Auditoría legal de los sistemas de inteligencia artificial que ya usa la empresa

Qué revisa la auditoría

Colombia no tiene hoy una ley general de inteligencia artificial, y de ahí sale el malentendido más común: creer que mientras esa ley no exista no hay nada que cumplir. Cada sistema que la empresa usa ya está sujeto al régimen de protección de datos personales, al Estatuto del Consumidor, a las normas de propiedad intelectual, al derecho de la competencia, al régimen laboral y a los contratos que la compañía ya firmó con sus clientes y proveedores. La auditoría contrasta el uso real de la IA contra ese marco, que sí es exigible hoy.

Inventario de sistemas

Nadie puede gobernar lo que no ha contado. El primer entregable es un inventario real, no la lista que entrega el área de tecnología.

• Herramientas contratadas formalmente, herramientas gratuitas y uso informal de asistentes de IA por parte de los equipos.
• Modelos propios, modelos de terceros y componentes de IA embebidos en software que la empresa ya tenía.
• Qué datos entran a cada sistema, quién los introduce, dónde se almacenan y quién puede ver la salida.
• Responsable interno de cada sistema y decisión de negocio que ese sistema apoya.

Clasificación por riesgo

El riesgo no está en la tecnología sino en la decisión que soporta. Clasificamos cada sistema por su impacto sobre personas —clientes, empleados, candidatos, proveedores—, por la sensibilidad de los datos que trata y por la reversibilidad del daño. Un generador de textos de marketing y un modelo que prioriza solicitudes de crédito no merecen el mismo tratamiento, y tratarlos igual desperdicia el presupuesto de cumplimiento en el lugar equivocado.

Protección de datos personales

Es el frente con obligaciones exigibles hoy. Revisamos el tratamiento a la luz de la Ley 1581 de 2012, el Decreto 1377 de 2013 y los pronunciamientos de la Superintendencia de Industria y Comercio.

• Base de legitimación y autorización del titular para el uso concreto que hace el sistema.
• Principio de finalidad. Si los datos se recogieron para una cosa, no se entrenan modelos con ellos para otra sin resolverlo antes.
• Si el aviso de privacidad y la política de tratamiento describen o no lo que el sistema hace de verdad.
• Rol del proveedor como encargado del tratamiento, subprocesadores, transferencias internacionales y ubicación real de la infraestructura.
• Retención, supresión y política del proveedor sobre reentrenamiento con los datos del cliente.
• Seguridad, control de acceso y protocolo de incidentes.

Decisiones automatizadas, consumidor y propiedad intelectual

Cuando el sistema apoya decisiones sobre crédito, precios, selección de personal, priorización de clientes o bloqueo de cuentas, la empresa debe poder explicar el criterio, conservar la trazabilidad y ofrecer revisión humana. Cuando el sistema le habla al consumidor, lo que promete obliga a la compañía bajo el Estatuto del Consumidor. Y cuando genera contenido, hay que responder de dónde salieron los datos de entrada, de quién son los resultados y qué información de la empresa nunca debió salir hacia una herramienta de terceros.

Cómo trabajamos

• Fase 1 — Inventario. Entrevistas por área y levantamiento de sistemas y datos, hasta tener el mapa de uso real.
• Fase 2 — Diagnóstico. Matriz de hallazgos con criticidad, norma aplicable, responsable y esfuerzo estimado.
• Fase 3 — Remediación. Corrección de documentos y cláusulas, política interna y protocolo de incidentes.
• Fase 4 — Sostenimiento. Revisión periódica y acompañamiento cuando aparece un caso de uso nuevo.

El alcance se acuerda por escrito antes de empezar y todo lo que recibimos se maneja como información confidencial.

Los estándares internacionales, en su lugar

No son derecho colombiano vinculante. El Reglamento Europeo de Inteligencia Artificial, el NIST AI Risk Management Framework y la norma ISO/IEC 42001 son el estándar de buenas prácticas que hoy exigen clientes corporativos, inversionistas y auditores. Los usamos como marco de referencia y le decimos con claridad qué le exige la ley colombiana y qué le exige el mercado, que son dos conversaciones distintas y suelen llegar mezcladas.

Qué recibe el cliente

• El inventario de sistemas de IA clasificado por riesgo.
• La matriz de hallazgos, con criticidad, norma aplicable, responsable y plazo sugerido.
• La hoja de ruta de remediación: lo que se corrige primero y lo que puede esperar a la próxima renovación.
• Un informe ejecutivo para junta directiva o comité, escrito en lenguaje de negocio.

No certificamos que un sistema sea legal ni prometemos resultados. Le decimos con precisión dónde está expuesto, qué se corrige primero y cómo dejar la evidencia lista para el día en que alguien pregunte.