El riesgo de IA es mucho más que un riesgo tecnológico

Una empresa puede implantar una solución de inteligencia artificial desde el área de Tecnología y, sin embargo, sufrir la pérdida en otra parte del negocio. Un modelo puede funcionar técnicamente y aun así recomendar una decisión comercial equivocada. Un asistente puede estar disponible el 99,9 % del tiempo y ofrecer información que incumpla una obligación regulatoria. Una herramienta de selección de personal puede ser segura desde el punto de vista informático y, al mismo tiempo, generar decisiones difíciles de justificar ante candidatos, empleados o autoridades.

Ese es el problema de clasificar automáticamente la IA como riesgo tecnológico. La tecnología importa, pero es solo una parte de la exposición. La IA modifica decisiones, procesos, relaciones con terceros, responsabilidades humanas y, en algunos casos, la evidencia en la que una organización confía.

El riesgo tecnológico es una dimensión del riesgo de IA; no es el contenedor de todos sus efectos.

Para Auditoría Interna, la consecuencia es práctica: la cobertura de IA no debería empezar preguntando únicamente qué modelos utiliza la organización, sino qué objetivos, decisiones y procesos dependen de ellos y qué puede ocurrir si fallan o se utilizan de forma inadecuada.

La IA entra por tecnología, pero el impacto termina en el negocio

La IA se utiliza para aprobar crédito, priorizar clientes, detectar fraude, seleccionar candidatos, recomendar inventario o responder consultas. Cada uso está insertado en un proceso con un propietario, un objetivo, partes interesadas y consecuencias.

Esta perspectiva coincide con la gestión de riesgos empresariales. COSO ERM integra el riesgo con la estrategia y el desempeño, y su guía de IA vincula la gestión de riesgos con la estrategia y ejecución de las iniciativas. La declaración de posición del IIA sobre el papel de Auditoría Interna en ERM también conecta estrategia, operaciones, finanzas, cumplimiento y cultura.

Tecnología, seguridad, datos y arquitectura siguen siendo participantes esenciales. El error consiste en tratarlos como los únicos propietarios relevantes del riesgo.

Seis riesgos empresariales que un enfoque de TI puede pasar por alto

La misma debilidad técnica puede generar consecuencias distintas según el contexto. Una respuesta inexacta de un modelo puede ser una molestia en una herramienta interna de lluvia de ideas, pero convertirse en un problema de cumplimiento si se utiliza para comunicar condiciones contractuales a un cliente.

Riesgo	Cómo puede aparecer	Consecuencia empresarial	Foco de auditoría
Estratégico	La organización adopta IA sin una tesis clara de valor, depende excesivamente de un proveedor o utiliza el sistema para una decisión que no debería automatizarse.	Inversión sin retorno, decisiones deficientes, pérdida de ventaja competitiva o desviación de objetivos.	Alineación con estrategia, criterios de aprobación, apetito de riesgo, medición de beneficios y decisiones de salida.
Operacional	Resultados inexactos, degradación del desempeño, integraciones débiles o procesos incapaces de operar cuando la IA falla.	Errores, retrasos, reprocesos, interrupciones o decisiones inconsistentes.	Controles del proceso completo, monitoreo, excepciones, continuidad, escalamiento y supervisión humana.
Cumplimiento y legal	Uso de datos personales, decisiones discriminatorias, conservación inadecuada de registros o incumplimiento de obligaciones sectoriales.	Sanciones, litigios, restricciones de uso o necesidad de remediación.	Requisitos aplicables, evaluación de impacto, trazabilidad, privacidad, documentación y participación de Legal/Compliance.
Fraude y abuso	Suplantación mediante voz o video sintéticos, documentos fabricados, automatización de engaños o uso malicioso de herramientas generativas.	Pagos indebidos, acceso no autorizado, manipulación de controles o evidencia falsa.	Verificación independiente, autorizaciones, segregación, controles de identidad, investigación y respuesta a incidentes.
Personas y cultura	Dependencia excesiva del sistema, pérdida de habilidades, responsabilidades ambiguas o incentivos para usar herramientas no aprobadas.	Juicio debilitado, errores no cuestionados, resistencia al cambio o prácticas de trabajo inseguras.	Responsabilidades, formación, competencias, mecanismos de desafío y definición real de la supervisión humana.
Reputación y confianza	Resultados ofensivos, injustos, engañosos o inconsistentes llegan a clientes, empleados o al público.	Pérdida de confianza, quejas, abandono de clientes o deterioro de marca.	Expectativas de partes interesadas, monitoreo de resultados, mecanismos de queja, transparencia y remediación.

Estos dominios se encadenan. Un fallo operativo puede convertirse en incumplimiento y luego en crisis reputacional. La IA hace visible una realidad conocida de ERM: los riesgos importantes rara vez respetan el organigrama.

El informe del IIA Internal Audit and AI-Enabled Fraud muestra cómo la IA puede fabricar documentos, manipular audio o video y escalar engaños. La respuesta no es solo técnica: también exige autorizaciones, verificación independiente, escalamiento y escepticismo frente a la evidencia.

Los principales marcos ya tratan la IA como un problema empresarial

Tres marcos ayudan a evitar una visión demasiado estrecha.

El NIST AI Risk Management Framework aborda riesgos que pueden afectar a personas, organizaciones y sociedad. Sus funciones Govern, Map, Measure y Manage conectan contexto, partes interesadas, impactos, medición y respuesta. A septiembre de 2026, NIST mantiene publicada la versión 1.0 mientras trabaja en su revisión.

ISO/IEC 42001:2023 también supera la lógica de controles técnicos: incluye contexto, liderazgo, responsabilidades, evaluación y tratamiento de riesgos, evaluación de impactos, competencia, operación y seguimiento. Su Anexo C, informativo, ofrece ejemplos como rendición de cuentas, equidad, privacidad, robustez, seguridad y transparencia; no es un conjunto adicional de requisitos certificables.

Finalmente, The IIA's Artificial Intelligence Auditing Framework, 2nd Edition orienta a los auditores a evaluar estrategia de IA, madurez del gobierno, riesgos y controles sobre datos, algoritmos y ciberseguridad. La señal común es clara: la tecnología se gobierna dentro de un sistema empresarial, no fuera de él.

Qué cambia para Auditoría Interna

Las Normas Globales de Auditoría Interna no exigen una auditoría de IA por el simple hecho de que exista inteligencia artificial. Exigen algo más útil: que el Director de Auditoría Interna comprenda los procesos de gobierno, gestión de riesgos y control, y que el Plan de Auditoría Interna se base en una evaluación documentada de las estrategias, objetivos y riesgos de la organización.

La Norma 9.1 conecta esa comprensión con decisiones estratégicas y operativas, fiabilidad de la información, eficacia de operaciones y cumplimiento. La Norma 9.4 exige considerar el gobierno de TI, el riesgo de fraude, los programas de cumplimiento y ética y otras áreas de alto riesgo, además de mantener el Plan dinámico ante cambios relevantes.

Para IA, esto conduce a tres formas complementarias de cobertura:

Auditar el gobierno de IA como tema transversal cuando la organización carece de inventario, responsabilidades, políticas, criterios de aprobación o monitoreo consistentes.
Integrar el riesgo de IA en auditorías de procesos cuando la tecnología ya está embebida en compras, ventas, finanzas, recursos humanos, servicio al cliente u otros procesos materiales.
Realizar trabajos especializados sobre sistemas o modelos concretos cuando su impacto, complejidad o perfil de riesgo justifique pruebas más profundas y, en su caso, apoyo de especialistas.

La tercera opción no sustituye a las dos primeras. Un modelo puede funcionar como fue diseñado y aun así utilizarse para la decisión equivocada, con responsabilidades débiles o fuera del apetito de riesgo.

Una forma más útil de llevar la IA al universo auditable

En lugar de crear un universo paralelo denominado “IA”, puede ser más útil empezar por cada caso de uso y conectarlo con el negocio. Cinco preguntas bastan para cambiar la conversación:

¿Qué objetivo o decisión soporta? Si no puede explicarse el propósito empresarial, tampoco puede evaluarse bien el riesgo.
¿Quién responde por el resultado? El proveedor, el modelo o el chatbot no sustituyen la responsabilidad de la Dirección.
¿Qué consecuencias importan? Incluya efectos financieros, operativos, legales, humanos, de fraude y reputacionales, no solo disponibilidad o ciberseguridad.
¿Qué controles mantienen el riesgo dentro de límites aceptables? Considere datos, acceso, validación, supervisión humana, monitoreo, terceros, excepciones y respuesta a incidentes.
¿Qué evidencia permitiría demostrar que esos controles funcionan? Políticas, inventarios y comités son insuficientes si no existe evidencia de operación, revisión y corrección.

Esta lógica mantiene la IA en el lenguaje normal de Auditoría Interna: objetivos, riesgos, controles, evidencia y responsabilidad. También ayuda a distinguir cuándo se necesita un especialista y cuándo existe un control de negocio conocido con una nueva fuente de riesgo.

La madurez no consiste en convertir toda exposición de IA en una auditoría tecnológica, sino en reconocer dónde cambia la capacidad de la organización para crear, proteger y mantener valor y ajustar la cobertura de aseguramiento.