Cómo preparar tu empresa para una auditoría de cumplimiento de IA

Una auditoría de cumplimiento de IA no consiste en revisar si tienes una política escrita. Consiste en comprobar si puedes demostrar con evidencias qué hacen tus sistemas de IA, con qué datos, bajo qué control y con qué consecuencias.

Esa palabra, demostrar, es la que hace fracasar la mayoría de las revisiones. Las empresas suelen tener intenciones correctas y cero trazabilidad.

Esta guía explica qué expediente hay que tener listo y cómo es el proceso.

Por qué puede llegarte una auditoría

Tres vías principales, y solo una es la inspección:

1. Requerimiento de una autoridad: en España la AESIA como autoridad de vigilancia del mercado, o una autoridad sectorial. Suele empezar por una solicitud de documentación con un plazo corto.
2. Exigencia de un cliente o de un concurso público: cada vez más contratos incluyen cláusulas de cumplimiento del AI Act y piden acreditación documental. Aquí no hay sanción, hay pérdida del contrato.
3. Auditoría voluntaria: la empresa quiere saber su exposición antes de que se la pregunte alguien. Es la única de las tres que se hace con tiempo.

El expediente que hay que tener preparado

1. Inventario de sistemas de IA

Lista completa y actualizada, con proveedor, finalidad prevista, área de negocio, datos que consume, decisiones en las que influye, responsable interno y fecha de puesta en servicio. Un inventario incompleto es la primera señal de alarma para cualquier auditor: si falta un sistema que se detecta por otra vía, se cuestiona todo el resto del expediente.

2. Clasificación de riesgo, fechada

Para cada sistema, la categoría asignada y el razonamiento que la sustenta. Si has invocado la excepción del artículo 6.3 para un sistema del Anexo III, la evaluación documentada previa a la puesta en servicio. Sin fecha, una clasificación no vale: hay que poder acreditar que se hizo antes y no el día antes del requerimiento.

3. Determinación del rol

Proveedor o responsable del despliegue en cada sistema, con su justificación. Y si has personalizado, marcado o modificado un sistema de un tercero, el análisis de si eso te ha convertido en proveedor.

4. Documentación técnica

Para sistemas de alto riesgo propios, la documentación del Anexo IV: descripción general, elementos y proceso de desarrollo, arquitectura, especificaciones de diseño, conjuntos de datos usados, capacidades y limitaciones, niveles de precisión esperados, medidas de supervisión humana, gestión de riesgos y ciberseguridad.

Para sistemas de terceros, las instrucciones de uso del proveedor y la información técnica que te haya facilitado. Si no las tienes, pídelas hoy: sin instrucciones no puedes demostrar uso conforme.

5. Registros técnicos (logs)

Aquí es donde se cae la mayoría. Hay que poder mostrar los registros generados automáticamente por los sistemas de alto riesgo bajo tu control, conservados al menos seis meses. Un auditor no pide una captura: pide un periodo concreto y comprueba continuidad.

Hay que demostrar además dónde se almacenan, quién accede, cómo se protege su integridad y cómo se garantiza que no se han alterado.

Los registros no se pueden reconstruir. Si no se estaban guardando, no existen, y ese hallazgo no tiene remedio retroactivo. Es la razón número uno por la que una auditoría se cierra con incumplimiento aunque toda la documentación esté impecable.

6. Gobernanza de datos

Origen de los datos de entrada, criterios de calidad y representatividad, análisis de sesgos, tratamiento de datos personales con su base jurídica del RGPD, y controles sobre los datos que tú aportas al sistema.

7. Supervisión humana

Quién supervisa cada sistema, con nombre y puesto. Qué formación tiene y su acreditación. Qué capacidad real de intervención: puede anular la salida, revertirla, detener el sistema. Y evidencias de que esa supervisión ha ocurrido: casos revisados, decisiones anuladas, incidencias detectadas. Un organigrama no es evidencia de supervisión; un registro de intervenciones sí.

8. Formación del personal

Plan de alfabetización en IA, contenidos, fechas, asistentes y evidencia de realización. Obligatorio desde febrero de 2025 y para todos los niveles de riesgo.

9. Transparencia

Evidencia visual de los avisos: capturas del chatbot mostrando el aviso de IA, ejemplos de contenido generado con su marcado, textos informativos publicados. Y la fecha desde la que están activos.

10. Información a las personas afectadas

Comunicaciones a trabajadores y sus representantes antes de poner en servicio sistemas de alto riesgo en el trabajo. Avisos a personas sometidas a decisiones automatizadas. Procedimiento para atender solicitudes de explicación, con registro de las atendidas.

11. Gestión de riesgos e incidentes

Procedimiento de identificación, evaluación y mitigación de riesgos, con su registro de actualizaciones. Procedimiento de comunicación de incidentes graves al proveedor y a la autoridad, con responsable y plazos. Y el registro de incidencias ocurridas y cómo se resolvieron.

12. Contratos con proveedores

Cláusulas de reparto de responsabilidades, compromisos de información técnica, acceso a registros, notificación de cambios sustanciales en el sistema y garantías de cumplimiento. Un cambio de modelo por parte de tu proveedor puede alterar tu clasificación de riesgo sin que te enteres: el contrato es donde se blinda ese aviso.

Cómo es el proceso de auditoría, fase a fase

Fase 1 — Alcance. Se define qué sistemas entran, qué roles tiene la empresa en cada uno y qué obligaciones son aplicables. Sin un alcance claro, la auditoría no es comparable ni repetible.

Fase 2 — Revisión documental. Se examina todo el expediente anterior y se contrasta la coherencia interna: que la clasificación encaje con la finalidad descrita, que la documentación técnica corresponda al sistema realmente en producción, que las fechas cuadren.

Fase 3 — Verificación técnica. La fase que distingue una auditoría real de una revisión de papeles. Se comprueba el sistema en funcionamiento: qué datos consume de verdad, qué salidas produce, si los logs se generan y se conservan, si los avisos de transparencia están activos, si los controles de acceso funcionan, si la supervisión humana puede realmente intervenir. Muy a menudo el sistema en producción no coincide con el sistema documentado.

Fase 4 — Entrevistas. Con la dirección, el responsable de cada sistema y quien lo supervisa a diario. Aquí se ve si la supervisión humana es real o nominal. La pregunta que lo revela casi siempre es: "cuéntame la última vez que ignoraste lo que dijo el sistema".

Fase 5 — Análisis de brechas. Se listan los incumplimientos, clasificados por gravedad y por esfuerzo de corrección, con su base normativa concreta.

Fase 6 — Informe y plan de remediación. Hallazgos, riesgo asociado y acciones concretas con responsable y plazo. Un informe sin plan ejecutable no sirve para nada.

Fase 7 — Seguimiento. Verificación de que las acciones se han implantado. El cumplimiento no es un estado, es un proceso: cada actualización del modelo, cada nuevo caso de uso y cada cambio de proveedor pueden alterar la clasificación.

Los cinco fallos que más veces vemos

1. No hay logs. Insalvable retroactivamente. Verifícalo hoy, no cuando llegue el requerimiento.
2. Sistemas no inventariados. Herramientas con IA contratadas por un departamento sin conocimiento de dirección.
3. Supervisión humana nominal. Hay un responsable en el organigrama, pero nadie ha anulado nunca una decisión del sistema ni sabría cómo.
4. Documentación que no corresponde al sistema en producción. El proveedor actualizó el modelo y la documentación quedó obsoleta.
5. Clasificación a la baja sin evaluación documentada. Se decidió que "no es alto riesgo" en una reunión, sin dejar rastro del análisis.

Cuánto tiempo lleva prepararse

Una pyme con dos o tres sistemas de riesgo limitado y ningún sistema de alto riesgo puede dejar su expediente en condiciones en unas semanas. Una empresa con un sistema de alto riesgo en producción y sin trazabilidad necesita meses, sobre todo porque puede requerir cambios técnicos en el sistema para generar y conservar los registros que hoy no existen.

Ese es el motivo de fondo para no esperar: la parte documental se hace rápido, la parte técnica no. Y es la técnica la que decide el resultado.

El punto de partida

Antes de preparar nada, conviene saber en qué situación estás realmente. Un diagnóstico honesto de los sistemas que ya operan, su clasificación y el estado de la trazabilidad suele revelar que la distancia hasta el cumplimiento es distinta de la que la empresa imaginaba, en un sentido o en el otro.

En CIRCULO IA hacemos exactamente esto: auditamos la trazabilidad técnica de tus sistemas de IA, identificamos las brechas frente al Reglamento (UE) 2024/1689 y ejecutamos la adaptación, incluida la parte técnica de generación y conservación de registros. Si quieres saber si tu empresa resistiría hoy un requerimiento, podemos revisarlo contigo.