Resumen
La mayoría de las organizaciones ya usan inteligencia artificial, pero pocas saben cuánta, cuánto les cuesta, qué resultados da y qué riesgos asumen. Sin ese inventario, cualquier estrategia de IA se construye a ciegas.
Este método permite responder a esas preguntas en seis meses. Combina lo que ya han hecho otros países (Reino Unido, Estados Unidos, Canadá y Países Bajos) con los marcos que están adoptando las empresas (ISO/IEC 42001 y el marco de riesgos del NIST), y se prepara para el Reglamento Europeo de IA.
Sirve tanto para una Administración como para una empresa. Donde el enfoque cambia, se indica.
1. Por qué hace falta una auditoría
La IA ha entrado en las organizaciones por muchas puertas a la vez: proyectos propios, herramientas que los empleados usan por su cuenta y funciones que llegan dentro del software ya contratado. El resultado es que nadie tiene la foto completa.
Los datos de otros países lo confirman:
- Reino Unido. En 2024, la National Audit Office preguntó a 87 organismos públicos: el 37% ya usaba IA y el 70% tenía pilotos o planes. Concluyó que faltaban responsables claros, financiación y métricas, y que los controles de gasto tecnológico no cubrían los riesgos de la IA.
- Países Bajos. En 2022, el Tribunal de Cuentas auditó 9 algoritmos del Gobierno. Solo 3 cumplían los requisitos básicos. Los otros 6 presentaban riesgos de sesgo, fugas de datos, accesos no autorizados o falta de control sobre sus resultados.
La auditoría responde a tres preguntas:
- Qué hay: qué sistemas se usan, dónde, con qué proveedor y con qué datos.
- Qué rinde: qué casos de uso ahorran tiempo o dinero, y cuáles no.
- Qué riesgo tiene: qué sistemas tienen obligaciones legales y dónde falta control.
2. El método en cinco pasos
Paso 1. Inventario con una ficha común
Cada sistema de IA se registra con la misma ficha, para que los datos sean comparables:
| Bloque | Qué se recoge |
|---|---|
| Caso de uso | Sistema, finalidad, área responsable, estado (piloto o producción), usuarios |
| Contratos y licencias | Proveedor, importe, duración, condiciones de salida |
| Gasto recurrente | Consumo de nube y de modelos, personal dedicado, soporte |
| Datos | Qué datos usa, si son personales, dónde se alojan |
No hace falta inventar la plantilla. Reino Unido obliga desde 2024 a su Administración central a publicar una ficha por cada algoritmo que influya en decisiones sobre ciudadanos (Algorithmic Transparency Recording Standard). Estados Unidos exige a sus agencias federales un inventario público que se actualiza cada año.
En la Administración: el inventario se convierte en un registro público. En la empresa: el registro es interno, pero debe incluir dos cosas que suelen escaparse: la "IA en la sombra" (empleados que usan herramientas por su cuenta) y la IA que ya viene integrada en el software contratado (CRM, ERP, ofimática).
Primer paso práctico: probar la ficha en dos o tres áreas piloto durante el primer mes, corregirla y después extenderla al resto.
Paso 2. Triaje proporcional al riesgo
No todos los sistemas necesitan la misma revisión. Cada uno responde un cuestionario breve que lo sitúa en un nivel de impacto.
El modelo es la evaluación de impacto algorítmico de Canadá, obligatoria en su Administración federal: 65 preguntas de riesgo y 41 de mitigación que asignan uno de cuatro niveles, y cuyos resultados se publican.
| Nivel de impacto | Ejemplo | Revisión |
|---|---|---|
| I. Bajo | Asistente de redacción interno | Solo la ficha del inventario |
| II. Moderado | Clasificación de correos o expedientes | Ficha y revisión documental |
| III. Alto | Priorización de inspecciones o de clientes | Revisión a fondo |
| IV. Muy alto | Acceso a ayudas, selección de personal, concesión de crédito | Revisión a fondo y revisión externa independiente |
Las preguntas clave del triaje son cuatro:
- Nivel de riesgo según el Reglamento Europeo de IA. Algunos usos, como el acceso a prestaciones, la selección de personal o la evaluación de solvencia, se consideran de alto riesgo y tienen obligaciones específicas.
- Protección de datos. Base legal del tratamiento, evaluación de impacto cuando corresponda y ubicación de los datos.
- Supervisión humana. Quién revisa las decisiones del sistema y cómo puede reclamar la persona afectada.
- Dependencia de proveedores. Si la organización puede cambiar de proveedor sin perder sus datos ni su servicio.
Paso 3. Revisión a fondo solo donde importa
Los sistemas de nivel III y IV se revisan a fondo con el marco del Tribunal de Cuentas neerlandés, que cubre cinco áreas:
- Responsabilidades y contratos, sobre todo cuando el sistema lo da un proveedor externo.
- Controles informáticos y de acceso: quién puede tocar el sistema y sus datos.
- Sesgos, revisados durante toda la vida del sistema y no solo al implantarlo.
- Protección de datos.
- Rendimiento e impacto: si el sistema hace lo que se esperaba y con qué efectos.
Paso 4. Medir y decidir con plazo
Cada caso de uso se mide con pocos indicadores, comparando antes y después de implantarlo:
| Indicador | En la Administración | En la empresa |
|---|---|---|
| Tiempo | Horas por trámite, días de respuesta al ciudadano | Horas ahorradas por proceso |
| Coste | Coste por expediente | Retorno de la inversión, coste de licencias y consumo |
| Calidad | Errores, recursos y reclamaciones | Errores, reclamaciones de clientes |
| Adopción | Empleados que lo usan de forma habitual | Igual |
| Satisfacción | Ciudadanos y empleados públicos | Clientes y empleados |
Con estos datos, cada caso de uso se clasifica en tres grupos: escalar, mejorar o cerrar. En la empresa, se añade una cuarta decisión: concentrar proveedores cuando varias herramientas hacen lo mismo.
Dos reglas para que la auditoría acabe en decisiones y no solo en un informe:
- Fijar un plazo. Estados Unidos da a sus agencias 365 días para reducir los riesgos de un sistema de alto impacto o retirarlo.
- Evaluar también el cierre. El Tribunal de Cuentas neerlandés comprobó que retirar un algoritmo puede devolver carga manual a los empleados y reducir los controles que hacía.
Paso 5. Gobierno permanente
Una auditoría puntual se queda vieja en un año. Lo que deja valor es un sistema estable:
- Un responsable de IA y un comité de gobierno. Estados Unidos obliga a cada agencia federal a nombrar un Chief AI Officer y a crear un comité de gobierno de la IA. En la empresa, el comité reúne a Legal, Seguridad, Datos y negocio.
- Control de cambios continuo. Las herramientas, los modelos, los permisos y los proveedores cambian cada pocos meses, así que el inventario no puede ser una foto fija. Cualquier cambio pasa por la ficha antes de activarse: una herramienta nueva, un cambio de modelo, nuevos permisos de acceso a datos o un cambio de proveedor. Cada cambio queda registrado con qué cambió, quién lo aprobó, cuándo y por qué, y si modifica el nivel de impacto, el sistema vuelve a pasar por el triaje. Hay que vigilar también las funciones de IA que los proveedores activan por defecto en el software que ya se usa, revisando sus notas de actualización.
- Inventario revisado cada año, con la misma ficha, para medir la evolución y detectar lo que se haya escapado al control de cambios.
- Un marco de gestión reconocido. La norma ISO/IEC 42001, de sistemas de gestión de la IA, es la que están adoptando las empresas, y es certificable. El marco de riesgos del NIST estadounidense (AI RMF) es la otra gran referencia.
- La IA, dentro de los controles de gasto y de compras. Cualquier contrato nuevo de IA pasa por la ficha y el triaje antes de firmarse.
3. Calendario de seis meses
| Fase | Meses | Qué se hace | Resultado |
|---|---|---|---|
| Inventario | 1-2 | Ficha común, piloto en 2-3 áreas, cuestionario y entrevistas, cruce con contratos y gasto | Registro completo de sistemas |
| Medición | 3-4 | Indicadores por caso de uso, triaje de riesgo, revisión a fondo de los sistemas de alto impacto | Mapa de valor y de riesgo |
| Decisión | 5-6 | Escalar, mejorar o cerrar; plazos de corrección; hoja de ruta con presupuesto | Plan de acción y modelo de gobierno |
4. Quién lo hace
En la Administración, no hace falta un organismo nuevo. Se apoya en los que ya existen: el responsable de administración digital coordina el inventario, el órgano de control interno verifica contratos y gasto, y la autoridad de supervisión de la IA clasifica el riesgo. En España, esos papeles corresponden a la Secretaría General de Administración Digital, la Intervención General de la Administración del Estado y la Agencia Española de Supervisión de la Inteligencia Artificial. Las comunidades autónomas y los ayuntamientos pueden sumarse de forma voluntaria con la misma ficha.
En la empresa, lo lidera el responsable de datos o de IA, con Legal, Seguridad y Compras. Un equipo reducido basta si cada área designa un interlocutor.
5. El Reglamento Europeo de IA, un motivo más para empezar ya
- Formación obligatoria. Desde febrero de 2025, cualquier organización que use IA debe asegurar que su personal tiene un nivel suficiente de conocimiento sobre ella (alfabetización en IA).
- Evaluación de impacto en derechos fundamentales. Los organismos públicos, y las empresas privadas que presten servicios públicos, deberán evaluarla antes de usar sistemas de alto riesgo (artículo 27).
- Sistemas de alto riesgo. Selección de personal, evaluación de crédito o acceso a servicios esenciales tienen obligaciones de documentación, registro y supervisión humana.
Quien tenga el inventario y el triaje hechos tendrá la mayor parte del trabajo adelantado.
6. El impacto en las personas
La IA transforma tareas más que puestos. La auditoría también debe medir qué cambia para cada perfil:
- Tareas: cuáles se automatizan, cuáles se asisten y cuáles no cambian.
- Formación: un plan por perfiles, desde el uso básico y seguro hasta la gestión de proyectos de IA.
- Reasignación: a qué se dedica el tiempo liberado.
Para explorar cómo cambia cada puesto de trabajo con la IA, puedes usar el simulador de AI AM NEXT.
Fuentes
- National Audit Office (Reino Unido), Use of artificial intelligence in government, marzo de 2024. https://nao.org.uk/press-releases/government-encouraged-to-tackle-barriers-to-realising-the-benefits-of-ai
- Gobierno del Reino Unido, Making the Algorithmic Transparency Recording Standard mandatory across government, mayo de 2025. https://dataingovernment.blog.gov.uk/2025/05/08/making-the-algorithmic-transparency-recording-standard-atrs-mandatory-across-government/
- Oficina de Gestión y Presupuesto de EE. UU., memorando M-25-21, abril de 2025 (resumen). https://centrelawgroup.com/blog/current-omb-requirements-for-federal-ai-use-and-procurement/
- Gobierno de Canadá, Algorithmic Impact Assessment tool. https://www.canada.ca/en/government/system/digital-government/digital-government-innovations/responsible-use-ai/algorithmic-impact-assessment.html
- Algemene Rekenkamer (Países Bajos), An audit of 9 algorithms used by the Dutch government, mayo de 2022. https://english.rekenkamer.nl/documents/2022/05/18/an-audit-of-9-algorithms-used-by-the-dutch-government
- Reglamento Europeo de Inteligencia Artificial, artículo 27. https://artificialintelligenceact.eu/article/27/
- NIST, AI Risk Management Framework, enero de 2023. https://www.nist.gov/itl/ai-risk-management-framework
- ISO/IEC 42001:2023, Sistemas de gestión de la inteligencia artificial.
Javier Rivero de Aguilar es responsable de Datos, Procesos e Inteligencia Artificial, con más de trece años de experiencia en el sector público y privado. Este método es una propuesta personal y abierta: si tienes sugerencias o experiencias que compartir, escríbeme por LinkedIn.