Auditoría de conformidad de un sistema de IA: checklist para entornos regulados

Cuando llega el día de la auditoría de un sistema de IA, ya es tarde para improvisar. La auditoría no inventa nada: solo comprueba si la gobernanza que dices tener existe de verdad y está documentada. En los entornos regulados donde trabajo, llegar preparado a esa cita es el resultado de meses de disciplina, no de un sprint final.

Auditoría de gobernanza, no solo de modelo

Conviene distinguir dos cosas. Una es la evaluación técnica del modelo (su precisión, su robustez), que abordo en la evaluación de modelos de IA. Otra, distinta y complementaria, es la auditoría de conformidad y gobernanza: comprobar que el sistema cumple los requisitos normativos y que existe trazabilidad de las decisiones. Este artículo se centra en la segunda.

Checklist para preparar la auditoría

Inventario y clasificación

¿Está el sistema inventariado y correctamente clasificado por nivel de riesgo? Un auditor empieza por aquí. Sin un inventario de activos de IA claro, la auditoría arranca con mal pie.

Documentación y evidencias

¿Existe documentación técnica, registros de actividad y evidencias de los controles aplicados? La auditoría de un sistema de IA vive de la evidencia: lo que no está documentado, a efectos prácticos, no existe.

Gestión de riesgos y supervisión humana

¿Hay un proceso de gestión de riesgos vivo y mecanismos de supervisión humana? El auditor querrá ver no solo que existen, sino que se usan y se revisan. La coherencia entre lo que dices y lo que haces es lo que más valora.

Trazabilidad de decisiones

¿Se puede reconstruir quién aprobó qué, con qué datos y bajo qué criterios? La trazabilidad es el corazón de cualquier auditoría en entornos regulados, y la pieza que más cuesta improvisar.

Cómo lo afronto en la práctica

Mantengo viva toda esa evidencia de forma continua, no para la auditoría sino para el buen gobierno del sistema. Esa gestión permanente de la conformidad es lo que sostiene la herramienta que desarrollo, porque reunir la documentación a última hora siempre deja huecos. Cuando la gobernanza es real, la auditoría se vuelve una confirmación tranquila.

Auditoría interna frente a auditoría externa

Conviene distinguir dos momentos. La auditoría interna es la que hago para descubrir mis propios fallos antes de que lo haga nadie más; es preventiva y debe ser implacable, porque su valor está justamente en encontrar lo que falla. La auditoría externa, en cambio, la realiza un tercero independiente y suele tener consecuencias regulatorias o contractuales. Mi recomendación es no esperar a la externa para tomarse en serio la interna: quien audita bien por dentro llega a la externa sin sorpresas desagradables.

En entornos regulados, además, conviene que la auditoría se apoye en un marco reconocido. Un sistema de gestión de IA certificado facilita enormemente el trabajo, porque buena parte de las evidencias ya están organizadas. Por eso conecto la auditoría con la implantación de la norma ISO 42001, que aporta la estructura sobre la que después se audita con orden.

El error de auditar solo una vez

El fallo más caro que veo es tratar la auditoría como un evento aislado: se supera una vez y nadie vuelve a mirar hasta la siguiente, dos años después. Los sistemas de IA cambian rápido, así que una conformidad demostrada en enero puede no sostenerse en diciembre si el modelo se reentrena o cambia su uso. Por eso defiendo auditorías ligeras y periódicas frente a la gran auditoría única que llega tarde y mal.

Esta cadencia regular tiene una ventaja añadida: convierte la conformidad en un hábito barato en lugar de un esfuerzo enorme y puntual. Cuando auditar forma parte de la rutina, cada revisión es pequeña y manejable, y la organización vive mucho más tranquila ante cualquier inspección sorpresa.

Mi conclusión es que una buena auditoría no debería dar miedo, sino tranquilidad. Si has gobernado bien tu sistema de IA durante todo su ciclo de vida, la auditoría solo confirma por escrito lo que ya sabías. El problema nunca es la auditoría en sí: es llegar a ella sin haber hecho los deberes.

Para quien afronta su primera auditoría, mi consejo es empezar por el inventario y la trazabilidad, que son los dos puntos donde más organizaciones flaquean. Si sabes exactamente qué sistemas de IA tienes y puedes explicar por qué cada uno tomó una decisión concreta, llevas más de la mitad del camino recorrido. Conviene además guardar las evidencias de cada revisión de forma ordenada y accesible, no dispersas en correos: cuando llega una inspección, recuperar en minutos el análisis de riesgos y los registros de decisiones transmite control y ahorra muchísimo tiempo. En sectores como la banca o la administración pública, esa capacidad de demostrar conformidad con orden se ha convertido, además, en un requisito para competir por los contratos más exigentes.

Conclusión: auditar lo que ya está bien hecho

La auditoría de un sistema de IA solo es temible cuando la gobernanza es débil. Si has hecho los deberes (inventario, documentación, riesgos y trazabilidad), la auditoría confirma tu buen trabajo en lugar de destaparlo. Ese es el objetivo: que auditar sea verificar, no descubrir.

Preguntas frecuentes sobre la auditoría de un sistema de IA