Qué debe preguntar el Consejo a Auditoría Interna sobre IA

Un Consejo puede recibir una presentación detallada sobre inteligencia artificial y, aun así, quedarse sin la respuesta que realmente necesita: ¿dónde depende la organización de la IA y cuánta confianza independiente existe en que esos riesgos están bien gobernados?

Auditoría Interna puede ayudar a responder esa pregunta, pero no debería convertirse en propietaria de la gobernanza de IA. Su valor está en ofrecer una perspectiva independiente sobre si la organización entiende su exposición, si los controles funcionan, si la cobertura de aseguramiento es suficiente y si la propia función de auditoría tiene capacidad para evaluar un entorno que cambia con rapidez.

En junio de 2026, el IIA incorporó herramientas específicas para esta conversación, entre ellas el Board AI Governance Questionnaire, el Audit Committee: Internal Audit AI Coverage Questionnaire y el Management AI Risk and Control Questionnaire. Son herramientas de apoyo y ejemplos de buenas prácticas, no nuevos requisitos obligatorios. La base profesional sigue estando en las Normas Globales de Auditoría Interna y en el mandato aprobado para cada función.

El Consejo debe pedir aseguramiento, no transferir la responsabilidad

La primera distinción es de gobierno. La dirección sigue siendo responsable de decidir cómo utilizar IA, establecer políticas, operar controles, mantener inventarios, gestionar proveedores y responder a incidentes. Auditoría Interna, como tercera línea, proporciona aseguramiento independiente y asesoramiento sin asumir responsabilidades de gestión.

Esta frontera importa porque una pregunta mal formulada puede producir una respuesta engañosa. Preguntar “¿tenemos una buena política de IA?” invita a describir un documento. Preguntar “¿qué evidencia independiente tenemos de que la política se aplica y de que las excepciones se detectan?” lleva la conversación hacia la eficacia real.

Las Normas Globales refuerzan esta expectativa. La interacción del Director de Auditoría Interna con el Consejo debe favorecer un entendimiento compartido de los riesgos y las prioridades de aseguramiento. La estrategia y el plan de Auditoría Interna deben responder a los objetivos y riesgos de la organización, y el Director debe comunicar las limitaciones de recursos que puedan afectar la ejecución del plan. Para el Consejo, la cuestión práctica es si esas obligaciones profesionales se están traduciendo en una cobertura suficiente del riesgo de IA.

Nueve preguntas que cambian la conversación

Pregunta del Consejo	Qué revela	Qué debería contener una respuesta sólida
1. ¿Qué usos materiales de IA existen y qué tan seguros estamos de que conocemos todos?	Visibilidad real de la exposición.	Un inventario mantenido por la dirección, con propietarios, finalidad, datos, terceros, clasificación de riesgo y métodos para detectar IA no declarada o incorporada en servicios externos.
2. ¿Qué riesgos de IA podrían afectar de forma material nuestros objetivos?	Si IA se entiende como riesgo empresarial y no solo tecnológico.	Priorización conectada con estrategia, operaciones, fraude, cumplimiento, privacidad, ciberseguridad, terceros, decisiones sobre personas, reputación y resiliencia.
3. ¿La gobernanza de IA funciona en la práctica o existe principalmente en documentos?	Diseño y eficacia operativa de los controles.	Evidencia sobre responsabilidades, apetito de riesgo, aprobaciones, supervisión humana, seguimiento, incidentes, proveedores y escalamiento de excepciones.
4. ¿Qué aseguramiento independiente hemos realizado sobre IA y qué permanece sin cubrir?	La diferencia entre actividad de auditoría y cobertura de riesgo.	Un mapa claro de trabajos realizados, cobertura incluida en auditorías de procesos, revisiones temáticas, riesgos no evaluados y próximos trabajos previstos.
5. ¿Nuestro plan de Auditoría Interna cambia al mismo ritmo que nuestra exposición a IA?	Capacidad de adaptación.	Evidencia de que nuevos usos, incidentes, cambios regulatorios, proveedores o tecnologías pueden modificar prioridades, alcance o calendario de auditoría.
6. ¿Tenemos las competencias y recursos necesarios para desafiar la IA de forma creíble?	Capacidad real de la tercera línea.	Evaluación de brechas, formación, acceso a especialistas en datos, ciberseguridad o riesgo de modelos, y decisiones transparentes sobre contratación o co-sourcing.
7. ¿Podemos confiar en la información sobre IA que llega al Consejo?	Calidad del reporting de gestión.	Pruebas sobre integridad de datos, indicadores de desempeño y riesgo, incidentes, excepciones, degradación de modelos y criterios de escalamiento.
8. ¿Cuáles son nuestras principales brechas de preparación para asegurar IA y qué necesitamos para cerrarlas?	Madurez y prioridades concretas.	Pocas brechas materiales, responsables claros, acciones con plazo, recursos requeridos y medidas que permitan comprobar progreso.
9. ¿Cómo gobierna Auditoría Interna su propio uso de IA?	Coherencia entre lo que audita y cómo trabaja.	Herramientas aprobadas, reglas de datos, revisión humana, verificación de resultados, documentación, accesos, proveedores, gestión de incidentes y controles de calidad.

Estas preguntas no exigen que el Consejo se convierta en un comité técnico de validación de modelos. Exigen algo más útil: que pueda distinguir entre exposición conocida, controles existentes y confianza independiente obtenida.

Cobertura de IA no significa una sola “auditoría de IA”

Uno de los errores más comunes es preguntar si Auditoría Interna ha programado una auditoría específica de inteligencia artificial y utilizar la respuesta como medida de cobertura.

La exposición puede requerir varios tipos de trabajo. Una revisión transversal puede evaluar gobernanza, inventario y políticas. Una auditoría de recursos humanos puede incluir el uso de IA en selección de personal. Un trabajo de compras puede revisar un asistente contractual basado en IA generativa. Una auditoría de terceros puede evaluar dependencia de modelos o proveedores externos. Un trabajo de ciberseguridad puede incorporar amenazas específicas de IA.

Por eso, la mejor conversación con el Consejo no comienza con el número de “auditorías de IA”, sino con un mapa de exposición y aseguramiento. Ese mapa debería mostrar dónde la IA puede afectar objetivos materiales, qué mecanismos de primera y segunda línea existen, qué ha probado Auditoría Interna y dónde sigue existiendo una brecha de confianza.

Mapa conceptual de cobertura de aseguramiento sobre usos de IA y brechas pendientes

Respuestas que deberían preocupar al comité de auditoría

Algunas respuestas no demuestran necesariamente una deficiencia, pero sí justifican una conversación más profunda:

“TI sabe qué herramientas de IA utilizamos”, sin un inventario verificable ni propietarios de negocio.
“Tenemos una política de IA”, sin evidencia de aprobaciones, excepciones, seguimiento o pruebas de controles.
“IA está cubierta por ciberseguridad”, aunque los riesgos afecten también decisiones, fraude, cumplimiento, terceros o clientes.
“No necesitamos especialistas”, pese a que el plan incluya modelos complejos o sistemas de alto impacto.
“El plan anual ya fue aprobado”, como razón para no responder a cambios materiales durante el año.
“Auditoría Interna ya usa GenAI”, sin reglas claras sobre información confidencial, validación de resultados, documentación y responsabilidad profesional.
“Los modelos tienen buena precisión”, sin tolerancias, indicadores de riesgo, incidentes, sesgo, degradación o explicación de qué significa “buena” para el uso concreto.

El patrón común es confundir la existencia de una actividad con evidencia de que el riesgo está bajo control.

De las preguntas a una agenda de aseguramiento

Una práctica útil es pedir al Director de Auditoría Interna una vista ejecutiva y periódica de cinco elementos: exposición material a IA, gobernanza, cobertura de aseguramiento, capacidad de Auditoría Interna y brechas de preparación. No tiene que ser un dashboard complejo. Debe permitir al Consejo ver qué cambió, qué fue evaluado, qué queda fuera de cobertura y qué limitaciones podrían reducir la confianza que Auditoría Interna puede proporcionar.

El Internal Audit Excellence Framework del IIA-Australia ofrece una lente complementaria para esta discusión: vincula la excelencia de la función con alineación estratégica, capacidad, tecnología, flexibilidad, innovación y aseguramiento sobre tecnologías emergentes. No es un requisito de las Normas Globales, pero resulta útil para cuestionar si la función está preparada para responder a un riesgo que evoluciona más rápido que los ciclos tradicionales de auditoría.

La conversación madura no termina preguntando si Auditoría Interna “sabe de IA”. Termina preguntando si puede demostrar, con el nivel de competencia y evidencia adecuado, dónde la organización necesita más confianza independiente y cómo piensa obtenerla.

La pregunta final

Si el Consejo solo pudiera hacer una pregunta, debería ser esta:

¿Dónde estamos dependiendo de la IA sin tener todavía suficiente aseguramiento independiente sobre los riesgos que realmente importan?

Una respuesta útil obligará a conectar estrategia, inventario, controles, cobertura, capacidades y recursos. Y, sobre todo, hará visible la diferencia entre estar utilizando IA y estar preparado para gobernarla.