Cómo debe gobernar Auditoría Interna su uso de IA
Un auditor carga un conjunto de hallazgos preliminares en una herramienta de inteligencia artificial, pide que identifique temas comunes y utiliza la respuesta para preparar la comunicación al comité de auditoría. El resultado es convincente. El problema aparece después: nadie puede demostrar qué versión del modelo se utilizó, qué información exacta recibió, qué afirmaciones fueron verificadas ni qué parte del análisis fue modificada por el auditor antes de emitir la conclusión.
Ese escenario no convierte a la IA en una mala herramienta. Expone algo más importante: cuando Auditoría Interna utiliza IA, crea su propio entorno de control.
La función no necesita replicar un programa corporativo de gobierno de IA completo para cada prompt. Sí necesita decidir qué usos están permitidos, qué datos pueden entrar, qué evidencia debe conservarse, cuándo interviene una persona, cómo se controla el acceso, qué se exige a los proveedores y cómo se incorpora todo ello a la metodología y al sistema de calidad. La gobernanza debe ser proporcional al riesgo, pero suficientemente sólida para que la eficiencia no reduzca la confiabilidad del trabajo.
La IA no está fuera de las Normas: entra por tecnología, metodología y calidad
Las Normas Globales de Auditoría Interna no contienen una norma específica titulada “uso de IA”. Sin embargo, varios de sus requerimientos ya crean una base obligatoria para gobernarla.
La Norma 10.3, Recursos tecnológicos, exige que el Director de Auditoría Interna procure que la función disponga de tecnología que apoye el proceso de auditoría, evalúe regularmente la tecnología utilizada, implemente formación adecuada cuando introduce nuevas herramientas y colabore con las funciones de tecnología y seguridad de la información para implantarlas correctamente. En sus consideraciones para la implementación, la Norma también orienta a identificar y responder a riesgos derivados del uso de tecnología, incluidos seguridad de la información y privacidad.
La Norma 9.3, Metodologías, exige metodologías que guíen a la función de forma sistemática y disciplinada. Si la IA modifica cómo se evalúan riesgos, se analizan datos, se preparan papeles de trabajo o se redactan comunicaciones, esas reglas deberían vivir dentro de la metodología de Auditoría Interna, no en instrucciones informales que cada auditor interpreta por su cuenta.
La Norma 5.2, Protección de la información, es todavía más directa: los auditores deben proteger la confidencialidad, privacidad y titularidad de la información y gestionar el riesgo de exposición o divulgación no intencionada. Por tanto, utilizar una herramienta técnicamente aprobada no elimina la obligación profesional de decidir si un dato concreto puede introducirse en ella.
La tesis práctica es sencilla: la política de IA de Auditoría Interna debe ser una extensión de sus obligaciones profesionales existentes.
Ocho controles convierten una herramienta útil en una capacidad gobernada
Una política de una página que diga “no introduzca información confidencial” es insuficiente. Un modelo operativo más sólido conecta cada riesgo con una expectativa verificable.
| Dominio de control | Expectativa mínima | Evidencia útil |
|---|---|---|
| Política y clasificación | Definir usos permitidos, restringidos y sujetos a aprobación según impacto y sensibilidad. | Política, inventario de casos de uso, matriz de clasificación. |
| Datos y confidencialidad | Determinar qué clases de información pueden procesarse, con minimización, retención y eliminación definidas. | Reglas de clasificación, configuraciones de retención, registros de excepciones. |
| Responsabilidad humana | Establecer qué decisiones requieren revisión, desafío y aprobación de un auditor competente. | Checklists de revisión, firmas o aprobaciones, evidencias de escalamiento. |
| Evidencia y documentación | Conservar lo necesario para demostrar fuentes, análisis, validación y decisiones cuando la IA sea material para el resultado. | Fuentes, instrucciones relevantes, salida utilizada, validaciones y versión/configuración cuando proceda. |
| Acceso y cambios | Restringir quién puede usar, configurar o integrar la IA; someter cambios materiales a aprobación y prueba. | Listas de acceso, historial de cambios, pruebas y aprobaciones. |
| Proveedores | Evaluar tratamiento de datos, seguridad, cambios del servicio, subprocesadores, retención y capacidad de obtener registros. | Due diligence, cláusulas contractuales, evaluaciones periódicas, notificaciones de cambios. |
| Calidad y monitoreo | Medir errores, excepciones, retrabajo y cumplimiento de controles; revisar periódicamente casos de uso. | Muestreos de calidad, métricas, revisiones temáticas y planes de mejora. |
| Incidentes y excepciones | Definir cómo reportar filtraciones, resultados incorrectos materiales, usos no autorizados o fallos de control. | Registro de incidentes, análisis de causa, acciones correctivas y comunicaciones. |
Este enfoque es coherente con ISO/IEC 42001:2023, que estructura la gestión de IA alrededor de política, responsabilidades, evaluación y tratamiento de riesgos, información documentada, controles operativos, monitoreo y mejora. ISO/IEC 42001 es una norma de sistemas de gestión para organizaciones que desarrollan, proporcionan o utilizan IA; no convierte automáticamente a la función de Auditoría Interna en un sistema certificable separado ni sustituye las Normas Globales. Su valor aquí es de diseño: ofrece una lógica útil para que Auditoría Interna piense en su propia adopción de IA como una capacidad gestionada durante todo su ciclo de vida.
El punto crítico es distinguir asistencia de evidencia
La IA puede resumir, clasificar, proponer pruebas, escribir código, detectar patrones y redactar borradores. Nada de eso elimina la responsabilidad del auditor de evaluar la calidad de la información utilizada.
La Norma 14.1 exige que la información que sustenta análisis y evaluaciones sea relevante, fiable y suficiente. La Norma 14.6 exige documentar la información y evidencia de forma que una persona informada y competente pueda repetir el trabajo y obtener los mismos resultados. Esa exigencia cambia la conversación sobre trazabilidad.
No todo prompt necesita archivarse. Mejorar el estilo de un correo con información no sensible no exige la misma trazabilidad que utilizar IA para identificar excepciones que sustentan un hallazgo. La pregunta clave es: si esta salida influye materialmente en el resultado, ¿podemos demostrar cómo se obtuvo, cómo se validó y quién asumió la decisión?
La guía de COSO Achieving Effective Internal Control Over Generative AI, publicada en 2026, refuerza esta lógica: trata las salidas generativas como afirmaciones que requieren validación, enfatiza control de acceso y cambios, revisión humana y evidencia suficiente cuando existe dependencia de la IA. También recuerda que modelos, prompts, fuentes de recuperación y servicios de proveedores cambian con rapidez.
Un esquema por riesgo resulta más durable: usos de bajo riesgo pueden operar con controles ligeros; usos que transforman documentación interna o apoyan análisis requieren herramientas aprobadas, validación contra la fuente y trazabilidad proporcional; y usos que afectan evidencia, conclusiones, comunicaciones críticas o acciones automatizadas necesitan aprobación previa, revisión humana explícita y monitoreo reforzado.
El proveedor forma parte de la cadena de evidencia
La adopción de IA suele llegar como servicio en la nube, función embebida en una plataforma existente o componente añadido por un proveedor. Esa comodidad puede ocultar una dependencia importante: cambios en el modelo, reglas de retención, localización de datos, conectores, permisos o condiciones contractuales pueden alterar el riesgo sin que Auditoría Interna cambie su procedimiento.
La gestión de terceros debería aclarar qué datos recibe el proveedor y para qué los utiliza, qué puede cambiar sin aprobación, qué registros y versiones pueden reconstruirse y cómo se preserva la documentación al terminar la relación. Si la herramienta accede a repositorios o fuentes RAG, también deben revisarse los permisos heredados y el riesgo de recuperación indebida de información.
The IIA’s Artificial Intelligence Auditing Framework no es un requerimiento obligatorio de las Normas. Es orientación profesional que complementa el marco normativo con prácticas sobre gobierno, gestión y auditoría de IA. Resulta especialmente útil para conectar el uso interno de herramientas con preguntas de responsabilidad, transparencia, trazabilidad y control que la propia función espera evaluar en el resto de la organización.
La calidad debe revisar también cómo se utilizó la IA
Gobernar la IA solo durante el lanzamiento es insuficiente: los proveedores actualizan modelos, cambian las fuentes y los auditores desarrollan nuevos usos.
Por eso, el gobierno de IA debe integrarse en el Programa de Aseguramiento y Mejora de la Calidad. La Norma 12.1 exige supervisión continua y autoevaluaciones periódicas; la Norma 12.3 refuerza la supervisión del trabajo. Esto permite muestrear trabajos asistidos por IA, comprobar validaciones, revisar excepciones, medir retrabajo y confirmar que los controles siguen siendo proporcionados.
Un Director de Auditoría Interna que quiera avanzar sin crear burocracia puede empezar con cinco acciones: inventariar herramientas y casos de uso actuales; clasificar datos y usos por riesgo; incorporar reglas de IA a la metodología y a los papeles de trabajo; actualizar due diligence y acuerdos con proveedores; y añadir pruebas de cumplimiento y calidad al monitoreo periódico. La formación debe acompañar esas acciones porque un control que el auditor no entiende se convierte rápidamente en una formalidad.
El objetivo no es registrar cada interacción ni convertir cada auditor en especialista técnico. Es preservar las propiedades que hacen creíble a Auditoría Interna: protección de la información, evidencia defendible, juicio profesional, documentación reproducible, supervisión y mejora continua.
La función madura no será la que utilice más IA. Será la que pueda explicar dónde la utiliza, por qué la utiliza, qué controles aplican y cómo demuestra que la calidad del trabajo sigue estando bajo responsabilidad humana.