Preparación para Auditoría de IA y la Brecha entre Aprobar y Gobernar
Dos Encuestas de 2026 Midieron la Confianza. Los Cinco Niveles de Postura de IA Explican de Dónde Proviene
Este artículo tiene fines educativos y no constituye asesoramiento legal ni criterios de certificación. Las organizaciones deben consultar con asesores legales calificados sobre las obligaciones que les apliquen.
Creer que se superaría una auditoría de IA es en sí mismo un autoinforme, y la auditoría existe precisamente porque los autoinformes no son evidencia.
Dos informes, una misma forma
El 29 de julio de 2026, Schellman publicó su State of AI Governance Report 2026. Researchscape realizó la encuesta entre el 13 de abril y el 11 de mayo de 2026, entre 525 profesionales estadounidenses que trabajan en o alrededor de la gobernanza de IA, en organizaciones con más de 500 empleados y al menos 100 millones de dólares en ingresos anuales. El hallazgo principal fue una brecha amplia: una gran mayoría creía que su organización podría superar hoy una auditoría de cumplimiento de IA, mientras que un grupo mucho menor describió su gobernanza como plenamente madura. Schellman estructuró el informe en torno a cinco áreas donde la confianza y la madurez divergen: financiamiento, supervisión de IA agéntica, rendición de cuentas, preparación regulatoria e impacto en el negocio.
El informe de Drata, The State of GRC in the Age of AI, publicado el 15 de julio de 2026, encuestó a 300 profesionales de TI y seguridad a través de Wakefield Research, y encontró la misma forma desde el otro lado. Solo una pequeña minoría confiaba plenamente en poder identificar cada herramienta de IA en uso dentro de su organización. Una mayoría afirmó que una herramienta de IA usada para tareas de GRC ya había contribuido, al menos una vez, a una auditoría fallida o al incumplimiento de un estándar regulatorio.
Ambas encuestas son investigaciones patrocinadas por proveedores, y ambos patrocinadores venden justamente lo que sus hallazgos recomiendan: Schellman es un organismo de certificación ISO 42001, y Drata vende automatización de cumplimiento. Por lo tanto, los porcentajes merecen el mismo escepticismo que merece cualquier encuesta patrocinada, y eso es exactamente lo que les otorgo. La forma del problema no depende de ellos. La confianza es alta, la visibilidad es baja, y la auditoría ya se ha fallado en algún rincón de la organización.
Lo que realmente evalúa una auditoría
La expresión "auditoría de IA" oculta un objeto muy específico. En la mayoría de las empresas significa conformidad con ISO/IEC 42001:2023, el estándar de sistemas de gestión de IA publicado en diciembre de 2023, o con un programa modelado a partir de él. Los requisitos auditables se distribuyen en siete cláusulas: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. El Anexo A añade un conjunto de controles de referencia, agrupados bajo apartados como políticas relacionadas con la IA, evaluación de impactos de los sistemas de IA, ciclo de vida del sistema de IA, datos para sistemas de IA y uso de sistemas de IA.
Cada una de esas cláusulas evalúa el sistema de gestión. La Cláusula 6 pregunta si la organización planificó el riesgo de IA y evaluó el impacto de sus sistemas. La Cláusula 9 pregunta si decidió qué monitorear, con qué método y cuándo, y si realizó una auditoría interna y una revisión de la dirección. Una organización que documenta todo esto, sigue sus propios documentos y puede presentarlos cuando se le solicite, aprobará la auditoría. Para eso sirve una auditoría de sistema de gestión.
Ahora observemos lo que no evalúa. El estándar exige que la organización determine qué medir. No exige que esa medición incluya cómo se comporta el analista cuando la respuesta del modelo es incorrecta. Una organización puede tener un certificado, una política, una evaluación de impacto y una cadencia de monitoreo, y aun así no contar con ningún registro que documente si un solo profesional detectó un solo error sembrado. Cuando se introducen nuevos sistemas, se audita la ejecución. El comportamiento, no.
Así que las dos respuestas de la encuesta de Schellman responden en realidad a preguntas distintas. "¿Podríamos superar una auditoría?" pregunta si el aparato existe. "¿Es madura nuestra gobernanza?" pregunta si ese aparato funciona. La primera es una pregunta documental. La segunda, una pregunta conductual. Los encuestados hicieron bien en responderlas de manera diferente. La brecha es la parte honesta de los datos.
Dónde se ubica la brecha en la escalera
El modelo de madurez AI Posture da coordenadas a esa brecha. Evalúa a una organización en tres vectores independientes —Personas, Infraestructura y Regulación— y cada vector avanza por los mismos cinco niveles: Perceiving (un reconocimiento por escrito, sin nada medido), Assessing (existe una línea base), Integrating (un cambio de política se remonta a esa línea base), Calibrando (medido de forma continua, defendible ante un revisor externo) e Ingeniería (mantenido como capacidad).
Ubiquemos las respuestas de la encuesta en esa escalera. Una organización con una política de IA por escrito y sin medición conductual está en Perceiving en el vector Personas, sin importar cuánta confianza tenga. Una organización que superaría una auditoría ISO 42001 tiene, en el vector Regulación, algo cercano a Integrating: las obligaciones existen como controles, y esos controles están documentados. "Plenamente madura" es una afirmación sobre Calibrando o un nivel superior. Lo que la encuesta midió fue la distancia entre el Nivel 1 en un vector y el Nivel 4 en otro, reportada por el mismo encuestado como si fuera un solo número.
La regla de restricción de AI Posture rechaza ese promedio. La postura general de una organización es el mínimo de sus vectores dentro del alcance. Estar en Calibrando en Regulación con Perceiving en Personas da como resultado Perceiving. Esto es estructural, y por eso un certificado no resuelve la pregunta sobre la madurez: el certificado eleva un vector, pero los vectores no se elevan entre sí. Las obligaciones del vector Regulación en las distintas jurisdicciones están catalogadas en EveryAILaw; la preparación del vector Infraestructura para la interacción con agentes es una disciplina distinta, con su propia evidencia. Ninguna de las dos es el vector Personas, y ese es precisamente el vector en el que los encuestados de Schellman resultaron menos medidos y más confiados.
El hallazgo sobre la revisión humana es la señal reveladora
La sección de Schellman sobre supervisión agéntica es la parte del informe que sí llega al vector Personas, y es la parte que debería preocupar a los más confiados. Entre las organizaciones con agentes en pruebas o en producción, el informe público señala únicamente que los enfoques para revisar las decisiones y acciones de los agentes varían considerablemente. Tres modelos de revisión cubren ese rango. Algunas organizaciones definen umbrales que activan la revisión humana. Otras revisan solo las decisiones que consideran de alto riesgo, sin que nada garantice que alguien haya dejado por escrito qué significa "alto riesgo". El resto exige que una persona revise cada acción del agente, sin importar el riesgo.
El tercer modelo es el que produce la confianza. Suena riguroso, y se degrada al contacto con el volumen. Cuando una sola persona debe aprobar todo, las aprobaciones se convierten en sellos automáticos en un trimestre o dos, y la organización asume el costo de la revisión sin obtener su protección. El segundo modelo tiene el mismo defecto, aunque a un ritmo más lento: un umbral indefinido es, en la práctica, un umbral que cada revisor fija bajo presión de tiempo. Este es el punto de la secuencia de deriva operativa en el que la revisión humana se vuelve performativa, mientras el paso de revisión sigue existiendo en el diagrama del proceso. Un auditor que lee el diagrama ve supervisión. Los tableros muestran actividad. No muestran fiabilidad.
Nada en una auditoría de sistema de gestión distingue un paso de revisión que detecta errores de uno que simplemente los marca con una hora. Esa es la medición que la Cláusula 9 deja a criterio de la organización, y es precisamente la que las organizaciones más confiadas no han realizado.
Qué haría que la confianza estuviera justificada
Pasar de Perceiving a Assessing en el vector Personas requiere un solo artefacto: una línea base de cómo se comportan realmente las personas cuando la salida de la IA es incierta, incompleta o incorrecta. No lo que reportan, sino lo que hacen.
PAICE (People + AI Collaboration Effectiveness) produce esa línea base. La evaluación siembra errores del tipo que llegan a informes y documentos entregados a clientes —plausibles, expresados con confianza y falsos— y mide si el profesional los detecta, verifica la afirmación que sustenta la decisión, escala el caso cuando no puede confirmar una fuente, y corrige en lugar de defender el error. Alguien que suena fluido pero pasa por alto el error sembrado obtiene una puntuación más baja que una persona escueta que detecta todo. El resultado es un perfil de fiabilidad a nivel de cohorte, exactamente el tipo de medida de monitoreo que la Cláusula 9 pide a la organización que elija, y que no puede elegir por ella.
La arquitectura mantiene el principio de gobernanza sin vigilancia. Las puntuaciones se vinculan a identificadores anonimizados (hash). No se conserva ningún texto de las conversaciones. Los resultados individuales son estructuralmente inaccesibles para la organización, no simplemente ocultos por política. Un comité de gobernanza ve la fiabilidad de su cohorte y la dirección hacia la que se mueve. No ve con qué analista habría que hablar. El analista sí lo sabe.
Una organización que cuenta con esa línea base puede responder las dos preguntas de la encuesta con un solo número, porque ese número ya no es un autoinforme. Puede nombrar su nivel en el vector Personas, mostrar la evidencia y señalar el siguiente peldaño. Hasta entonces, la auditoría que creemos que superaríamos solo está evaluando el papeleo, y la madurez que ponemos en duda es justamente la parte a la que el papeleo nunca llegó.
¿Quiere evaluar la preparación de su equipo para la colaboración con IA? Conozca PAICE para organizaciones o realice una evaluación individual para comprobarlo de primera mano.
Lecturas recomendadas
- Five Levels of AI Posture - El modelo de madurez y los criterios de evidencia en cada nivel
- AI Governance Metrics Beyond Adoption and Training - Por qué el catálogo estándar de gobernanza mide todo excepto al operador
- How to Audit Human Oversight in AI-Enabled Workflows - Seis preguntas que distinguen una revisión real de un simple sello de tiempo
- Regulatory Readiness Is Not AI Literacy - Qué deben demostrar los equipos de GRC, y qué prueban en realidad los certificados
¿Curioso pero con poco tiempo?
Realiza el PAICE Pulse de 3 minutos — una verificación rápida de confianza que muestra cómo percibes tu propia postura de colaboración con IA. No requiere inicio de sesión.