El Marco de Auditoría de IA del IIA explicado
Una organización puede tener una política de inteligencia artificial, un comité de IA y una lista de controles técnicos y, aun así, no tener una respuesta clara a una pregunta básica: ¿quién dirige, quién gestiona y quién proporciona aseguramiento sobre la IA?
Ese es el problema que el Marco de Auditoría de Inteligencia Artificial del IIA, 2.ª edición, actualizado en septiembre de 2024, intenta ordenar. Su valor no está en ofrecer otra lista universal de controles. Está en separar tres dimensiones que suelen mezclarse —Gobernanza, Gestión y Auditoría Interna— y mostrar cómo se relacionan para que el auditor pueda entender el entorno, formular preguntas y convertir expectativas en trabajo de aseguramiento.
La tesis práctica es sencilla: el marco funciona mejor como una arquitectura de responsabilidades y criterios de auditoría que como un checklist para “certificar” la IA.
Qué es el marco y qué no es
El IIA presenta su Artificial Intelligence Auditing Framework como una guía para ayudar a los auditores internos a comprender riesgos de IA, identificar buenas prácticas y reconocer controles internos relevantes. La segunda edición amplió el tratamiento de IA generativa, gobierno, ética, transparencia y rendición de cuentas, y mantiene una estructura que conecta el tema con el Modelo de las Tres Líneas y con el Marco Internacional para la Práctica Profesional del IIA.
Esto importa porque el marco no tiene la misma autoridad que las Normas Globales de Auditoría Interna. Las Normas Globales son un componente obligatorio del MIPP y establecen los requerimientos profesionales que debe cumplir la función de auditoría interna. El marco de IA es orientación temática: ayuda a aplicar el razonamiento de auditoría a un riesgo complejo, pero no crea por sí solo obligaciones regulatorias para la organización ni sustituye leyes, contratos, políticas internas o estándares como ISO/IEC 42001 cuando estos sean criterios aplicables.
Esa distinción evita un error frecuente: tratar cada recomendación del documento como si fuera un requisito universal. En una auditoría real, los criterios deben provenir de las obligaciones y expectativas que realmente aplican a la organización.
Tres dimensiones, tres preguntas diferentes
La parte central del marco se organiza en tres dominios. Cada uno responde a una pregunta distinta.
| Dimensión | Pregunta principal | Qué observa el auditor |
|---|---|---|
| Gobernanza | ¿La organización dirige y supervisa la IA de forma coherente con sus objetivos y valores? | Estrategia, objetivos, apetito de riesgo, supervisión del consejo, ética, responsabilidades y rendición de cuentas. |
| Gestión | ¿La organización convierte esa dirección en procesos, controles y monitoreo efectivos? | Propiedad, políticas, datos, accesos, ciberseguridad, ciclo de vida, terceros, pruebas, reportes y gestión de riesgos. |
| Auditoría Interna | ¿Cómo debe auditoría interna asesorar o proporcionar aseguramiento sin asumir responsabilidades de gestión? | Alcance, competencias, criterios, evidencia, pruebas, uso de especialistas, conclusiones y comunicación. |
Gobernanza: decidir la dirección y exigir rendición de cuentas
Para el marco, la gobernanza de IA comprende las estructuras y procesos utilizados para dirigir, gestionar y monitorear las actividades de IA. Su foco no es el algoritmo en sí, sino si la organización sabe por qué utiliza IA, qué pretende conseguir y bajo qué límites.
Por eso el marco comienza con la estrategia. Espera que los objetivos de IA estén vinculados con los objetivos de la organización, que la estrategia no se diseñe de forma aislada y que se consideren valores, riesgos y consecuencias éticas, sociales y legales. También enfatiza la participación del órgano de gobierno cuando la IA puede alterar de forma material la estrategia o el perfil de riesgo.
Para auditoría interna, esta dimensión se traduce en preguntas sobre la calidad de la supervisión del consejo, la coherencia entre estrategia y riesgo, la rendición de cuentas y los límites de uso aceptable.
Gestión: convertir la intención en controles que operan
La segunda dimensión baja desde la dirección estratégica hasta la ejecución. El marco sitúa aquí responsabilidades de primera y segunda línea: la gestión diseña y opera controles, mientras funciones como riesgos y cumplimiento apoyan, monitorean y desafían la forma en que se gestiona la exposición.
Incluye liderazgo y roles, políticas de uso aceptable, datos, accesos, ciberseguridad, cambios, terceros, pruebas, monitoreo, reportes y tratamiento de riesgos. Para un auditor principiante, la idea clave es que mucho del riesgo de IA se manifiesta en procesos ya conocidos. Una debilidad en datos, accesos o proveedores puede ser tan decisiva como una debilidad en el modelo.
Auditoría Interna: asesorar y asegurar sin convertirse en propietario
El tercer dominio cubre servicios de asesoramiento y aseguramiento. En organizaciones menos maduras, auditoría interna puede ayudar a formular preguntas e identificar riesgos; en entornos más maduros, puede proporcionar aseguramiento sobre procesos y controles establecidos.
La frontera es importante: auditoría interna puede asesorar sobre la gobernanza de IA, pero la dirección debe conservar la responsabilidad de diseñar, implementar y operar los controles. Ningún equipo dominará todos los aspectos técnicos, por lo que debe desarrollar conocimiento suficiente para evaluar riesgos y reconocer cuándo se necesita apoyo especializado.
Cómo convertir el marco en un trabajo de auditoría
El documento incluye una guía práctica, pero su mejor uso consiste en transformar sus consideraciones en una cadena de auditoría. Un enfoque sencillo puede seguir cinco pasos.
1. Comprender cómo utiliza IA la organización. Identifique la estrategia, los usos actuales y planificados, los responsables y el inventario de sistemas o casos de uso.
2. Seleccionar las dimensiones relevantes. Una revisión de gobierno puede centrarse en estrategia y supervisión; un caso de uso concreto exigirá profundizar en datos, pruebas, terceros, monitoreo y controles operativos.
3. Traducir cada expectativa a un criterio y un control esperado. Por ejemplo, si la organización afirma que los modelos de alto impacto deben revisarse antes de entrar en producción, el criterio puede ser la política aprobada; el control esperado, una aprobación independiente documentada; y la evidencia, registros de revisión, excepciones y decisiones de liberación.
4. Probar operación, no solo existencia. Seleccione casos de uso, revise aprobaciones, inspeccione evidencia de pruebas y contraste inventarios o cambios para comprobar si los controles funcionan.
5. Concluir dentro de las competencias del equipo. La gobernanza puede evaluarse con alfabetización adecuada en IA; la validación estadística o técnica profunda puede requerir especialistas. El alcance debe hacer visible esa frontera.
Este enfoque también conecta el marco con las Normas Globales: competencia y debido cuidado profesional, planificación basada en riesgos, criterios de evaluación, información relevante y fiable, documentación, conclusiones y comunicación siguen siendo exigibles aunque el objeto auditado sea IA.
El error más común: convertirlo en un checklist universal
El marco incorpora numerosos aspectos y preguntas útiles, pero el IIA advierte que su guía práctica debe personalizarse según el nivel de adopción y madurez de cada organización. Esa advertencia debería cambiar la forma de usar el documento.
Una empresa que apenas permite herramientas generativas aprobadas no necesita el mismo programa de auditoría que una organización que desarrolla modelos propios para decisiones crediticias, selección de personal o sistemas autónomos. Tampoco basta con marcar “cumple” porque exista una política. La relevancia depende del uso, del impacto, de los datos, de los terceros, del nivel de autonomía y de los requisitos jurídicos o contractuales aplicables.
Por eso, el marco resulta más útil como mapa de preguntas que como lista binaria. Ayuda a identificar qué debería existir, pero el auditor todavía debe determinar qué es material, qué criterio aplica, qué evidencia es persuasiva y qué profundidad de prueba requiere el riesgo.
Cómo encaja con las Normas Globales de Auditoría Interna
El marco de IA explica el tema; las Normas Globales gobiernan la práctica profesional del auditor. No compiten.
Las Normas Globales exigen comprender gobierno, gestión de riesgos y control, planificar según riesgos y trabajar con criterios y evidencia adecuados. El marco de IA aporta contenido temático para aplicar esas obligaciones a la inteligencia artificial, pero la calidad del aseguramiento sigue dependiendo de la metodología, la evidencia y el juicio profesional.
El Modelo de las Tres Líneas del IIA refuerza la misma idea de responsabilidades diferenciadas: el órgano de gobierno supervisa, la gestión actúa para alcanzar objetivos y gestionar riesgos, y auditoría interna aporta aseguramiento y asesoramiento independientes. En IA, esa separación es especialmente importante porque la presión por “ayudar” a implantar nuevas capacidades puede hacer que auditoría interna se acerque demasiado a decisiones de gestión.
Un marco para empezar, no para terminar
El Marco de Auditoría de IA del IIA es valioso porque reduce un tema técnicamente intimidante a una estructura reconocible para cualquier auditor interno: dirección, gestión del riesgo, controles, evidencia y aseguramiento.
Su uso más maduro no consiste en auditar cada punto del documento. Consiste en emplearlo para entender quién debería hacer qué, identificar dónde puede fallar esa arquitectura y convertir las expectativas aplicables en procedimientos de auditoría proporcionales al riesgo.
La IA seguirá cambiando más rápido que cualquier guía. Por eso el propio marco plantea el desarrollo de capacidades como una progresión. Para auditoría interna, la meta no es convertirse en dueña de la IA ni en experta absoluta de cada modelo. Es mantener suficiente competencia, independencia y rigor para formular las preguntas correctas, evaluar evidencia fiable y saber cuándo una conclusión necesita apoyo especializado.
Fuentes
- The Institute of Internal Auditors, The IIA’s Artificial Intelligence Auditing Framework, 2nd Edition
- The Institute of Internal Auditors, Artificial Intelligence Knowledge Center
- The Institute of Internal Auditors, Normas Globales de Auditoría Interna
- The Institute of Internal Auditors, Statements of Position — Three Lines Model
- The Institute of Internal Auditors, AI Framework Supporting Tools