Supervisión humana en IA: aprobar no es supervisar

Una decisión asistida por IA sometida a revisión humana con capacidad real de cuestionar e intervenir

Una persona recibe una recomendación generada por IA, revisa la pantalla durante unos segundos y pulsa “aprobar”. El proceso tiene un humano en el circuito. También tiene una firma electrónica. Pero eso no demuestra que exista supervisión humana efectiva.

El problema aparece cuando la organización confunde presencia humana con control humano. Una aprobación puede ser puramente ceremonial si quien revisa no entiende las limitaciones del sistema, no dispone de información suficiente, trabaja bajo una carga que impide cuestionar cada caso o carece de autoridad para rechazar, escalar o detener la decisión.

La tesis es simple: la supervisión humana es un control solo cuando la persona puede comprender, cuestionar, intervenir y dejar evidencia de lo que hizo. Para auditoría interna y cumplimiento, esto cambia la pregunta. No basta con verificar que exista un paso de aprobación; hay que probar si ese paso puede alterar realmente el resultado.

La aprobación humana puede ser un control ficticio

Los flujos de IA suelen diseñarse con una casilla tranquilizadora: “human review required”. El riesgo es asumir que esa casilla convierte automáticamente el proceso en responsable.

En realidad, un revisor puede quedar reducido a confirmar la recomendación del sistema. Esto ocurre cuando la interfaz presenta el resultado como una conclusión casi definitiva, cuando faltan datos para contrastarlo o cuando los incentivos favorecen la velocidad sobre el cuestionamiento. El Reglamento de Inteligencia Artificial de la Unión Europea reconoce expresamente el riesgo del sesgo de automatización: la tendencia a confiar automáticamente o en exceso en la salida del sistema.

Por eso, el porcentaje de decisiones con “aprobación humana” dice poco por sí solo. Un control sólido debe responder a cuestiones más incómodas: ¿qué podía saber la persona revisora?, ¿qué debía comprobar?, ¿podía apartarse de la recomendación?, ¿existían consecuencias por hacerlo?, ¿quedó evidencia de su razonamiento?

Cinco condiciones para que la supervisión sea significativa

Una supervisión humana útil puede evaluarse con cinco condiciones conectadas.

1. Competencia. La persona debe comprender el propósito del sistema, sus capacidades, limitaciones y principales modos de fallo. No necesita ser científica de datos, pero sí saber qué señales justifican una revisión más profunda y cuándo debe pedir apoyo especializado. La competencia también incluye entender el proceso de negocio y los criterios aplicables a la decisión.

2. Información y tiempo. La revisión debe ocurrir cuando todavía es posible influir en el resultado y con información suficiente para cuestionarlo. Mostrar únicamente una puntuación o recomendación final puede producir una aprobación mecánica. El diseño debe ofrecer el contexto que corresponda: datos de entrada relevantes, limitaciones conocidas, reglas de interpretación, alertas, fuentes o explicaciones disponibles. Además, la carga de trabajo debe ser compatible con una revisión real.

3. Capacidad de cuestionar. El objetivo no es que una persona confirme a la máquina, sino que ejerza juicio independiente. Esto exige criterios claros para aceptar, rechazar o escalar. También requiere una cultura donde contradecir al sistema no se considere un fallo de eficiencia.

4. Autoridad de intervención. La persona supervisora debe poder descartar la salida, revertirla, impedir que se ejecute o detener el sistema cuando corresponda. Una “revisión” sin permisos técnicos o autoridad organizativa es una observación, no un control.

5. Evidencia retenida. La organización debe poder reconstruir qué ocurrió. El registro debería permitir identificar, según el riesgo y el caso de uso, quién revisó, qué información estaba disponible, qué decisión tomó, si hubo una anulación o escalamiento y qué ocurrió después. La trazabilidad no convierte una mala revisión en una buena, pero sin ella resulta difícil evaluar si el control funcionó.

Tres marcos llegan al mismo problema desde lugares distintos

El EU AI Act, ISO/IEC 42001 y COSO no tienen la misma autoridad ni el mismo propósito, pero juntos ayudan a distinguir supervisión real de una aprobación nominal.

El artículo 14 del EU AI Act establece requisitos de supervisión humana para sistemas de IA de alto riesgo. El diseño debe permitir que las personas asignadas comprendan capacidades y limitaciones, vigilen el funcionamiento, tengan presente el sesgo de automatización, interpreten correctamente los resultados y puedan decidir no usar el sistema, invalidar o revertir su salida, intervenir o detenerlo. El artículo 26 añade que los responsables del despliegue deben asignar esta función a personas con la competencia, formación y autoridad necesarias.

Existe una precisión temporal importante. Tras los cambios acordados en 2026, las reglas del capítulo III aplicables a sistemas de alto riesgo del anexo III comienzan el 2 de diciembre de 2027, mientras que las correspondientes a sistemas de alto riesgo integrados en productos regulados del anexo I lo harán el 2 de agosto de 2028, según el calendario actualizado de la Comisión Europea. Estas fechas no reducen el valor del control hoy; simplemente evitan presentar como obligación legal vigente lo que aún está en período de transición.

ISO/IEC 42001:2023 aborda la cuestión desde un sistema de gestión. La norma exige definir responsabilidades y autoridades, determinar la competencia necesaria y conservar información documentada apropiada. Su conjunto de controles y guía de implementación también orienta a determinar en qué etapas del ciclo de vida debe incorporarse una supervisión humana significativa, incluyendo revisión de resultados, autoridad para anular decisiones, monitoreo del desempeño y comunicación de problemas. No significa que cada sistema requiera exactamente la misma intervención humana; la respuesta debe ser proporcional al contexto y al riesgo.

COSO aporta la lógica de control interno. Su marco de 2013 conecta supervisión, estructura y autoridad, competencia, actividades de control, información y monitoreo. En su guía de 2026, Achieving Effective Internal Control Over Generative AI, COSO lleva estos principios a la IA generativa: propietarios con autoridad clara, formación adecuada al rol y órganos de supervisión capaces de cuestionar supuestos, solicitar validación independiente y dirigir acciones correctivas.

Cómo auditar la supervisión: del diseño al comportamiento

El mejor procedimiento no es preguntar “¿hay revisión humana?”. Es seguir una decisión concreta desde la salida de la IA hasta su resultado final y comprobar qué podía hacer realmente la persona revisora.

Dimensión de control	Qué debería existir	Evidencia útil	Prueba de auditoría
Competencia	Conocimiento del sistema, del proceso y de los criterios de escalamiento.	Matriz de roles, formación, evaluaciones, instrucciones de uso.	Seleccionar revisores y comprobar si pueden explicar límites, señales de alerta y acciones esperadas.
Capacidad de cuestionar	Criterios para contrastar la recomendación y detectar excepciones.	Guías de revisión, datos de soporte, casos escalados, decisiones anuladas.	Reejecutar casos de muestra y comprobar si el revisor dispone de información suficiente para llegar a una conclusión propia.
Autoridad	Permisos y respaldo para rechazar, revertir, escalar o detener.	Matriz de autorizaciones, configuración del sistema, protocolos de escalamiento.	Verificar técnicamente los permisos y simular un caso en el que sea necesario intervenir.
Trazabilidad	Registro de la revisión y de las excepciones relevantes.	Logs, historial de decisiones, motivos de anulación, tickets de escalamiento.	Tomar una muestra y reconstruir quién decidió, con qué información, cuándo y qué pasó después.

A estas pruebas conviene añadir analítica sencilla. Una tasa de anulaciones cercana a cero no demuestra por sí misma que exista aprobación mecánica, pero puede ser una señal para investigar. También lo son revisiones extremadamente rápidas, grandes diferencias entre revisores, escalaciones inexistentes o un volumen de decisiones incompatible con el tiempo disponible.

Para sistemas de alto riesgo en la UE, el AI Act incorpora además obligaciones específicas de registro y conservación de logs para los responsables del despliegue cuando esos registros estén bajo su control. Conviene no confundir ambas cosas: tener logs demuestra trazabilidad técnica; no demuestra que una persona haya ejercido juicio de calidad.

Señales de que el humano está solo “en el papel”

La supervisión nominal suele dejar patrones observables. El revisor recibe el resultado sin la información necesaria para contrastarlo. El procedimiento describe una aprobación, pero no define criterios para rechazar. El sistema permite aprobar pero no invalidar. Los casos escalados se consideran retrasos operativos. La formación se limita a una presentación genérica. Nadie analiza por qué ciertos revisores nunca cuestionan al sistema. Y cuando ocurre un error, la organización no puede reconstruir qué vio la persona antes de decidir.

También existe un problema menos visible: la automatización de la responsabilidad. Cuando una decisión sale mal, la organización señala al humano porque “aprobó”; cuando sale bien, atribuye la eficiencia al sistema. Ese diseño desplaza la responsabilidad sin dar a la persona las condiciones necesarias para ejercerla. Desde una perspectiva de control, es una mala arquitectura.

El control no es el clic; es la capacidad de cambiar el resultado

La supervisión humana efectiva no consiste en añadir una persona al final de un proceso automatizado. Consiste en diseñar una intervención humana con propósito, información, competencia y poder real.

Para auditoría interna, la evidencia más convincente no es una política que diga “human in the loop”. Es demostrar que, frente a un resultado dudoso, la persona adecuada reconoce el problema, dispone de criterios para cuestionarlo, puede detener o modificar la decisión y deja un rastro suficiente para que otra persona entienda qué ocurrió.

La pregunta práctica es sencilla: si el sistema se equivoca mañana, ¿el humano asignado tiene una posibilidad realista de detectarlo y cambiar el resultado antes de que se materialice el daño? Si la respuesta es no, la organización tiene una aprobación humana, pero todavía no tiene supervisión humana.