Auditoría de TI

Por: CP Iván Rodríguez. Colaborador de Auditool.

El auge de la inteligencia artificial en diferentes aspectos de la vida de las personas y del día a día de las organizaciones se ha venido constituyendo en motivo de especial atención por parte de gobiernos, organizaciones profesionales y la alta dirección de las empresas, que se origina en la capacidad de la IA de influir en decisiones críticas y su potencial para generar impactos en la sociedad, la economía y los derechos individuales, que pueden ser significativos en algunos casos. Por ello, se han emitido diferentes normas, regulaciones, principios éticos y mejores prácticas cuyo propósito es garantizar que el desarrollo, la implementación y el uso de los sistemas de IA sean responsables, seguros y conformes a la ley. Ahora bien, el seguimiento del conjunto de normas relativas a la inteligencia artificial (IA) se denomina cumplimiento. Esto es especialmente importante puesto que una debida atención a la normatividad representa una serie de beneficios tales como los siguientes^[1]:

• Protección de datos y privacidad: Las leyes como el Reglamento General de Protección de Datos (GDPR) en Europa imponen requisitos estrictos sobre el manejo y procesamiento de datos personales en sistemas de IA. De acuerdo con este reglamento, las empresas deben asegurarse de que sus modelos de IA cumplen con los requisitos estipulados, garantizando la protección de la privacidad y el tratamiento ético de los datos.  

• Transparencia y claridad para ser explicados: Una imposición de los reguladores en diferentes jurisdicciones es la necesidad de que los sistemas de IA sean transparentes y explicables. Esto significa que las decisiones que se tomen a partir de la IA deben ser comprensibles para los usuarios y las partes interesadas. La motivación tiene que ver con las consecuencias que las decisiones sobre sectores tales como las finanzas, el cuidado de la salud y la justicia pueden tener sobre las personas.

• Responsabilidad y rendición de cuentas: La normatividad sobre IA prevé que las organizaciones y desarrolladores de IA asuman la responsabilidad de los resultados generados por sus sistemas. Esto incluye establecer procesos claros para la rendición de cuentas y asegurarse de que cualquier decisión automatizada pueda ser revisada por un humano cuando sea necesario.

• No discriminación: Otra consideración que está presente en la normatividad relativa a la IA es que debe abordar la mitigación de sesgos y la promoción de la equidad. Se espera que los sistemas de IA deban ser diseñados y probados para evitar discriminaciones injustas basadas en raza, género, orientación sexual, religión u otros factores, puesto que los algoritmos sesgados pueden reforzar estereotipos negativos y perpetuar la desigualdad.

• Seguridad de los datos: El cumplimiento en la IA implica asegurar que los sistemas sean robustos frente a ciberataques y vulnerabilidades. En ese sentido, la normatividad prevé que los modelos de IA deban protegerse frente a manipulaciones, accesos no autorizados o alteraciones que puedan comprometer la integridad de los datos.

• Continuidad: Otro de los temas presentes en la normatividad es que las organizaciones deben garantizar que los sistemas de IA puedan resistir fallos y funcionar de manera segura y eficaz en diferentes condiciones operativas. Para el efecto, los planes de contingencia y la capacidad de recuperación son esenciales para evitar interrupciones o mal uso.

Para la auditoría, el hecho que la IA generativa se utilice ampliamente y ofrezca la percepción de ser precisa y reflejar la realidad, en virtud de que las respuestas que proporciona parecen ser convincentes, crea un campo de acción interesante. Actualmente la IA se utiliza para diversos propósitos, algunos de los cuales tienen (o pueden tener) gran impacto social y sin embargo, hay pocos controles, a menudo poca transparencia sobre qué entradas se ingresan o si la IA está realmente en uso, lo cual representa tanto un desafío como una oportunidad.

Dentro de los usos de la generativa está el apoyo a algunos procedimientos médicos o el asesoramiento financiero, donde se han evidenciado errores; otro caso es el de los recursos humanos, en el que la IA generativa puede empeorar aún más las tendencias sesgadas, como puede ser en la elección de candidatos potenciales para puestos de trabajo, con base en el género, la raza, la edad y la etnia. Situaciones como estas requieren que deba evaluarse con escepticismo el resultado que ofrecen las IA y su cumplimiento normativo. Mediante auditorías, pruebas y otros procedimientos, se pueden efectuar diversas verificaciones para garantizar que se cumple con las regulaciones y normas éticas, incluso después de su implementación.

Por ello, es importante que las organizaciones sometan sus sistemas de IA a auditorías que consideren la revisión de datos, algoritmos y resultados para asegurar que no se desvíen de los requisitos regulatorios o éticos. También es importante llevar a cabo evaluaciones de impacto antes de implementar los sistemas de IA, particularmente en áreas de alto riesgo, con el propósito de identificar y mitigar los riesgos potenciales para los derechos de las personas, la seguridad y el cumplimiento normativo.

Por otra parte, la auditoría debe tener en cuenta algunos de los desafíos que se presentan al evaluar el cumplimiento de los sistemas y aplicaciones de IA, tales como los siguientes:

Las anteriores situaciones evidencian la necesidad para las organizaciones y para los auditores de estar atentos a las regulaciones emergentes, adoptando las mejores prácticas en el diseño y supervisión de sus sistemas y ser proactivos en la mitigación de riesgos, en un marco de transparencia, la equidad y la seguridad. En cuanto se avanza en el tema de la legislación y el cumplimiento, es importante buscar una colaboración estrecha con instancias tales como las autoridades gubernamentales y organismos profesionales, para entender y aplicar los marcos legales y éticos que puedan mitigar los riesgos y maximizar los beneficios de la IA.

^[1] Algunas ideas fueron tomadas de: AI expert at CW2024: Why AI needs compliance

• Política para el uso adecuado de la inteligencia artificial en el trabajo
• Curso Virtual: ¿Cómo usar IA Generativa y ChatGPT en el plan de auditoría?

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.