Jefe de estudios del área de Derecho Facultad Business & Tech La gobernanza de la Inteligencia Artificial -en adelante, IA- puede estar perfectamente diseñada y, sin embargo, no funcionar Ese es uno de los riesgos de los modelos que las organizaciones están implantando: confundir la existencia de una política, un inventario, un comité o un procedimiento de aprobación con la existencia de un sistema efectivo de control. La diferencia aparece cuando dejamos de preguntar qué documentos tiene la organización y comprobamos qué sucede realmente con uno de sus sistemas de IA. ¿Quién autorizó su utilización? ¿Para qué finalidad? ¿Cómo fue clasificado? ¿Qué riesgos se identificaron? ¿Quién podía aceptar el riesgo residual? ¿Quién supervisa su funcionamiento? ¿Cómo se gestionó una incidencia? Y, finalmente, ¿puede la organización demostrarlo?
María Luisa García Torres. Dra. en Derecho Procesal
Auditar la gobernanza de la IA significa medir la distancia entre el modelo diseñado y el que realmente funciona. Supone pasar de la política escrita a la prueba de que funciona: del control previsto al aplicado, de la responsabilidad formal a la ejercida y de la decisión adoptada a la evidencia que permite reconstruirla.
No basta con comprobar que el control existe
El Reglamento (UE) 2024/1689, de Inteligencia Artificial -RIA-, en su redacción vigente tras el Reglamento (UE) 2026/1744, no impone una obligación general denominada «auditoría de la gobernanza de IA» aplicable por igual a todas las organizaciones y sistemas. Sí establece, especialmente para los sistemas de alto riesgo y según la posición de cada operador, obligaciones sobre gestión de riesgos -art. 9-, documentación técnica -art. 11-, registros automáticos -art. 12-, transparencia -art. 13-, supervisión humana -art. 14-, gestión de la calidad -art. 17-, obligaciones de los responsables del despliegue -art. 26- y seguimiento posterior -art. 72-, conforme al calendario del art. 113.
La auditoría no debe limitarse a localizar documentos. La existencia de un control permite comprobar su diseño; después habrá que verificar su implantación, eficacia operativa y capacidad de acreditación, es decir, si deja evidencia suficiente para reconstruir cómo se aplicó.
Pensemos en una política que prohíbe utilizar sistemas de IA no incluidos en el inventario. La regla existe, pero al contrastarla con las herramientas realmente utilizadas aparecen asistentes integrados, extensiones o cuentas gratuitas nunca declaradas. El control no alcanza toda la realidad que pretende gobernar.
Esto conecta con la gobernanza desde el diseño: finalidad, clasificación, responsabilidades, riesgos, supervisión, trazabilidad y evidencias deben incorporarse desde el inicio, no cuando la IA ya está desplegada. El RIA no formula con carácter general un principio denominado governance by design, pero buena parte de su arquitectura responde a una lógica de cumplimiento integrado durante el ciclo de vida.
Auditar exige definir primero el criterio
Antes de concluir que existe un incumplimiento debe determinarse qué se comprueba. No es lo mismo verificar una obligación ya exigible, revisar la preparación para una obligación futura o comprobar un control voluntariamente asumido.
La distinción es importante por la aplicación escalonada del RIA. El Reglamento (UE) 2026/1744 modificó el art. 113 y aplazó la aplicación de las secciones 1, 2 y 3 del capítulo III, con excepción del art. 6.5, hasta el 2 de diciembre de 2027 para los sistemas de alto riesgo del art. 6.2 y anexo III, y hasta el 2 de agosto de 2028 para los del art. 6.1 y anexo I.
Antes de auditar debe identificarse qué obligación o control se revisa, a qué operador corresponde, sobre qué sistema y desde qué fecha resulta exigible.
Las tres líneas: gestionar no es auditar
El modelo de las tres líneas, desarrollado por el Instituto de Auditores Internos -IIA, por sus siglas en inglés-, ofrece una referencia útil, aunque no sea una estructura jurídicamente obligatoria para toda organización.
La primera línea se sitúa donde el sistema se utiliza y el riesgo se gestiona. La segunda puede integrar Riesgos, Compliance, Jurídico, Seguridad, Protección de Datos o gobernanza de IA, con funciones de asesoramiento, supervisión o cuestionamiento. La tercera, cuando existe Auditoría Interna, proporciona aseguramiento independiente y objetivo.
La frontera importa: quien gestiona un riesgo no debería proporcionar aseguramiento independiente sobre su correcta gestión. Sin Auditoría Interna, esta función podrá articularse de otro modo, incluso externamente, preservando suficiente independencia entre quien ejecuta el control y quien lo evalúa.
Cómo llevar la auditoría a la práctica
La revisión puede combinar análisis documental, entrevistas, muestreo y pruebas de recorrido. No es necesario revisar todos los sistemas: puede seleccionarse una muestra atendiendo a finalidad, impacto, nivel de riesgo, datos tratados, autonomía y relevancia para el negocio.
Sobre esa muestra debe reconstruirse el ciclo del sistema: quién solicitó su uso, cómo entró en el inventario, qué clasificación y evaluación recibió, quién lo autorizó, qué controles se establecieron y qué revisiones posteriores se realizaron.
El análisis documental debe contrastarse con la práctica mediante licencias y herramientas realmente utilizadas, entrevistas con usuarios y supervisores, expedientes de aprobación, excepciones e incidencias. Para cada hallazgo deberían identificarse el riesgo, la causa, el control afectado, el responsable y el plazo de remediación.
El alcance debe orientarse por el mapa de riesgos de IA, de modo que los sistemas más críticos reciban una revisión más intensa. También pueden incorporarse pruebas de estrés para comprobar cómo responde la gobernanza ante cambios del proveedor, herramientas no inventariadas, fallos de supervisión o incidentes. Sus resultados deben retroalimentar el sistema.
El inventario y la clasificación deben ponerse a prueba
Difícilmente puede gobernarse lo que la organización desconoce que utiliza. Por eso verificar que existe un inventario aporta poco si no se intenta descubrir qué ha quedado fuera.
La auditoría puede contrastar compras, contratos, licencias SaaS, aplicaciones corporativas, extensiones y funcionalidades añadidas por proveedores. Así puede aflorar la shadow AI: sistemas o funcionalidades utilizados fuera de los canales corporativos de conocimiento y autorización.
La pregunta relevante no es si existe un inventario, sino qué mecanismos permiten afirmar razonablemente que permanece completo y actualizado.
La clasificación también debe poder reconstruirse. Etiquetar una herramienta como de riesgo alto, medio o bajo carece de utilidad si no puede explicarse su finalidad, quién la utiliza, a quién afecta y qué determinó la conclusión. Cambios de finalidad, funcionalidades, autonomía o modelo pueden exigir una nueva evaluación.
Quién puede aceptar el riesgo
Compliance puede identificar una deficiencia. Jurídico valorar sus consecuencias. El CISO analizar un riesgo de seguridad. El DPO ejercer sus funciones en protección de datos. Una función de gobernanza de IA puede coordinar el análisis y un comité deliberar.
Pero identificar, analizar o informar de un riesgo no equivale a tener competencia para aceptarlo. La decisión debe corresponder al nivel que determine el modelo de gobierno, las delegaciones y el marco de apetito y tolerancia al riesgo. La auditoría debe comprobar que esa competencia esté definida y se respete.
Supervisión humana: comprobar si el humano puede decir «no»
La supervisión humana puede convertirse fácilmente en una garantía formal. Incorporar una persona al final del proceso no significa que exista supervisión efectiva. Pero la auditoría puede comprobar su eficacia en cuatro pasos:
- Identificar quién supervisa. Verificar quién tiene asignada la función, qué formación ha recibido y qué autoridad tiene para intervenir.
- Reconstruir qué información tuvo a su alcance. Comprobar qué resultado recibió, si comprendía las limitaciones del sistema y si dispuso de tiempo suficiente para valorar el caso.
- Poner a prueba su capacidad de intervención. Verificar, mediante un caso concreto, si podía cuestionar, corregir o rechazar el resultado, escalar el problema o detener el uso del sistema cuando procediera.
- Examinar qué quedó documentado. Seleccionar una decisión de la muestra y comprobar si los registros permiten identificar quién intervino, qué información tuvo en cuenta y si confirmó, modificó o descartó el resultado.
Proveedores, excepciones e incidentes
Cuando la IA procede de terceros, la revisión no termina con la contratación. Debe comprobarse qué ocurre ante cambios del modelo, nuevas funcionalidades, subproveedores, incidentes o modificaciones relevantes del servicio. Una pregunta resulta especialmente útil: si dentro de seis meses hubiera que reconstruir una decisión adoptada hoy, ¿qué información podría obtener la empresa de su proveedor?
También las excepciones revelan la madurez del modelo. Debe comprobarse quién puede autorizarlas, qué riesgo se asume, qué medidas compensatorias existen y cuándo se revisan. La excepción peligrosa no es la que existe, sino la que se vuelve invisible.
Imaginemos que, tras detectar errores en las recomendaciones de un sistema de IA, la empresa autoriza excepcionalmente que siga utilizándose durante 48 horas, con revisión manual de cada resultado. El auditor debería poder reconstruir quién autorizó la excepción, si tenía competencia para hacerlo y qué información tuvo al decidir. Después tendría que contrastar la autorización con los registros de revisión y de uso del sistema para comprobar si cada resultado se revisó antes de utilizarse y si, al vencer el plazo, cesó el uso excepcional.
Auditar también la evidencia de la gobernanza
No basta con comprobar si existe un control y si funciona. Debe analizarse también qué evidencia genera.
Cuando resulte necesario, la organización debería poder reconstruir qué sistema estaba operativo, qué versión se utilizó, para qué finalidad, quién estaba autorizado, qué evaluación existía, qué controles se aplicaron, quién intervino y qué decisiones se adoptaron.
Esto no significa conservar indiscriminadamente toda la información. La protección de datos, la confidencialidad, la proporcionalidad y los deberes de conservación obligan precisamente a diseñar una gobernanza de la evidencia.
Acumular datos no equivale a garantizar trazabilidad. Una trazabilidad jurídicamente útil exige decidir qué debe registrarse, con qué finalidad, durante cuánto tiempo, con qué garantías de integridad, quién puede acceder y cómo podrá recuperarse.
De la gobernanza formal a la gobernanza demostrable
Una auditoría útil no termina con el informe: sus hallazgos deben volver al sistema y corregir controles, responsabilidades, inventarios, proveedores y riesgos.
La finalidad no es demostrar que la política estaba bien redactada, sino medir la distancia entre la gobernanza que la organización diseñó, la que cree tener y la que realmente funciona.
La siguiente fase de la gobernanza de IA no consistirá únicamente en implantar controles, sino en demostrar que funcionaron. No bastará con afirmar que la IA fue gobernada. Habrá que poder probar cómo se gobernó.