Gobierno de la inteligencia artificial desde el Comité de Auditoría

De la adopción tecnológica a la confianza auditable.

La inteligencia artificial ya no puede tratarse como una iniciativa aislada de innovación. Su utilización puede tener un impacto directo en los riesgos, los controles, el cumplimiento, la información financiera y la evidencia generada por una organización.

Por esta razón, la inteligencia artificial debe formar parte de la agenda del Consejo de Administración y, particularmente, del Comité de Auditoría, cuando su uso pueda afectar procesos críticos o decisiones relevantes.

La pregunta del Comité no debe ser solamente:

“¿Tenemos inteligencia artificial?”

La verdadera pregunta debe ser:

“¿Podemos confiar, auditar y defender la forma en que la utilizamos?”

La confianza en la inteligencia artificial no se declara: se documenta, se controla y se audita.

¿Por qué es importante supervisar el uso de inteligencia artificial?

La inteligencia artificial ya tiene un impacto en diferentes áreas de las organizaciones, entre ellas:

1. La gestión de riesgos.
2. El cumplimiento normativo.
3. La operación.
4. La información financiera.
5. La toma de decisiones.
6. La generación y conservación de evidencia.

Estas tecnologías pueden crear valor, mejorar procesos y fortalecer las capacidades de análisis. Sin embargo, también pueden amplificar errores, sesgos y opacidad.

El Comité de Auditoría no tiene la responsabilidad de operar directamente los sistemas de inteligencia artificial. Su función consiste en exigir gobierno, control y evidencia.

Normas para supervisar el uso de inteligencia artificial

Existen diferentes normas y marcos que pueden utilizarse como un mapa de supervisión para el Comité de Auditoría.

ISO/IEC 38507

La norma ISO/IEC 38507 proporciona orientación para la gobernanza del uso de inteligencia artificial por parte de las organizaciones.

Permite establecer criterios para supervisar la forma en que se toman decisiones relacionadas con estas tecnologías y cómo se asignan las responsabilidades dentro de la organización.

ISO/IEC 23894

La norma ISO/IEC 23894 se enfoca en la gestión de los riesgos relacionados con la inteligencia artificial.

Este marco puede utilizarse para identificar, analizar, evaluar, tratar y monitorear los riesgos derivados de los diferentes casos de uso.

ISO/IEC 27001

La norma ISO/IEC 27001 proporciona una base para la gestión de la seguridad de la información.

En el contexto de la inteligencia artificial, resulta especialmente relevante para supervisar:

1. Los accesos.
2. La integridad de la información.
3. La confidencialidad.
4. La disponibilidad.
5. La continuidad operativa.

También pueden utilizarse como referencias complementarias:

1. NIST AI Risk Management Framework 1.0.
2. The Institute of Internal Auditors – AI Auditing Framework.
3. COSO – Artificial Intelligence Guidance.
4. ISO/IEC 42001.

Función del Comité de Auditoría frente a la inteligencia artificial

El Comité de Auditoría debe supervisar el uso de inteligencia artificial mediante responsabilidades claras y una taxonomía práctica de riesgos.

Esto le permitirá enfocar su atención, exigir evidencia y asegurar que existan respuestas adecuadas ante posibles incidentes.

Cuatro responsabilidades del Comité de Auditoría

1. Contar con un inventario ejecutivo de casos de uso

La organización debe identificar los sistemas, modelos, plataformas y herramientas de inteligencia artificial que utiliza.

Este inventario debe permitir conocer:

1. Qué casos de uso existen.
2. En qué procesos participan.
3. Qué áreas los utilizan.
4. Quién es responsable de cada caso.
5. Qué información procesan.
6. Qué nivel de impacto pueden tener.

El inventario debe contemplar tanto las soluciones desarrolladas internamente como aquellas proporcionadas por terceros.

2. Clasificar los casos de uso por criticidad

No todos los sistemas de inteligencia artificial tienen el mismo nivel de riesgo.

Cada caso de uso debe clasificarse de acuerdo con su impacto, autonomía, sensibilidad de los datos y posibles consecuencias.

Un sistema que participa en decisiones financieras, detección de fraude, estimaciones, controles o procesos de auditoría requiere un nivel de supervisión mayor que una herramienta utilizada para tareas administrativas de bajo impacto.

3. Integrar la inteligencia artificial al ERM y al plan anual de auditoría

Los riesgos de inteligencia artificial no deben administrarse de forma aislada.

Deben integrarse al sistema de gestión de riesgos empresariales o ERM, así como al plan anual de auditoría interna.

Esta integración permite establecer:

1. Responsables.
2. Controles.
3. Indicadores.
4. Umbrales de tolerancia.
5. Mecanismos de seguimiento.
6. Planes de respuesta.

4. Solicitar evidencia verificable

Las afirmaciones relacionadas con la seguridad, precisión, desempeño o confiabilidad de un sistema de inteligencia artificial deben estar respaldadas por evidencia.

El Comité de Auditoría debe solicitar documentación que permita verificar:

1. Cómo funciona el sistema.
2. Qué riesgos presenta.
3. Qué controles se implementaron.
4. Quién autorizó su utilización.
5. Cómo se monitorea su desempeño.
6. Qué acciones deben realizarse ante una desviación.

Riesgos de inteligencia artificial que deben aparecer en el radar

El Comité de Auditoría debe contar con una clasificación práctica de riesgos que facilite su identificación, evaluación y seguimiento.

Riesgos relacionados con los datos

La calidad de los resultados de un sistema de inteligencia artificial depende de los datos que utiliza.

Entre los principales riesgos se encuentran:

1. Calidad insuficiente de los datos.
2. Problemas de privacidad.
3. Conservación o retención inadecuada.
4. Falta de trazabilidad.
5. Desconocimiento del origen de la información.
6. Ausencia de un linaje de datos documentado.

Riesgos relacionados con el modelo

Los modelos pueden producir resultados incorrectos, sesgados o inconsistentes.

El Comité debe considerar factores como:

1. Sesgo.
2. Desempeño.
3. Explicabilidad.
4. Validación.
5. Cambios en el comportamiento del modelo.
6. Pérdida gradual de precisión o drift.

Riesgos relacionados con las decisiones

Cuando un sistema de inteligencia artificial participa en la toma de decisiones, debe establecerse claramente su nivel de autonomía.

La organización debe definir:

1. Cuándo puede actuar el sistema.
2. Cuándo se requiere intervención humana.
3. Quién puede revisar una decisión.
4. Quién puede modificarla o rechazarla.
5. Cómo funciona el mecanismo de override.

La intervención humana es especialmente relevante en decisiones críticas o de alto impacto.

Riesgos relacionados con terceros

El uso de proveedores externos puede generar riesgos de dependencia tecnológica, seguridad y continuidad.

El Comité de Auditoría debe revisar:

1. Las condiciones de las licencias.
2. La dependencia del proveedor.
3. La ubicación de los datos.
4. El tratamiento de la información.
5. Las responsabilidades ante incidentes.
6. Los mecanismos para recuperar la información.
7. Los planes de salida o sustitución del proveedor.

Riesgos de seguridad

Los sistemas de inteligencia artificial pueden verse afectados por vulnerabilidades y ataques.

Entre los principales riesgos de seguridad se encuentran:

1. Accesos no autorizados.
2. Fugas de información.
3. Exposición de información confidencial.
4. Manipulación de instrucciones.
5. Ataques mediante prompt injection.
6. Interrupciones del servicio.
7. Problemas de continuidad operativa.

Riesgos de cumplimiento

La utilización de inteligencia artificial puede generar obligaciones legales, regulatorias, reputacionales y éticas.

La organización debe verificar que sus sistemas y casos de uso sean compatibles con:

1. La legislación aplicable.
2. Las regulaciones del sector.
3. Las políticas internas.
4. Los principios éticos de la organización.
5. Sus compromisos de privacidad y seguridad.
6. Sus responsabilidades frente a terceros.

¿Qué debe exigir el Comité para cada riesgo?

El Comité de Auditoría no necesita revisar directamente el código fuente de los sistemas.

Para cada riesgo identificado debe exigir, como mínimo:

1. Un propietario o responsable.
2. Un control.
3. Una métrica.
4. Un umbral de tolerancia.
5. Evidencia verificable.
6. Un plan de respuesta.

La supervisión debe enfocarse en comprobar que los riesgos están identificados, que los controles funcionan y que existe documentación suficiente para respaldar las decisiones de la organización.

Evidencia mínima para los casos de uso críticos

Cuando la inteligencia artificial tiene impacto en la información financiera, las estimaciones, la detección de fraude, los controles o el trabajo de auditoría, el nivel de escrutinio debe elevarse.

La buena práctica consiste en crear un expediente mínimo de evidencia por cada caso de uso crítico y darle seguimiento con una periodicidad definida.

Este expediente debe contener los siguientes elementos:

1. Inventario y responsable del caso de uso

Debe identificarse claramente el sistema, proceso o herramienta, así como la persona o área responsable de su operación y supervisión.

2. Propósito, alcance y límites de uso

Debe documentarse para qué se utiliza la inteligencia artificial, cuáles son sus funciones autorizadas y qué actividades no debe realizar.

3. Nivel de criticidad

Cada caso debe contar con una clasificación basada en su impacto, sensibilidad y nivel de riesgo.

4. Matriz de riesgos

Debe elaborarse una matriz de riesgos alineada con la ISO/IEC 23894, considerando las características particulares del caso de uso.

5. Controles clave y responsables

La organización debe identificar los controles establecidos, las personas responsables de ejecutarlos y la evidencia que demuestre su funcionamiento.

6. Ficha del modelo

Debe integrarse una ficha que incluya, cuando corresponda:

1. Versión.
2. Proveedor.
3. Arquitectura.
4. Entrenamiento.
5. Características relevantes del modelo.

7. Origen y tratamiento de los datos

Debe documentarse de dónde provienen los datos, cómo se utilizan, quién puede acceder a ellos y cuáles son sus condiciones de conservación.

8. Pruebas de desempeño y calidad

El sistema debe someterse a pruebas que permitan evaluar la calidad y confiabilidad de sus resultados.

9. Aprobaciones y excepciones

Las autorizaciones, decisiones y excepciones deben quedar documentadas.

10. Monitoreo continuo y plan de revisión

Debe establecerse un mecanismo para monitorear el desempeño del sistema y revisar periódicamente sus riesgos, controles y resultados.

Agenda de 90 días para el gobierno de la inteligencia artificial

El Comité de Auditoría puede comenzar la supervisión de inteligencia artificial mediante una agenda inicial de 90 días.

Días 1 al 30: inventario y política inicial

Durante los primeros 30 días, la organización debe preparar:

1. Un inventario ejecutivo de los casos de uso.
2. Una identificación preliminar de responsables.
3. Una política inicial para el uso de inteligencia artificial generativa.

La política debe establecer criterios sobre el uso autorizado de herramientas, el tratamiento de información confidencial y las responsabilidades de los usuarios.

Días 31 al 60: mapa de riesgos

Durante esta etapa debe elaborarse un mapa de riesgos alineado con la ISO/IEC 23894.

También deben identificarse los casos de uso críticos que requieren mayores controles, documentación y seguimiento.

Días 61 al 90: auditoría, indicadores y evidencia

En la tercera etapa debe establecerse:

1. Un plan de auditoría interna.
2. Indicadores clave de riesgo o KRIs.
3. El paquete mínimo de evidencia.
4. La periodicidad de los reportes.
5. Los mecanismos de seguimiento del Comité de Auditoría.

Conclusión

La inteligencia artificial debe adoptarse con ambición, pero no sin gobierno.

Las organizaciones que deseen aprovechar sus beneficios deben desarrollar estructuras claras de responsabilidad, gestión de riesgos, seguridad, control y evidencia.

El Comité de Auditoría desempeña una función esencial en este proceso. Su participación permite que la adopción tecnológica no se limite a criterios de innovación o eficiencia, sino que también considere la confiabilidad, la transparencia y la capacidad de demostrar cómo se utilizan los sistemas.

La confianza no se declara: se documenta, se controla y se audita.

Autor: José Vázquez Ortega

Comité de Auditoría del CNCPIE

Referencias

1. ISO/IEC 23894:2023.
2. ISO/IEC 38507:2022.
3. ISO/IEC 27001:2022.
4. NIST AI Risk Management Framework 1.0.
5. The Institute of Internal Auditors – AI Auditing Framework.
6. COSO – Artificial Intelligence Guidance.
7. ISO/IEC 42001:2023.