# La brecha de gobernanza en la IA: el riesgo que muchas empresas pasan por alto

- Link: https://auditoriainteligente.com/la-brecha-de-gobernanza-en-ia-el-riesgo-que-muchas-empresas-pasan-por-alto/
- Published: 2026-01-04T23:12:44-04:00
- Author: Christian Vargas

## La innovación sin regulación: El dilema actual

Las empresas están compitiendo. Por un lado, deben implementar IA para seguir siendo
competitivos; por el otro, legisladores de toda Latinoamérica, Europa y EE. UU. 
están cambiando las reglas mientras juegan. El [Informe Global Risk in Focus 2026](https://www.theiia.org/en/internal-audit-foundation/latest-research-and-products/risk-in-focus/)
del Instituto de Auditores Internos (IIA) muestra una verdad incómoda: el 53% de
los ejecutivos en Norteamérica consideran la disrupción digital e IA como riesgo
top-5, escalando del 4.º al 2.º lugar en solo dos años. Esto no indica una mayor
conciencia del riesgo, sino que el riesgo mismo ha crecido exponencialmente.

Lo alarmante es la diferencia entre la percepción de riesgo y la realidad operativa.
Aunque los CAE están cada vez más conscientes de los peligros asociados a la IA,
solo el 39% de los auditores internos la utilizan hoy en día. Solo el 41% tiene 
previsto hacerlo en los próximos 12 meses, [según la encuesta de Wolters Kluwer de julio de 2025](https://internalaudit360.com/survey-internal-audit-use-of-artificial-intelligence-growing-rapidly/).
Esto crea un círculo vicioso: las organizaciones sin experiencia en la auditoría
de IA están controlando las implementaciones cada vez más complejas de sistemas 
de IA.

## ¿Dónde están los controles?

Un nuevo estudio encuentra que [95% de pilotos empresariales de IA generativa no logran resultados medibles en rentabilidad](https://fortune.com/2025/08/18/mit-report-95-percent-generative-ai-pilots-at-companies-failing-cfo/),
no por culpa del modelo, sino por falta de gobernanza. Un estudio del MIT Sloan 
encontró que las empresas integran mal los sistemas de IA con los flujos de trabajo
existentes, no documentan cómo los sistemas toman decisiones y carecen de "un humano
en el circuito" para verificar los resultados cruciales.

La [Ley de IA de la UE](https://digital-strategy.ec.europa.eu/es/policies/regulatory-framework-ai),
que será totalmente aplicable en agosto de 2025, obliga a los proveedores de modelos
de IA de uso general a informar sobre capacidades, límites y dar acceso a datos 
de entrenamiento. Sin embargo, en Latinoamérica, donde la mayoría de las empresas
todavía están estableciendo sus primeras políticas de IA, esta complejidad normativa
está fuera de sus prioridades. Pero las multinacionales que operan en jurisdicciones
reguladas están bajo presión inmediata para cumplir.

## Ejemplos reales que demuestran la brecha

En junio de 2025, la herramienta de reclutamiento con IA de McDonald’s (Olivia, 
de Paradox.ai) [fue violada en una configuración predeterminada de seguridad básica](https://www.csoonline.com/article/4020919/mcdonalds-ai-hiring-tools-password-123456-exposes-data-of-64m-applicants.html):
los investigadores adivinaron la contraseña "123456″ en la interfaz de administración,
exponiendo los datos de 64 millones de solicitantes. Esto no fue un error de modelo
de IA avanzada; fue un error básico de gobernanza sobre administración de credenciales
y control de acceso de terceros.

De manera similar, en Nueva Gales del Sur, Australia, un contratista [cargó en secreto una hoja de cálculo con datos de salud personales de 3.000 solicitantes en ChatGPT](https://www.news.com.au/technology/online/internet/deeply-sorry-nsw-contractor-uploaded-3000-flood-victims-data-to-chatgpt/news-story/f8d0777ebea5400090be402b8314dede),
exponiendo información confidencial y provocando restricciones inmediatas en el 
uso de herramientas de IA no autorizadas.

El Banco de Dinamarca (DNB), sin embargo, evitó el desastre. [Criminales hicieron un deepfake en vivo de su CEO y CFO en una llamada de Microsoft Teams](https://www.bankshift.no/nyheter/dnb-utsatt-for-sofistikert-deepfake-angrep/375139)
para intentar transferencias de millones de dólares. El banco identificó y bloqueó
el intento. ¿Por qué? Porque tenían validaciones compensatorias para altos valores.
Si bien el riesgo de deepfake existe, controles de negocio adecuados lo atenúan.

## El papel de la auditoría interna en la gobernanza de la IA

Aquí es donde los auditores internos entran en juego. El IIA lanzó en 2024 su [marco de auditoría de IA](https://iaiecuador.org/wp-content/uploads/2024/11/Marco-de-Auditoria-de-IA.pdf),
en consonancia con el NIST AI Risk Management Framework y las Normas Globales de
Auditoría Interna 2024. Este marco hace hincapié en que la auditoría interna debe:

 1. _Medir la madurez de gobernanza_: ¿Existe un comité de gobernanza de IA, documentación
    de qué sistemas utilizan IA e inventario de modelos con evaluación de riesgo?
 2.  _Auditar el ciclo de vida completo_: Desde el desarrollo y entrenamiento hasta
    el despliegue, monitoreo y actualización de modelos. El 60% de las empresas no 
    tiene procesos establecidos de validación posterior al despliegue y los modelos
    se degradan sin ser detectados.
 3. _Verificación de datos y transparencia_: el 85% de los proyectos de IA fallan por
    datos de deficiente calidad. Los auditores deben verificar que los datos de entrenamiento
    estén registrados, que se mida el sesgo algorítmico y que los sistemas sean explicables.

## Recomendaciones para los líderes de auditoría interna

Y la verdad es que la gobernanza de la IA no puede esperar. Para 2026, espere que
reguladores, juntas directivas y partes interesadas pregunten: ¿cómo está tu función
de auditoría supervisando la IA? Los CAE que hoy no operan serán sometidos a un 
escrutinio severo.

### Consejos clave:

 1. Constituir un comité de gobernanza de IA (auditoría, cumplimiento, riesgo y TI)
    y ejecutar, en los próximos 90 días, un análisis diagnóstico de la madurez de gobernanza.
 2. Incorporar riesgos de IA en el plan anual de auditoría con foco en sistemas críticos(
    por ejemplo, sistemas de crédito, RRHH, finanzas); aplicar analítica de datos para
    descubrir sistemas con IA oculta en la organización.
 3.  Definir y comunicar políticas claras para proveedores que utilicen IA, solicitando
    documentación sobre modelos, datos de entrenamiento, pruebas de sesgo e incidentes
    de seguridad.

_¿Cuenta con los recursos, conocimientos, herramientas y capacidades necesarias 
para definir un esquema de gobernanza apropiado para su organización? ¿Está interesado
en conocer más sobre cómo pudiera verse dicho esquema implementado? [Contáctenos ](https://auditoriainteligente.com/contacto/)
para que iniciemos la conversación. _