La lista de verificación de auditoría de IA es el programa de trabajo de quien audita un sistema de IA: para cada área en alcance, los objetivos, los pasos de prueba (indagación, inspección, reejecución, procedimiento analítico), las evidencias que se piden y la muestra. Separa el diseño de los controles de su funcionamiento en el periodo y ajusta la profundidad al riesgo del sistema. Esta herramienta arma el programa a partir de las características del sistema auditado.
Cómo usar
- Pon nombre al sistema e indica el tipo, el origen (interno o de proveedor) y el riesgo interno.
- Indica si es de alto riesgo según la ley de IA de la UE, si usa datos personales y cuánto pesa en las decisiones sobre personas.
- Elige el tipo de trabajo y marca las áreas en alcance.
- Lee el programa, los avisos de alcance y la lista de evidencias por responsable y exporta en CSV para los papeles de trabajo, o en DOCX.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre del sistema de IA | El nombre con el que se conoce el sistema en la organización. |
| Tipo de sistema | La IA generativa suma pruebas de alucinación e inyección de prompts. |
| Origen del sistema | Un sistema de proveedor suma pruebas de contrato y de documentación del proveedor. |
| Riesgo interno | La calificación de riesgo del inventario de IA, si la hay. |
| ¿Alto riesgo según la ley de IA de la UE? | Sí suma pruebas de documentación técnica, registros (logs) e incidente grave. |
| ¿Usa datos personales? | Sí suma pruebas de base jurídica, EIPD y minimización. |
| Peso en las decisiones sobre personas | La decisión automática suma pruebas de impugnación e intervención humana. |
| Tipo de trabajo | Cambia la orientación de muestra y el esfuerzo estimado. |
| Áreas en alcance | Marca las áreas que cubrirá el trabajo. Cada área genera de 2 a 4 pruebas. |
Ejemplo
La auditoría interna de una aseguradora ficticia, Seguros Vale Azul, planea auditar su asistente virtual de atención, un servicio de IA generativa de un proveedor, con riesgo interno alto y datos personales de clientes, sin ser de alto riesgo según la ley de IA. Con ocho áreas en alcance, la herramienta genera 28 pruebas, 16 de prioridad alta, y estima de 12 a 20 días de trabajo (unas 127 horas). Por ser IA generativa, se suman pruebas de alucinación, de inyección de prompts y de aviso de interacción con IA; por ser de proveedor, se suman la validación y el contrato del proveedor. El aviso señala que desempeño y monitoreo quedaron fuera del alcance de un sistema de riesgo alto.
Cuándo usar
- Al planificar la auditoría interna de un sistema de IA ya en producción.
- En la revisión de un sistema de IA antes de su implantación.
- Cuando la segunda línea necesita revisar los controles de IA de la primera línea.
- Para prepararte para una auditoría externa o de certificación del sistema de gestión de IA.
Preguntas frecuentes
¿Qué es una lista de verificación de auditoría de IA?
Es el programa de trabajo de la auditoría: indica, por área, qué probar, cómo probarlo, qué evidencia pedir y con qué muestra. Sirve para planificar el trabajo, repartir las solicitudes de evidencia y registrar los resultados en los papeles de trabajo.
¿Cómo elige la herramienta las pruebas?
Cada área en alcance recibe dos pruebas esenciales (diseño y funcionamiento del control). Luego entran pruebas condicionales: la IA generativa suma alucinación, inyección de prompts y aviso de IA; un proveedor suma validación, contrato y documentación del proveedor; los datos personales suman minimización; el alto riesgo según la ley de IA suma registros, documentación técnica e incidente grave. El riesgo limita el total a 3 o 4 pruebas por área.
¿Cómo se define la prioridad?
Las pruebas esenciales de diseño y funcionamiento pesan más, el riesgo alto sube un nivel y el riesgo bajo baja uno, y las pruebas condicionales suben un nivel porque tratan el riesgo propio del sistema. La decisión automática sobre personas sube las áreas de supervisión humana, sesgo y transparencia.
¿Qué diferencia hay entre diseño y eficacia operativa?
La prueba de diseño verifica si el control, tal como se concibió, trata el riesgo. La prueba de eficacia operativa verifica si funcionó de forma consistente en el periodo, con una muestra. Un control bien diseñado que no opera no reduce el riesgo.
¿El programa sigue alguna norma de auditoría?
Usa prácticas de auditoría ampliamente difundidas, como la evidencia suficiente y adecuada y la separación entre diseño y funcionamiento. Las Normas Globales de Auditoría Interna del IIA están vigentes desde el 9 de enero de 2025 y todavía no hay requisito temático para IA. Para sistemas de gestión de IA, la cláusula 9.2 de la ISO/IEC 42001 trata la auditoría interna. Adapta el programa a la metodología de tu área.
¿El resultado es una opinión de auditoría?
No. Es una herramienta educativa de apoyo a la planificación: no reemplaza el juicio profesional ni las normas de auditoría, no es asesoría legal y no certifica a la organización. Las conclusiones dependen del trabajo de campo y de las evidencias obtenidas.
¿Qué certificación de DPCert cubre la auditoría de sistemas de IA?
La AUDAI (Responsible AI Auditor) tiene un dominio dedicado a la auditoría de sistemas de IA y otro a los fundamentos de auditoría aplicados a IA y datos. El requisito previo es la RAIP o la DPAI.