Auditoría de IA para empresas: qué es, qué revisa y cuándo conviene

Qué es exactamente una auditoría de IA

Una auditoría de IA es una revisión independiente de un sistema que ya está funcionando. No propone nada nuevo. Mira lo que hay y responde si sirve.

La palabra que hace el trabajo ahí es independiente. Si la hace quien lo construyó, no es una auditoría: es un informe de avance del proveedor sobre sí mismo.

Eso no lo convierte en un ejercicio hostil. La mayoría de auditorías que he hecho terminan recomendando seguir, con ajustes. Pero terminan con un número encima de la mesa, no con una sensación.

Hay una segunda diferencia que se nota poco y decide mucho: una auditoría no busca culpables. Busca el estado real de un sistema y el costo de dejarlo como está.

Cuando se plantea como una revisión de responsabilidades, el equipo que opera el sistema se cierra y deja de contar lo que de verdad pasa. Y lo que de verdad pasa es exactamente el objeto del trabajo.

Por eso la primera conversación de una auditoría no es con el proveedor ni con dirección. Es con quien usa el sistema todos los días, y la pregunta es siempre la misma: qué haces cuando esto se equivoca.

La respuesta a esa pregunta suele contener la mitad del informe. Si la persona ha construido un atajo manual para corregir lo que el sistema hace mal, ahí hay un hallazgo que ningún registro técnico iba a mostrar.

En qué se diferencia de un diagnóstico

Se confunden todo el tiempo y son cosas distintas. La diferencia no es de profundidad: es de momento.

Si todavía no has implementado nada, lo que necesitas es un diagnóstico de madurez en IA, no una auditoría. Auditar lo que no existe no tiene sentido y te lo va a cobrar igual.

Hay un caso donde se hacen las dos a la vez, y conviene nombrarlo porque es frecuente: la empresa tiene algo implementado en un área y quiere extender IA a otras dos.

Ahí la auditoría mira lo que existe y el diagnóstico mira lo que viene. Se pueden encargar juntos, pero se entregan por separado, porque responden a preguntas distintas y las decisiones que abren no son las mismas.

Cuándo conviene pedir una

No hace falta esperar a que algo se rompa. De hecho, la auditoría que más valor devuelve es la que se hace cuando todavía parece que todo va bien.

Los cinco momentos donde sí conviene:

• Antes de renovar el contrato anual. Es el único momento del año donde tienes poder de negociación real y necesitas datos para usarlo.
• A los 90 días de haber implementado. Suficiente tiempo para que aparezcan los problemas de uso real y poco para que se hayan vuelto estructurales.
• Cuando el costo mensual subió sin que nadie sepa explicar por qué. Casi siempre es consumo de API, y casi siempre se puede bajar.
• Cuando cambió la persona que lo entendía. Si el sistema dependía de alguien que ya no está, tienes un riesgo abierto aunque nada haya fallado todavía.
• Antes de escalar a otra área. Replicar un sistema con un defecto de diseño multiplica el defecto, no el resultado.

Un caso real, anonimizado, del momento que más se repite. Empresa de distribución, unos 90 empleados, Perú.

Habían implementado un asistente que respondía consultas de stock y precios a la fuerza de ventas. Funcionaba. La factura mensual del proveedor era razonable y nadie tenía queja.

La auditoría se pidió por rutina, dos meses antes de renovar. Lo que apareció fue que el consumo por uso se había multiplicado por cuatro en seis meses, escondido dentro de una línea que decía «servicios en la nube» y que nadie cruzaba con el uso del asistente.

El sistema estaba bien. Lo que estaba mal era que nadie miraba el número, y el número había cambiado de escala sin avisar. Se ajustó el modelo para las consultas simples y la línea volvió a su sitio.

Qué revisa, en orden

El orden importa tanto como el contenido, porque cada capa depende de la anterior. Revisar el costo antes de saber qué decide el sistema es mirar una factura sin contexto.

El desglose completo de cada capa está en qué revisa una auditoría de IA, punto por punto.

Qué tiene que entregar para valer lo que cuesta

Una auditoría que entrega un informe de cuarenta páginas y ninguna decisión no sirve. Lo que tiene que llegar al comité es esto:

• Un veredicto en una línea. Continuar, ajustar o cortar. Sin ambigüedad.
• Los hallazgos priorizados por impacto en dinero, no por gravedad técnica.
• El costo real de sostenerlo, con las partidas que no estaban en la propuesta original.
• Un plan de corrección con responsable y fecha para cada hallazgo que importe.
• Lo que está bien. Una auditoría que solo lista problemas es sospechosa: significa que el auditor está vendiendo el arreglo.

Ese último punto es el que más filtra proveedores. Quien audita para vender después el rediseño tiene un incentivo evidente para encontrar más problemas de los que hay.

Hay un formato que funciona especialmente bien cuando el comité tiene poco tiempo: una tabla de hallazgos con cuatro columnas y nada más.

• Qué encontramos, en una frase sin jerga.
• Cuánto cuesta, en dinero al mes o en riesgo concreto.
• Qué hay que hacer, en una acción, no en una recomendación.
• Quién y cuándo, con nombre y fecha.

Todo lo que no entre en esas cuatro columnas es anexo. El anexo puede tener cuarenta páginas y está bien que las tenga: lo que no puede es ser el entregable.

Quién debería hacerla

Tres opciones, con su trampa cada una.

• El mismo proveedor. Barato o gratis, y sin valor de decisión. Sirve como informe de estado, no como auditoría.
• Alguien interno. Conoce el proceso, que es una ventaja enorme. Suele faltarle criterio técnico para saber qué preguntar sobre el modelo y los permisos.
• Un tercero independiente. Es lo que da un veredicto usable, siempre que no venda el arreglo después.

Lo que hay que mirar en el tercero es lo mismo que se mira en cualquier proveedor de IA. Está desarrollado en qué preguntar antes de contratar a un consultor de IA.

Hay una cuarta opción que aparece poco y funciona mejor de lo que parece: auditoría cruzada entre dos proveedores.

Si la empresa trabaja con dos proveedores distintos en áreas distintas, cada uno puede revisar el sistema del otro. Ninguno tiene incentivo para tapar nada y los dos tienen criterio técnico suficiente.

El límite es evidente: si acaban compitiendo por la misma cuenta, el informe se convierte en una propuesta. Funciona cuando los territorios están claramente separados y la empresa lo declara desde el principio.

Los hallazgos que aparecen casi siempre

Después de repetir esto en bastantes empresas, el patrón se vuelve aburrido de tan predecible.

• Permisos más amplios de lo necesario. Se conectó con una cuenta de administrador porque era lo rápido, y ahí se quedó.
• Nadie mira los errores. El sistema falla en un porcentaje de casos y ese porcentaje no está en ningún reporte.
• El costo por consumo creció con el uso y nadie puso un tope ni una alerta.
• La documentación describe otra versión. Se escribió al entregar y el sistema cambió tres veces desde entonces.
• No hay línea base. Nadie anotó cuánto tardaba el proceso antes, así que la mejora no se puede demostrar ni desmentir.

El último es el más caro de todos, porque no tiene arreglo retroactivo. Si no se midió antes, el debate sobre si sirvió se queda en opiniones para siempre.

Hay un sexto hallazgo que no está en la lista porque no siempre aparece, y cuando aparece es el que más cambia la conversación: el sistema funciona y nadie lo usa.

Técnicamente todo está bien. Los registros muestran actividad baja pero correcta. Y al hablar con el área resulta que la gente sigue haciendo el proceso a mano porque el sistema pide un paso extra que a nadie le compensa.

Eso no se arregla con tecnología. Se arregla mirando el proceso alrededor, que es un trabajo distinto y suele ser más barato que cualquier ajuste técnico.

Cuándo NO conviene auditar

Decirlo antes de cobrarla es parte del trabajo.

• Cuando el sistema lleva menos de un mes en producción. No hay uso suficiente para concluir nada.
• Cuando la decisión ya está tomada. Si el contrato se corta pase lo que pase, la auditoría es un gasto para justificar algo decidido.
• Cuando lo que duele es un proceso, no un sistema. Si el problema es que nadie usa la herramienta, eso es adopción y se mira distinto: está en cómo medir la adopción real de un sistema de IA.
• Cuando la empresa no tiene con quién ejecutar las correcciones. Un plan sin nadie que lo haga es un documento caro.

Qué pasa después del informe

Aquí es donde la mitad de las auditorías se pierde. El informe llega, se lee en el comité, todos asienten y no pasa nada.

Lo que evita eso son tres decisiones tomadas en la misma reunión donde se presenta:

• Quién es dueño de cada hallazgo, con nombre y no con área.
• Cuándo se vuelve a mirar. Una fecha concreta, no «en unos meses».
• Qué número tiene que haberse movido para esa fecha. Uno solo, elegido a propósito.

Con esas tres, el informe se convierte en un plan. Sin ellas es literatura. Y el ciclo de revisión periódica es lo que separa un sistema que mejora de uno que solo envejece, que es la misma diferencia entre un bucle abierto y uno cerrado.

Una última cosa sobre el informe: conviene que lo presente quien lo hizo, y en la reunión donde se decide.

Un informe que llega por correo y se lee en diagonal pierde la mitad de lo que dice, porque los hallazgos que importan casi nunca son los que suenan más graves. Son los que alguien tiene que explicar en voz alta para que se entienda qué cuestan.