La IA ya está en el plan de auditoría interna. Lo que no está claro es si está bien cubierta. Risk in Focus 2027, la encuesta que los institutos europeos de auditores internos publicaron en septiembre con 797 respuestas de directores de auditoría recogidas entre marzo y abril de 2026, pone los dos datos uno al lado del otro.
La categoría de disrupción digital, nuevas tecnologías e IA sube del tercer al segundo puesto, y el 52 % de los directores la sitúa entre sus cinco riesgos principales. Es también donde más ha crecido el esfuerzo de auditoría. El 57 % dice haberlo aumentado, el mayor crecimiento de toda la encuesta. Y, sin embargo, los propios directores califican de baja la adecuación de la cobertura que auditoría interna da a la IA.
Más horas no es más cobertura
El informe recomienda, ante una gestión del riesgo de IA que todavía va por detrás, un enfoque de asesoramiento, desarrollo de capacidades y gobierno más que de aseguramiento puro. Tiene sentido. Pero asesorar sobre un marco no dice si los sistemas en producción se comportan como el marco promete.
Fuera de Europa el patrón se parece. En Norteamérica, el Pulse of Internal Audit 2025 del IIA, con 405 respuestas recogidas en octubre y noviembre de 2024, recoge que el 41 % de las funciones usa IA generativa en su propio trabajo. Solo el 15 % da aseguramiento sobre el uso que hace de ella la organización, y el 25 % presta asesoramiento.
El propio Risk in Focus apunta una segunda lectura. Algunos directores no auditan la IA en un trabajo propio, sino dentro de otros, como gobierno del dato o ciberseguridad, y uno de ellos describe una cadena de auditorías para cubrir los riesgos conectados. El informe concluye que el apoyo real de auditoría interna puede ser mayor que el que refleja la encuesta. Si es tu caso, la cobertura existe pero no se ve. Y lo que no se ve en el plan no se puede defender ante la comisión.
Lo que cambia con los agentes
El informe recoge el giro con las palabras de un director de auditoría del sector tecnológico. Estos programas empezaron con instrucciones sencillas y ahora avanzan hacia la ejecución de tareas, lo que abre una gama de riesgos completamente distinta. Pensar qué significa que un agente autónomo trabaje como si fuera un miembro del equipo es lo que determina qué permisos de acceso necesita.
El informe advierte además de que las aplicaciones de IA integradas en los sistemas corporativos pueden buscar y recuperar documentos en toda la organización, y los permisos de acceso no se diseñaron para eso.
Qué poner en el plan
- Una definición de cobertura adecuada. El informe pide hablar con las partes interesadas de qué significa una cobertura adecuada de la IA y cómo se refleja en un plan basado en riesgos. Sin esa definición, la adecuación baja no se corrige porque no hay contra qué medirla.
- La IA que ya se audita dentro de otros trabajos, a la vista. Marca en el plan qué pruebas sobre IA viajan dentro de gobierno del dato, ciberseguridad o terceros. Lo que quede fuera de todos ellos es el hueco real.
- Permisos frente a capacidad de búsqueda. Con las credenciales de un usuario corriente, qué documentos sensibles alcanza el asistente corporativo de IA. Nóminas y datos de recursos humanos son los ejemplos que cita el informe.
- Decisiones que hay que poder explicar. Qué decisiones sobre clientes o empleados apoya un modelo y si alguien sabría explicar cada una a un tercero. El informe pide aseguramiento de que esas decisiones no quedan en manos de modelos opacos.
Haber dedicado más horas a la IA no significa tenerla cubierta. Esa diferencia es la que tiene que reflejar el plan.
Nada de esto sustituye la base, que es saber qué agentes y usos de IA existen y qué límites tienen, como contamos al hablar de gobernar los agentes de IA. Lo que añade es la pregunta que acabará haciendo la comisión. De todas las horas dedicadas a la IA, cuántas dan aseguramiento sobre cómo funciona de verdad.
