Inteligencia Artificial

Cómo definir el alcance de una auditoría interna de IA

Una auditoría pierde utilidad si empieza revisando controles sin saber qué sistemas entran realmente en alcance. La unidad de análisis no debería ser “la IA de la empresa”, sino cada sistema o caso de uso concreto, vinculado a su finalidad, responsables y contexto de utilización.

La primera comprobación consiste en saber si la organización puede identificar esos elementos sin reconstruirlos desde cero. Si el alcance depende de conocimiento informal, hojas dispersas o personas concretas, ya existe una carencia de preparación.

Inventario de sistemas y casos de uso

¿Qué debe incluir un inventario útil para una auditoría? No basta con listar proveedores, modelos o herramientas. Cada entrada debería permitir entender:

• Qué sistema o caso de uso utiliza IA y en qué proceso interviene.
• Su finalidad concreta y el resultado que produce o condiciona.
• Quién lo utiliza y qué área responde por su operación.
• Proveedor o servicio externo: cuál participa y qué dependencia introduce.
• Los datos implicados y cualquier dependencia relevante.

Este enfoque ayuda a detectar usos que un inventario puramente tecnológico puede pasar por alto, como funcionalidades de IA integradas en aplicaciones corporativas o procesos que han evolucionado desde su aprobación inicial.

También conviene contrastar la finalidad prevista con el uso efectivo. Si una herramienta comenzó ayudando a redactar contenido y después se utiliza para clasificar solicitudes o apoyar decisiones, el contexto que debe revisarse puede haber cambiado.

Finalidad, papel de la organización y responsables

Después hay que determinar qué papel ocupa la organización respecto al sistema. El AI Act diferencia obligaciones entre operadores y contempla supuestos concretos en los que una organización puede asumir responsabilidades distintas, por ejemplo cuando modifica sustancialmente un sistema de alto riesgo o cambia su finalidad de forma que pase a considerarse de alto riesgo.

La auditoría no debería deducir ese papel únicamente de quién compró o contrató la herramienta. Debe dejar documentados la finalidad, el uso efectivo y la relación de la organización con el sistema antes de valorar qué requisitos pueden resultar aplicables.

También hay que identificar responsabilidades reales, no solo un owner nominal. La revisión debería poder responder quién aprueba el uso, quién conoce su funcionamiento, quién gestiona incidencias y quién tiene autoridad para modificarlo o detenerlo.

Con sistema, finalidad, papel y responsables claros, el alcance queda preparado para la siguiente fase: comprobar qué controles existen y qué evidencias permiten demostrar que funcionan.

Qué controles y evidencias conviene revisar

Con el alcance definido, la auditoría debe pasar de identificar sistemas a comprobar qué puede demostrarse sobre ellos. No se trata de exigir el mismo expediente a todos los casos de uso, sino de revisar los controles relevantes según finalidad, papel de la organización y régimen aplicable.

La diferencia clave está entre un control declarado y un control demostrable. Una política puede estar aprobada y, aun así, no quedar claro quién la aplica, cuándo interviene o qué registro permite comprobar que funciona.

Datos, documentación y trazabilidad

¿Basta con disponer de documentación? No. La auditoría debería poder relacionar el sistema con los datos que utiliza, las decisiones de aprobación, los procedimientos aplicables, los registros disponibles y los cambios realizados durante su uso.

Para determinados sistemas de alto riesgo, el Reglamento (UE) 2024/1689 establece requisitos específicos de documentación y registro. En una revisión interna, la trazabilidad también resulta útil como criterio práctico para otros casos, sin convertirla por ello en una obligación universal.

Si existen logs o registros, interesa comprobar qué permiten reconstruir, quién puede acceder a ellos y durante cuánto tiempo deben estar disponibles o conservarse según el régimen aplicable. En sistemas de alto riesgo, el Reglamento establece además obligaciones específicas de conservación para proveedores y responsables del despliegue cuando esos registros están bajo su control.

Ante una incidencia o una petición de información, la organización debería poder localizar las evidencias relevantes y relacionarlas con el sistema auditado sin depender de búsquedas improvisadas entre equipos o proveedores.

Supervisión humana y transparencia cuando correspondan

La supervisión humana no se demuestra afirmando que “una persona revisa”. Cuando este control resulte aplicable, la auditoría debe comprobar quién supervisa, qué autoridad tiene, cuándo debe intervenir y qué evidencia queda de esa intervención.

En sistemas de alto riesgo, el Reglamento exige que la supervisión permita, de forma proporcionada al riesgo y al contexto, comprender capacidades y limitaciones, detectar anomalías, interpretar correctamente los resultados y decidir si deben ignorarse, revertirse o interrumpirse. En esta auditoría interesa verificar cómo se materializa ese control en el caso analizado, no trasladarlo automáticamente a cualquier sistema de IA.

La evidencia puede encontrarse en procedimientos, asignaciones de responsabilidad, registros de intervención o decisiones ante excepciones. Para profundizar en su diseño, puede ampliarse con la guía sobre supervisión humana efectiva.

La transparencia debe revisarse con la misma lógica: primero determinar si existe una obligación o compromiso aplicable y después comprobar qué información se ofrece y cómo puede acreditarse.

Incidentes, cambios y dependencias de terceros

Los controles también pueden quedar desactualizados cuando cambia el uso del sistema. La auditoría debería detectar modificaciones relevantes, nuevas integraciones, cambios de proveedor o usos distintos de los inicialmente aprobados.

Los incidentes y resultados inesperados aportan otra prueba útil: permiten comprobar si existe un mecanismo para detectarlos, escalarlos, tomar decisiones y dejar constancia de lo ocurrido, aunque no todos impliquen una obligación formal de notificación.

Cuando intervienen terceros, conviene separar qué controla la organización de aquello que depende del proveedor. La revisión debe identificar qué documentación o evidencias necesita obtener externamente y qué ocurriría si cambian las condiciones, capacidades o responsabilidades del servicio.

El resultado de este H2 no debería ser una nueva checklist normativa, sino un mapa claro de controles verificables, evidencias disponibles y huecos que pasarán a convertirse en hallazgos.

Cómo detectar carencias y preparar la remediación

La auditoría aporta valor cuando convierte evidencias dispersas y dudas en hallazgos accionables. Cada carencia debería relacionarse con un control concreto, una acción de mejora y una persona responsable de ejecutarla.

El resultado de esta revisión indica el grado de preparación de la organización, no certifica que un sistema cumpla la normativa.

Semáforo de readiness: preparado, parcial o no preparado

¿Cuándo puede considerarse preparado un control? Cuando existe, tiene un responsable claro y la organización puede localizar evidencias de su aplicación.

Un semáforo sencillo permite ordenar la revisión:

• Preparado: el control está definido, tiene responsable y existe evidencia localizable que demuestra su aplicación.
• Si el control existe pero faltan pruebas, responsabilidades o consistencia en su ejecución, el estado es parcial.
• No preparado indica que falta un control necesario para el caso analizado o que no puede demostrarse cómo funciona.

El semáforo debe aplicarse a controles concretos, no a toda la organización. Un mismo sistema puede estar preparado en inventario y responsabilidades, pero presentar carencias en trazabilidad o supervisión.

Además, un estado “no preparado” no equivale automáticamente a incumplimiento: antes debe comprobarse si el requisito resulta aplicable al sistema y al papel de la organización.

Matriz de hallazgos, evidencias y acciones

La matriz puede simplificarse para que sea realmente utilizable durante una reunión de auditoría:

Sistema o caso de uso	Control revisado	Evidencia	Estado	Carencia	Acción y responsable
Asistente interno de soporte	Escalado de respuestas	Procedimiento y registros de uso	Parcial	No está definido cuándo debe escalarse una respuesta	Definir criterio y asignarlo a Operaciones IT
Clasificación automatizada de solicitudes	Supervisión	Logs y revisión de excepciones	Parcial	La responsabilidad de supervisión no está formalizada	Asignarla y documentar su autoridad de intervención

Los ejemplos son hipotéticos y no presuponen que una obligación concreta resulte aplicable.

La información sobre finalidad, papel de la organización, datos o responsables ya debería estar recogida en el inventario. La matriz de hallazgos debe centrarse en qué control se revisó, qué puede demostrarse y qué falta por corregir.

No todos los hallazgos requieren la misma prioridad. Conviene valorar si existe una obligación aplicable, el impacto potencial de la carencia, si falta por completo el control o solo su evidencia y la proximidad de una revisión externa. El objetivo no es crear una puntuación universal, sino decidir qué debe remediarse primero.

Qué debe quedar listo antes de una revisión regulatoria

¿Qué debería poder mostrar la organización sin reconstruir la información desde cero? Al menos:

• Un inventario actualizado que permita relacionar cada sistema con su finalidad, uso real, responsables y contexto.
• Los principales controles deben tener evidencias localizables y personas capaces de explicar cómo se aplican.
• Las carencias abiertas deben estar identificadas, priorizadas y asociadas a una acción y un responsable de remediación.
• Cualquier duda sobre la aplicabilidad regulatoria debe quedar registrada para su análisis, en lugar de esconderse bajo una conclusión genérica de cumplimiento.

Si la auditoría detecta que parte del problema está en la capacidad de las personas para interpretar requisitos, documentar decisiones o aplicar controles, puede ser útil reforzar esas competencias mediante formación específica en Ética y cumplimiento normativo en inteligencia artificial. La formación complementa la gobernanza, pero no sustituye controles, responsabilidades ni evidencias.

Una organización está mejor preparada cuando puede pasar de “creemos que ese control existe” a demostrar cómo funciona, quién responde por él y qué queda pendiente.

Conclusiones

Una auditoría interna de IA aporta valor cuando permite pasar de controles declarados a controles demostrables. No se trata de acumular documentación, sino de saber qué puede justificarse con evidencias, quién responde por cada control y qué carencias siguen abiertas.

La preparación real aparece cuando una organización puede detectar esas carencias antes de una revisión externa y convertirlas en acciones concretas. Ese enfoque reduce la improvisación y evita conclusiones genéricas de cumplimiento que no distinguen entre sistemas, usos y obligaciones aplicables.

Para OpenWebinars, esta preparación también exige desarrollar capacidades de gobernanza: personas capaces de interpretar requisitos, aplicar controles, documentar decisiones y reconocer cuándo una excepción necesita escalarse.