Serie: Gobernanza en la era de la IA

En nuestro artículo anterior, exploramos cómo la "permacrisis" global ha empujado a las organizaciones hacia la Empresa Agéntica, un modelo donde delegamos la toma de decisiones y la ejecución de tareas a sistemas autónomos para garantizar la supervivencia y competitividad del negocio. Establecimos que, en este nuevo ecosistema, el auditor debe dejar de ser un historiador del riesgo para convertirse en un "arquitecto de la confianza".

Sin embargo, al plantear esta evolución en comités de auditoría o reuniones de junta directiva, es común encontrarse con una respuesta escéptica: “Nosotros ya auditamos robots. Llevamos años auditando procesos de RPA (Robotic Process Automation) y algoritmos financieros. ¿Qué tiene esto de diferente?"

Esta falsa sensación de seguridad es, quizás, el punto ciego más peligroso para los directores de auditoría (CAEs) en la actualidad. Asumir que las metodologías de control interno diseñadas para el software determinista del pasado funcionarán para la inteligencia artificial probabilística de hoy es un error estratégico fundamental.

Para gobernar el futuro, primero debemos desaprender los paradigmas del pasado. Debemos comprender a profundidad la anatomía de este salto cuántico tecnológico.

La ilusión del control: el paradigma del RPA

Durante la última década, las áreas de auditoría interna perfeccionaron el arte de evaluar la Automatización Robótica de Procesos (RPA). El RPA fue revolucionario en su momento, pero su naturaleza es estrictamente determinista (que funciona bajo una lógica rígida).

Pensemos en el RPA como un tren de carga. Un tren es potente y eficiente, pero solo puede viajar por donde se han tendido las vías físicas. Funciona bajo una lógica inquebrantable basada en reglas: If / Then / Else (Si ocurre A, entonces haz B; de lo contrario, haz C). Su capacidad de acción es exacta y preprogramada.

En este paradigma, el manejo de excepciones es binario. Si el "tren" del RPA encuentra un obstáculo en la vía (por ejemplo, una factura con un formato no estructurado o un campo vacío en una base de datos), el sistema simplemente se detiene. Genera una alerta de error, interrumpe el proceso y espera a que un humano intervenga para resolver la anomalía.

Para nosotros, los auditores, este entorno era sumamente auditable. Nuestro enfoque se basaba en revisar los "planos de las vías": hacíamos pruebas de código, evaluábamos la segregación de funciones, revisábamos los scripts de los desarrolladores y hacíamos un muestreo de las transacciones para asegurar que las reglas matemáticas se aplicaban sin desviación. El riesgo estaba acotado por la rigidez del sistema.

La transición: la IA generativa y los "copilotos"

Con la explosión masiva de los Modelos Fundacionales de Lenguaje (LLMs por sus siglas en inglés) a finales de 2022 gracias a GPT, el paradigma cambió de lo determinista a lo probabilístico. Entramos en la era de la inteligencia artificial generativa y los "asistentes virtuales" o copilotos.

Aquí, el sistema ya no sigue reglas estrictas de código, sino que es reactivo y está basado en instrucciones en lenguaje natural (prompts). Le pedimos a la IA que analice un contrato o redacte un informe, y la máquina genera un resultado basado en predicciones estadísticas de lenguaje.

Sin embargo, en esta fase transicional, la IA seguía careciendo de verdadera agencia. La máquina podía sugerir acciones, redactar contenidos brillantes o identificar anomalías, pero el humano seguía siendo el ejecutor final. El humano revisaba el texto, corregía el análisis y presionaba el botón de "Enviar" o "Aprobar". El manejo de excepciones en esta etapa se tradujo en que, ante la ambigüedad, la IA pedía clarificación o, en el peor de los casos, generaba una "alucinación" (información falsa presentada con aparente seguridad).

El enfoque de auditoría evolucionó, por supuesto. Comenzamos a auditar la privacidad de los datos de entrenamiento para evitar fugas de información corporativa, a evaluar el sesgo algorítmico y a medir la precisión de las respuestas. Pero, al final del día, el riesgo de ejecución seguía mitigado por el "humano en el bucle" (Human-in-the-Loop).

Como señala la consultora global McKinsey & Company en sus investigaciones sobre el estado de la IA, el valor económico real no reside únicamente en generar texto, sino en conectar esa inteligencia con los sistemas core para ejecutar flujos de trabajo completos. Y eso nos lleva al presente.

El verdadero salto: La IA Agéntica

La Inteligencia Artificial Agéntica abandona las vías del tren del RPA y suelta la mano del humano de la era generativa. Si el RPA es un tren, la IA agéntica es un vehículo explorador autónomo todoterreno.

El paradigma de ejecución cambia radicalmente: está basado en objetivos (goal-oriented). Ya no le decimos al sistema cómo hacer las cosas paso a paso, ni le damos un prompt para que nos sugiera qué hacer. Le damos un objetivo de negocio. Por ejemplo: "Optimiza los costos de licencias en la nube en un 15% sin afectar la latencia de las aplicaciones críticas".

A partir de ese objetivo, el agente autónomo utiliza su capacidad de razonamiento iterativo para desglosar la meta en subtareas, planificar una estrategia y actuar.

Su capacidad de acción es donde reside el riesgo sistémico. Un agente orquesta múltiples herramientas de forma independiente. Tiene acceso a APIs (Interfaces de Programación de Aplicaciones), puede leer bases de datos vectoriales con el contexto histórico de la empresa, escribir en el ERP financiero, enviar correos electrónicos a proveedores y ejecutar transacciones, todo sin un humano que presione "Aceptar".

Pero lo más fascinante —y aterrador para un auditor tradicional— es su manejo de excepciones. A diferencia del RPA, que falla ante lo inesperado, o del chatbot, que alucina, un sistema agéntico avanzado se adapta. Si una API falla o un proveedor rechaza una negociación, el agente reevalúa su entorno, ajusta su plan de acción en milisegundos y busca una ruta alternativa dinámica para cumplir su objetivo principal. Es resiliente, persistente y autónomo.

El nuevo enfoque de la auditoría continua

Auditar código estático o evaluar la precisión de un prompt es insuficiente cuando el sistema inventa su propio camino. El salto cuántico tecnológico exige un avance radical en nuestras metodologías de aseguramiento.

Dentro del ecosistema de la empresa agéntica, la labor de auditoría evoluciona hacia una supervisión constante de los perímetros y marcos de actuación. El foco ya no está en inspeccionar el recorrido trazado, sino en verificar la integridad de las fronteras que delimitan y protegen al sistema.

1. Auditoría de guardrails dinámicos: Debemos certificar que el sistema cuenta con "barandillas" algorítmicas infranqueables. Por ejemplo, restricciones absolutas de que un agente de tesorería jamás pueda aprobar transferencias superiores a $50,000 sin intervención humana, independientemente de la lógica que haya razonado para intentarlo.
2. RBAC específico de máquina: El control de acceso basado en roles (RBAC) tradicionalmente se asignaba a humanos. Hoy, los auditores deben evaluar la identidad criptográfica de las máquinas. Un agente debe operar bajo el estricto principio de menor privilegio, asegurando que las herramientas (APIs) a las que tiene acceso no le otorguen una "agencia excesiva".
3. Trazabilidad inmutable del razonamiento: Cuando el resultado de una acción autónoma genere un impacto financiero, el auditor no puede conformarse con saber qué hizo el sistema; debe poder reconstruir por qué lo hizo. Necesitamos logs inmutables que capturen la "cadena de pensamiento" (Chain-of-Thought) del agente antes de la ejecución.

Mirando hacia el futuro

El salto cuántico es irreversible. Las organizaciones que intenten gobernar sistemas orientados a objetivos utilizando metodologías diseñadas para sistemas basados en reglas están sembrando las semillas de su propio fracaso operativo.

Comprender esta diferencia estructural entre la automatización ciega y la autonomía inteligente es el primer paso para convertirnos en los arquitectos de la confianza que nuestras organizaciones demandan. Pero, ¿qué sucede cuando dotamos de excesiva agencia a estos sistemas? ¿Qué pasa cuando múltiples agentes comienzan a interactuar entre sí a espaldas de los humanos?

En el próximo artículo de esta serie, profundizaremos en el nuevo Mapa de Riesgos Emergentes. Exploraremos escenarios reales que amenazan a la Empresa Agéntica, desde la "Agencia Excesiva" hasta los devastadores "Comportamientos Emergentes" que desafían la taxonomía clásica de riesgos empresariales.