Muchas organizaciones están avanzando rápidamente en la adopción de Inteligencia Artificial. Se aprueban políticas de uso responsable, lineamientos para IA generativa, marcos de Gobierno de IA, procedimientos de validación y principios éticos.

Sin embargo, existe una diferencia importante entre declarar que la IA está gobernada y demostrar que los controles realmente funcionan.

Una política puede establecer que todo modelo debe ser evaluado antes de entrar en producción. Pero, durante una auditoría, surgirán preguntas mucho más concretas:

¿Dónde se encuentra la evaluación de riesgos?

¿Quién autorizó la implementación?

¿Qué versión del modelo está actualmente en producción?

¿Qué pruebas se realizaron antes de su liberación?

¿Cómo se verifica que los datos utilizados fueron autorizados?

¿Qué cambios se han efectuado desde la aprobación inicial?

¿Quién monitorea el desempeño, los sesgos y las desviaciones?

¿Qué evidencia existe de la supervisión humana?

¿Los incidentes y decisiones revertidas están siendo registrados?

Estas preguntas reflejan un cambio fundamental.

La auditoría de Inteligencia Artificial está evolucionando desde una revisión centrada principalmente en documentos hacia un enfoque basado en evidencia, trazabilidad y efectividad operativa.

En este episodio de Generando Cultura de Riesgos, analizamos por qué una política, aunque sea necesaria, no constituye por sí sola una prueba de control.

También revisamos las evidencias mínimas que una organización debería conservar durante todo el ciclo de vida de una solución de IA:

• Inventario actualizado de modelos y casos de uso.

• Evaluación de riesgos proporcional a la criticidad.

• Aprobaciones formales y responsables claramente identificados.

• Resultados de pruebas y validaciones independientes.

• Historial de versiones y cambios realizados.

• Indicadores de desempeño y monitoreo continuo.

• Registro de incidentes, excepciones e intervenciones humanas.

Uno de los principales desafíos será evitar que la evidencia se prepare únicamente cuando Auditoría Interna solicita información.

Cuando los registros se construyen retrospectivamente, aparecen inconsistencias, documentos incompletos, aprobaciones informales, versiones que no coinciden y decisiones que ya no pueden reconstruirse.

La evidencia debe generarse como parte natural de la operación.

• Cada cambio relevante debe dejar trazabilidad.

• Cada aprobación debe quedar registrada.

• Cada excepción debe contar con autorización.

• Cada alerta debe generar una acción verificable.

• Cada intervención humana debe poder demostrarse cuando el nivel de riesgo lo requiera.

Este cambio también transforma el papel de las tres líneas. La primera línea debe generar y conservar evidencia. La segunda línea debe establecer criterios, controles e indicadores. La tercera línea debe evaluar independientemente si el marco funciona realmente.

En el nuevo entorno de Gobierno de IA, la pregunta ya no será solamente: ¿La organización tiene una política de Inteligencia Artificial?

La pregunta será: ¿Puede demostrar que sus modelos, agentes y decisiones automatizadas operan dentro de los límites aprobados?

Una política expresa la intención. La evidencia demuestra el control.

🎧 Escucha el nuevo episodio de Generando Cultura de Riesgos, el podcast de ALGERisk Corporation.

¿Qué tan preparada está su organización para reconstruir y sustentar las decisiones tomadas por sus sistemas de IA?

#InteligenciaArtificial #GobiernoDeIA #AIGovernance #AuditoriaInterna #InternalAudit #GestionDeRiesgos #RiesgoOperacional #GobiernoCorporativo #Compliance #ISO42001 #ISO23894 #ALGERisk #GenerandoCulturaDeRiesgos