomar un caso de uso real y comprobar si puede recorrerse, sin saltos, desde la decisión de usar IA hasta la evidencia de que sigue bajo control.