Cómo redactar hallazgos sólidos en auditorías de IA
Un hallazgo de auditoría de IA puede sonar sofisticado y seguir siendo inútil. “La gobernanza de IA es insuficiente” o “el modelo presenta riesgo de alucinación” parecen conclusiones técnicas, pero no explican qué expectativa se incumple, qué evidencia demuestra la brecha, por qué existe, qué decisión empresarial queda expuesta ni qué debería cambiar.
En auditorías de inteligencia artificial, el problema no es la falta de terminología. Es la falta de una cadena lógica.
La tesis es sencilla: un hallazgo sólido convierte evidencia en una decisión. Conecta un criterio aplicable con una condición verificada, busca la causa, traduce la desviación en riesgo o efecto y conduce a una acción proporcionada. ## La estructura no cambia porque el objeto sea IA
Las Normas Globales de Auditoría Interna ofrecen una secuencia especialmente útil. La Norma 14.2 exige analizar información relevante, fiable y suficiente y determinar si existe una diferencia entre los criterios de evaluación y la condición observada. La Norma 14.3 exige evaluar los potenciales hallazgos, colaborar con la Dirección para identificar la causa raíz cuando sea posible, determinar los efectos potenciales y evaluar la importancia. La Norma 14.4 lleva el análisis hacia recomendaciones o planes de acción que resuelvan la diferencia, mitiguen el riesgo a un nivel aceptable, aborden la causa raíz o mejoren la actividad.
La Norma 15.1 completa la lógica al exigir una comunicación final con los elementos aplicables del trabajo y, para trabajos de aseguramiento, los hallazgos, su importancia y priorización, además de responsables y fechas previstas para las acciones.
Esto no significa que cada informe deba mostrar cinco cajas tituladas “criterio, condición, causa, efecto y recomendación”. Esa presentación es una estructura práctica de pensamiento, no un formato obligatorio. Las propias Normas distinguen entre requisitos, consideraciones para la implementación y ejemplos de evidencia de conformidad. El objetivo es que la lógica exista y esté respaldada, aunque la redacción final sea más ejecutiva.
Un hallazgo no demuestra que el auditor conoce la tecnología. Demuestra que puede explicar una desviación de forma que alguien pueda decidir qué hacer con ella.
Qué vuelve distinto a un hallazgo de IA
La IA introduce cuatro dificultades recurrentes.
Primero, los criterios suelen venir de varias capas: ley y regulación, políticas internas, compromisos contractuales, estándares adoptados, arquitectura de control y marcos voluntarios. Segundo, el comportamiento de algunos sistemas puede ser probabilístico o cambiar por configuración, datos, actualizaciones del proveedor o contexto de uso. Tercero, la causa rara vez se limita al “modelo”: puede estar en los datos, el diseño del proceso, el control humano, la gestión de cambios, el proveedor o la asignación de responsabilidades. Cuarto, el riesgo técnico solo importa cuando se conecta con un objetivo, una decisión o una exposición empresarial.
| Elemento | Pregunta que debe responder | Trampa frecuente en IA | Mejor práctica |
|---|---|---|---|
| Criterio | ¿Qué debería ocurrir y por qué aplica? | Tratar una buena práctica voluntaria como obligación. | Identificar la fuente y su autoridad: requisito legal, política, contrato, estándar adoptado o referencia orientativa. |
| Condición | ¿Qué ocurre realmente? | Generalizar desde una respuesta anómala o una prueba aislada. | Documentar población, muestra, versión, configuración, periodo, prompts o casos de prueba y evidencia reproducible cuando sea posible. |
| Causa | ¿Por qué existe la brecha? | Atribuirla al “modelo” sin investigar el proceso. | Evaluar propiedad, datos, diseño, cambios, supervisión humana, monitoreo y terceros antes de concluir. |
| Riesgo o efecto | ¿Qué puede pasar y por qué importa? | Enumerar riesgos genéricos como sesgo, privacidad o alucinación. | Relacionar la brecha con una decisión, parte interesada, objetivo y nivel de riesgo residual. |
| Acción | ¿Qué debe cambiar para reducir el riesgo? | Prescribir una herramienta o modelo específico sin necesidad. | Reforzar el objetivo de control, asignar responsabilidad, definir evidencia y dejar a la Dirección elegir la solución salvo que exista una exigencia concreta. |
Esta disciplina también evita otro error: confundir incertidumbre con deficiencia. Un sistema generativo puede producir resultados variables sin que, por sí solo, exista un hallazgo. El hallazgo aparece cuando esa variabilidad, dentro del contexto evaluado, evidencia una diferencia relevante frente a un criterio y crea una exposición que merece ser comunicada.
No convierta marcos voluntarios en incumplimientos
Una auditoría de IA suele combinar fuentes, pero no todas tienen la misma autoridad.
Las Normas Globales regulan cómo debe trabajar y comunicar Auditoría Interna; no son, por sí mismas, un catálogo de controles que la organización auditada deba implementar sobre IA. El Marco de Auditoría de Inteligencia Artificial del IIA aporta orientación profesional sobre gobierno, gestión, riesgos y controles de IA, pero sigue siendo un marco de apoyo.
ISO/IEC 42001:2023 especifica requisitos para un sistema de gestión de inteligencia artificial. Puede ser una fuente sólida de criterios cuando la organización la ha adoptado, cuando el alcance del trabajo evalúa conformidad con ella o cuando existe otro fundamento para aplicarla. El auditor debe evitar presentar como “no conformidad con ISO” una práctica que nunca fue criterio del trabajo.
El NIST AI Risk Management Framework es voluntario y orientado a resultados. Su perfil para IA generativa, NIST AI 600-1, amplía consideraciones para riesgos propios o exacerbados por GenAI. NIST indica además que AI RMF 1.0 está en revisión. Esto lo hace valioso para benchmarking y diseño de criterios, pero no convierte automáticamente una desviación en incumplimiento.
De forma similar, COSO publicó en 2026 orientación específica para control interno sobre IA generativa, útil para traducir riesgos de GenAI a expectativas de control conocidas. Es orientación para fortalecer el control interno, no legislación.
La regla práctica es simple: antes de redactar el hallazgo, documente por qué el criterio es aplicable. ## Ejemplo: de una observación a un hallazgo
Supongamos un caso hipotético. Una organización utiliza un asistente generativo para apoyar decisiones de reembolso a clientes. Su política interna de IA exige revisión humana documentada para reembolsos superiores a un umbral y una revisión trimestral del desempeño del sistema.
Una observación débil sería:
“El asistente de IA no cuenta con suficiente supervisión humana y podría generar decisiones incorrectas.”
Una versión más sólida podría estructurarse así:
Criterio. La política interna exige evidencia de revisión humana para los casos superiores al umbral y una evaluación trimestral del desempeño del asistente.
Condición. En una muestra de 50 reembolsos superiores al umbral, 12 no tenían evidencia de revisión humana. Además, el equipo no pudo aportar la evaluación de desempeño correspondiente al trimestre revisado. Los resultados se validaron contra registros de transacciones y el repositorio de aprobaciones.
Causa. La responsabilidad del control quedó dividida entre Operaciones y el equipo de producto de IA; la matriz de responsabilidades no asigna un propietario para verificar la revisión humana ni para conservar la evidencia del monitoreo.
Riesgo o efecto. Decisiones incorrectas o inconsistentes podrían aprobarse sin detección oportuna, afectando a clientes y aumentando la exposición financiera, de conducta y reputacional. La importancia debe evaluarse usando la metodología de Auditoría Interna, considerando probabilidad, impacto, controles existentes y tolerancia al riesgo.
Acción. La Dirección debería asignar un propietario del control, definir la evidencia mínima de revisión humana, establecer métricas y umbrales para la revisión periódica del desempeño y revisar retrospectivamente los casos afectados según el nivel de riesgo.
La mejora no consiste en añadir más vocabulario de IA. Consiste en pasar de una preocupación genérica a una relación verificable entre expectativa, evidencia, exposición y decisión.
Cinco pruebas de calidad antes de emitir
Antes de cerrar un hallazgo de IA, conviene comprobar cinco cosas:
- Aplicabilidad: ¿puede explicarse en una frase por qué el criterio obliga, orienta o sirve como referencia para este trabajo?
- Evidencia: ¿la condición está respaldada por información relevante, fiable y suficiente, con el contexto técnico necesario para repetir o entender la prueba?
- Causalidad: ¿la causa raíz está sustentada o se presenta honestamente como hipótesis que requiere validación adicional?
- Riesgo: ¿el efecto se conecta con objetivos, decisiones y riesgo residual, en lugar de usar etiquetas genéricas de IA?
- Acción: ¿la respuesta propuesta aborda la causa o reduce el riesgo a un nivel aceptable sin quitar a la Dirección su responsabilidad sobre la solución?
Si una de esas preguntas no puede responderse, probablemente el hallazgo aún necesita trabajo.
La mejor redacción reduce la discusión equivocada
Un buen hallazgo no elimina el desacuerdo. Lo desplaza hacia el lugar correcto. En vez de discutir si “la IA es riesgosa” o si una palabra del informe suena demasiado severa, la conversación puede centrarse en la evidencia, el riesgo residual, la tolerancia de la organización y la respuesta más proporcionada.
Ese es el estándar que debería perseguir una auditoría de IA madura: menos afirmaciones impresionantes y más lógica trazable. Los modelos, proveedores y técnicas cambiarán. Un hallazgo bien construido seguirá siendo útil porque está anclado en decisiones, controles, evidencia y responsabilidad.
Fuentes
- The IIA — Normas Globales de Auditoría Interna
- The IIA — Artificial Intelligence Auditing Framework
- NIST — AI Risk Management Framework
- NIST — Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile, NIST AI 600-1
- ISO — ISO/IEC 42001:2023, Artificial intelligence — Management system
- COSO — Achieving Effective Internal Control Over Generative AI