Cuándo funciona realmente la supervisión humana de la IA

Imagine un sistema de IA que recomienda qué candidatos deben pasar a la siguiente fase de contratación. La política dice que “la decisión final siempre la toma una persona”. Sin embargo, el revisor recibe un único puntaje, dispone de menos de un minuto por candidato, no puede ver la evidencia que sustentó la recomendación y necesita autorización del gerente para apartarse de ella.

Hay un humano en el circuito. Pero el control es, en gran medida, decorativo.

Esa distinción importa porque la supervisión humana no funciona por la mera presencia de una persona al final del proceso. Funciona cuando esa persona tiene información, competencia, tiempo, autoridad y un mecanismo real para detectar errores, cuestionar la recomendación, intervenir y aprender de lo ocurrido. Para auditoría interna, la pregunta correcta no es “¿hay revisión humana?”, sino “¿qué puede hacer realmente ese revisor cuando la IA se equivoca?”.

“Human in the loop” no es sinónimo de control efectivo

Muchas organizaciones describen la supervisión como un paso del flujo: la IA recomienda; una persona aprueba. Ese diseño confunde una actividad con un control.

Un control necesita un objetivo: por ejemplo, evitar una decisión incorrecta, discriminatoria, insegura o contraria a una política cuando la IA no es suficientemente confiable. Si el revisor no puede reconocer la condición que debería impedir, su aprobación reduce poco el riesgo.

El problema se agrava con el sesgo de automatización: la tendencia a aceptar o sobrevalorar una recomendación automatizada. El NIST AI Risk Management Framework señala que los resultados de la interacción humano-IA varían y que los roles deben definirse con claridad. En cinco experimentos de selección de personal con 1,403 participantes, las personas tendieron a seguir consejos incorrectos y las explicaciones del sistema no redujeron de forma consistente esa sobredependencia.

Una persona no añade control solo por aparecer en el organigrama del proceso. Añade control cuando puede producir una decisión mejor informada que la que resultaría de aceptar automáticamente la salida de la IA.

Lo que exigen o sugieren los marcos

El artículo 14 del Reglamento de Inteligencia Artificial de la UE convierte la supervisión humana en un requisito explícito para los sistemas de IA de alto riesgo a los que resulte aplicable. Las medidas deben ser proporcionales al riesgo, al nivel de autonomía y al contexto de uso. El diseño debe permitir que la persona comprenda capacidades y limitaciones, vigile anomalías, tenga presente el riesgo de sesgo de automatización, interprete la salida y pueda decidir no utilizarla, anularla, revertirla o detener el sistema cuando corresponda. El artículo 26 añade que el responsable del despliegue debe asignar esa función a personas con la competencia, formación, autoridad y apoyo necesarios.

Estas obligaciones no aplican automáticamente a todo sistema de IA ni a toda jurisdicción. Las reglas de alto riesgo de la UE siguen un calendario transitorio que debe verificarse por categoría en la información de implementación de la Comisión Europea. Fuera de la UE, el Reglamento puede servir como referencia de diseño, no como legislación local por defecto.

ISO/IEC 42001:2023 aborda el tema desde otra perspectiva. Como norma de sistema de gestión, su control normativo A.9.3 exige que la organización identifique y documente objetivos para el uso responsable de sistemas de IA. La guía de implementación del Anexo B desarrolla esa idea y propone determinar en qué etapas del ciclo de vida se necesita una supervisión humana significativa. Entre los mecanismos que contempla están la revisión de salidas, la autoridad para anular decisiones, el monitoreo del desempeño y la preparación de las personas que realizan la supervisión.

La diferencia importa: ISO/IEC 42001 exige definir y documentar objetivos de uso responsable; las medidas concretas del Anexo B son orientación de implementación. Para un auditor, ambas capas permiten preguntar qué objetivo persigue el control y cómo se demuestra que opera.

Siete condiciones para que la supervisión sea significativa

Una forma práctica de evaluar el diseño es descomponer el control en condiciones observables.

Condición	Cuando funciona	Señal de debilidad
1. Objetivo de decisión claro	Está definido qué riesgo debe detectar o reducir la revisión y en qué decisiones interviene.	“Todos los resultados son revisados” sin explicar qué debe buscar el revisor.
2. Información suficiente	La persona ve contexto, limitaciones, evidencia relevante y, cuando es necesario, información independiente de la salida de IA.	Solo recibe un puntaje, etiqueta o recomendación final.
3. Competencia adecuada	Conoce el dominio, entiende cómo debe usarse el sistema y reconoce errores plausibles.	Un usuario sin conocimiento suficiente confirma decisiones que no puede evaluar.
4. Capacidad operativa	Dispone de tiempo, carga de trabajo y herramientas compatibles con una revisión real.	Miles de decisiones por hora convierten la revisión en un clic rutinario.
5. Autoridad para intervenir	Puede rechazar, modificar, detener o escalar sin barreras indebidas.	El procedimiento permite “revisar”, pero castiga o bloquea el desacuerdo.
6. Diseño contra la sobredependencia	La interfaz y el proceso favorecen la comprobación y hacen visibles incertidumbre, excepciones o datos contradictorios.	La salida se presenta como una respuesta definitiva y persuasiva.
7. Trazabilidad y aprendizaje	Se registran revisiones, anulaciones, motivos, incidentes y patrones para mejorar el sistema y el control.	La organización no sabe con qué frecuencia los humanos corrigen a la IA ni qué ocurre después.

Estas condiciones no exigen revisar cada decisión de la misma forma. Revisar todo puede ser peor que una supervisión basada en riesgo si el volumen vuelve imposible un análisis serio. La intervención puede activarse por baja confianza, umbrales, casos sensibles, desviaciones o consecuencias de alto impacto.

Por qué fallan los controles que parecen razonables

El primer fracaso es la aprobación nominal. Un nombre y una marca de tiempo prueban que hubo un clic, no qué se verificó ni que existió supervisión.

El segundo es la asimetría de información. Si el revisor recibe solo la conclusión de la IA, sin información alternativa o granular, su capacidad de desafío es limitada. Un estudio de selección de personal encontró que advertir sobre posibles errores aumentaba la intensidad de verificación. El diseño debe permitir inspección, no solo consumo de resultados.

El tercero es el experto sin autoridad. Una persona puede detectar el problema y aun así carecer de capacidad para detener el proceso, revertir una decisión o escalarla. El Reglamento de IA de la UE acierta al separar competencia de autoridad: una sin la otra no produce supervisión efectiva.

El cuarto es el control sin retroalimentación. Si las anulaciones no se analizan, se pierde información sobre errores recurrentes, deriva, problemas de datos o criterios mal definidos. El revisor se convierte en un parche, no en una fuente de aprendizaje.

Cómo puede auditarse sin convertirse en especialista de modelos

Un auditor interno no necesita validar matemáticamente el modelo para probar la supervisión humana. Puede empezar por el proceso y su evidencia de operación.

Defina la decisión y la consecuencia. Identifique qué decide o recomienda la IA, quién puede verse afectado y qué error pretende prevenir la revisión humana.
Haga un recorrido de una decisión real. Pida al revisor que muestre exactamente qué ve, qué puede consultar, cuánto tiempo tiene y qué hace cuando no está de acuerdo.
Pruebe casos de desafío. Seleccione ejemplos donde la IA haya sido incorrecta, atípica o contradictoria. Verifique si el revisor detectó el problema y si pudo intervenir.
Analice el comportamiento, no solo la política. Compare tasas de aceptación, anulación y escalamiento por persona, equipo, tipo de caso y período. Una tasa de aceptación cercana al 100% no prueba por sí sola un fallo, pero sí justifica preguntar si existe desafío real.
Busque el ciclo de aprendizaje. Compruebe si las anulaciones, quejas, incidentes y errores alimentan cambios en criterios, entrenamiento, configuración, límites de uso o monitoreo.

Para riesgo, “porcentaje de decisiones con revisión humana” es una métrica débil. Es mejor medir casos cuestionados, errores detectados, decisiones revertidas, tiempo de intervención y cambios derivados.

El control no es el humano: es la capacidad de intervenir

La supervisión no es una elección binaria entre automatización y juicio humano. El diseño depende del riesgo, del contexto y de lo que aporta cada parte del sistema.

Algunas tareas de bajo impacto pueden operar sin revisión individual. Otras requieren personas en puntos concretos. Las decisiones de alta consecuencia pueden exigir revisión independiente, doble validación, límites técnicos, escalamiento obligatorio o prohibiciones de automatización.

La prueba decisiva es sencilla: si la IA entrega una recomendación equivocada mañana, ¿la persona asignada tiene una posibilidad realista de reconocerla, cuestionarla, detenerla y dejar evidencia de por qué lo hizo? Si la respuesta es no, la organización no tiene supervisión humana efectiva. Tiene una persona colocada frente a una decisión automatizada.