Por qué la IA debe estar en el universo de auditoría interna
Una organización puede utilizar inteligencia artificial en selección de personal, compras, atención al cliente, finanzas y ciberseguridad sin tener un área llamada “Inteligencia Artificial”. Si el universo de auditoría solo reproduce el organigrama, la IA puede quedar fuera del plan aunque ya modifique decisiones, controles, proveedores y exposiciones relevantes.
Ese es el problema que debe resolver auditoría interna. La IA no necesita justificar una auditoría independiente para justificar su presencia en la evaluación de riesgos. Primero debe hacerse visible como exposición. Después se decide cómo cubrirla.
El plan de auditoría no es un catálogo de temas. Es una respuesta a los riesgos que pueden afectar los objetivos de la organización.
El universo de auditoría no debería confundirse con una lista de departamentos
La Norma 9.4 de las Normas Globales de Auditoría Interna exige que el Director de Auditoría Interna base el plan en una evaluación documentada de las estrategias, objetivos y riesgos de la organización, realizada al menos anualmente. También exige que el plan sea dinámico y se actualice oportunamente ante cambios relevantes en el negocio, los riesgos, las operaciones, los sistemas, los controles o la cultura.
La propia Norma distingue entre requisito y orientación. Crear un universo auditable aparece en las consideraciones para la implementación como un posible enfoque para organizar unidades auditables; no es un requisito en sí mismo. Esas unidades pueden ser áreas, procesos, programas o sistemas, y pueden vincularse con riesgos que atraviesan varias áreas.
Esa lógica es especialmente útil para la IA. Un modelo de predicción de demanda puede estar dentro de planificación comercial; un asistente generativo puede operar en servicio al cliente; una herramienta de selección puede pertenecer a recursos humanos; y un proveedor puede incorporar IA dentro de un servicio que la organización ni siquiera desarrolla internamente. Tratar “IA” únicamente como una unidad independiente puede esconder precisamente su característica más importante: es una tecnología transversal que cambia el perfil de riesgo de actividades que ya están en el universo de auditoría.
Por eso, la pregunta no debería ser “¿tenemos una auditoría de IA en el plan?”, sino “¿sabemos dónde la IA influye en objetivos, decisiones, datos, controles y terceros?”.
Hacer visible la IA empieza por entender dónde está
El Artificial Intelligence Auditing Framework de The IIA recomienda que auditoría interna comprenda cómo utiliza IA la organización y que colabore con la dirección en la revisión o desarrollo de un inventario que identifique, entre otros aspectos, el objetivo de cada uso, los responsables, las herramientas utilizadas, las consideraciones de riesgo y la supervisión. El marco señala además que, si una evaluación de riesgos específica de IA no es viable, como mínimo la IA debería incluirse en el proceso general de evaluación de riesgos.
El inventario no es el objetivo final. Su valor consiste en conectar usos concretos de IA con el mapa de riesgos y las unidades auditables existentes.
Por ejemplo, un copiloto utilizado para redactar contratos puede introducir riesgos de confidencialidad, exactitud y dependencia del proveedor dentro del proceso jurídico. Un modelo que prioriza clientes puede afectar cumplimiento, trato justo y riesgo reputacional dentro de ventas. Un algoritmo de detección de fraude puede alterar la forma en que finanzas confía en alertas, excepciones y revisiones humanas. En cada caso, el riesgo de IA está unido a una decisión o proceso empresarial, no flotando como una categoría tecnológica separada.
El NIST AI Risk Management Framework amplía esa conversación mediante Govern, Map, Measure y Manage. ISO/IEC 42001:2023 estructura la gestión de IA alrededor de contexto, liderazgo, riesgos, impactos, controles, operación, seguimiento y mejora. Ninguno sustituye la metodología de planificación de auditoría interna; ambos ayudan a evitar una evaluación limitada a ciberseguridad o tecnología.
Un riesgo de IA puede cubrirse sin crear una auditoría llamada “IA”
Una vez identificada y evaluada la exposición, la cobertura puede tomar formas diferentes. La decisión debería depender del riesgo, de la madurez del gobierno, de la cobertura de otros proveedores de aseguramiento y de los recursos disponibles, no del deseo de añadir un tema de moda al plan.
| Forma de cobertura | Cuándo puede ser apropiada | Ejemplo |
|---|---|---|
| Integrada en auditorías de procesos | La IA está concentrada en actividades específicas y sus riesgos pueden evaluarse dentro del objetivo normal del trabajo. | Incluir controles sobre un modelo de scoring en una auditoría de crédito o sobre GenAI en una auditoría de atención al cliente. |
| Revisión temática transversal | Varias áreas utilizan IA y existe una pregunta común sobre inventario, políticas, terceros, datos, supervisión humana o monitoreo. | Revisar cómo cinco funciones gestionan herramientas generativas aprobadas y no aprobadas. |
| Auditoría independiente de IA | La exposición es material, el gobierno es inmaduro, existen usos de alto impacto, cambios rápidos, incidentes o una concentración de riesgos que requiere una conclusión específica. | Auditoría de gobierno y gestión del ciclo de vida de IA a nivel corporativo. |
Este enfoque evita dos extremos: ignorar la IA hasta disponer de presupuesto para una auditoría especializada, o programar una “auditoría de IA” tan amplia que intente revisar gobierno, modelos, privacidad, ciberseguridad, proveedores, cumplimiento y todos los casos de uso.
La cobertura puede ser progresiva. Un equipo generalista puede revisar inventario, responsabilidades, políticas, terceros, supervisión humana, incidentes y monitoreo. Si una conclusión depende de propiedades técnicas del modelo —como validación estadística, robustez o seguridad especializada— puede incorporarse apoyo experto sin trasladar la responsabilidad de auditoría interna.
La evaluación debe seguir el impacto, no la etiqueta tecnológica
No todos los usos de IA merecen la misma prioridad. Un asistente que resume documentos públicos y un sistema que influye en la concesión de crédito no deberían recibir la misma puntuación solo porque ambos utilizan IA.
Una evaluación útil puede considerar, como mínimo, el impacto potencial sobre objetivos estratégicos, clientes o empleados; la criticidad y reversibilidad de las decisiones; la sensibilidad y procedencia de los datos; el grado de autonomía y supervisión humana; la dependencia de modelos o proveedores externos; la exposición legal o regulatoria; el historial de incidentes y excepciones; y la velocidad con la que cambian el modelo, la configuración o el caso de uso.
Este análisis también muestra riesgos conocidos bajo una nueva forma. La IA puede amplificar fraude, privacidad, continuidad, terceros, cumplimiento, calidad de información o conducta. Para el plan, lo importante es reconocer cuándo la tecnología altera la probabilidad, el impacto o la eficacia de controles sobre riesgos ya conocidos.
La Norma 9.4 refuerza además una consecuencia práctica: cuando un área de alto riesgo no recibe un trabajo de aseguramiento, el Director de Auditoría Interna debe comunicar oportunamente la razón. Por tanto, si la evaluación concluye que una exposición relevante de IA es alta pero se decide no realizar una auditoría independiente, debería existir una explicación defendible: por ejemplo, cobertura suficiente dentro de otros trabajos, confianza justificada en otro proveedor de aseguramiento, una revisión temática ya programada o una limitación de recursos comunicada al consejo.
Cinco preguntas para probar si la IA realmente está dentro del plan
Antes de cerrar la evaluación de riesgos, una función de auditoría interna debería poder responder con evidencia a cinco preguntas:
- ¿Sabemos dónde se utiliza o se está introduciendo IA? No solo herramientas corporativas, sino también soluciones adquiridas, funcionalidades incorporadas por proveedores y usos descentralizados.
- ¿Cada uso material está vinculado con objetivos, procesos y responsables? Un inventario técnico sin contexto de negocio no permite priorizar.
- ¿La metodología de riesgos reconoce cómo la IA modifica riesgos existentes o crea nuevos? La etiqueta “tecnología” no basta para capturar impactos sobre decisiones, clientes, datos, fraude o cumplimiento.
- ¿Existe una decisión explícita sobre la forma de cobertura? Integrada, temática, independiente o mediante confianza en otro proveedor de aseguramiento.
- ¿El plan puede cambiar cuando cambia la exposición? Nuevos casos de uso, proveedores, incidentes, cambios regulatorios o modelos significativamente modificados deberían poder activar una reevaluación.
Si la respuesta a la primera pregunta es incierta, el problema todavía no es “cómo auditar IA”. El problema es que la función no tiene suficiente visibilidad para afirmar que su plan está cubriendo los riesgos relevantes de la organización.
La madurez empieza antes de la auditoría especializada
Incluir IA en el universo de auditoría no significa declarar que todo uso de IA es de alto riesgo ni que cada organización necesita inmediatamente un equipo de científicos de datos. Significa aplicar el principio más básico de una planificación basada en riesgos: entender qué puede afectar los objetivos y decidir conscientemente qué cobertura es necesaria.
Una función madura puede concluir que parte de la exposición se cubre dentro de auditorías de procesos, que otra requiere una revisión transversal y que solo unos pocos casos justifican trabajo técnico especializado. Esa combinación puede ser más efectiva que una única auditoría anual de “IA” desconectada de los procesos donde la tecnología realmente opera.
La pregunta que el consejo debería poder hacer no es simplemente “¿tenemos IA en el plan?”. Es una pregunta más exigente: “¿podemos demostrar que sabemos dónde la IA cambia nuestro riesgo y cómo estamos obteniendo aseguramiento sobre esa exposición?”
Cuando auditoría interna puede responderla, la IA deja de ser un tema que espera su turno en el calendario y pasa a formar parte del sistema con el que la función decide qué merece atención.