De la auditoría de datos a la auditoría de algoritmos: una década de lecciones aplicando rigor técnico
Durante más de una década trabajamos, desde distintos roles, en el sistema de información de auditoría técnica del MinTIC: primero en su implementación inicial, después liderando su evolución técnica, y hoy acompañando su operación desde un rol de consultoría experta. En ese tiempo participamos, de forma acumulada, en más de 750 auditorías técnicas. Ese número no es una cifra de vanidad; es el origen real de cómo pensamos la tecnología en BIT.
Auditar un sistema de información, en la práctica, no es revisar si “funciona”. Es revisar si se puede confiar en lo que produce: si los datos que entraron son los que dicen ser, si el proceso que los transformó es reproducible, si las conclusiones que salen del sistema pueden sostenerse frente a un cuestionamiento externo. Es un ejercicio de escepticismo estructurado, aplicado con método.
Después de más de diez años haciendo ese ejercicio sobre sistemas de información tradicionales, la aparición de la inteligencia artificial en las organizaciones no se sintió, para nosotros, como un territorio completamente nuevo. Se sintió como el mismo problema con una capa adicional de complejidad: ahora el sistema no solo procesa datos según reglas que alguien escribió, también aprende patrones y toma decisiones que ni siquiera su propio creador puede explicar completamente sin herramientas adicionales.
Esa continuidad es la razón por la que, mientras muchas empresas de tecnología llegan a la gobernanza de IA como un requisito de cumplimiento que hay que resolver, nosotros llegamos por el camino inverso: primero entendimos qué significa auditar con rigor, y ahora aplicamos exactamente ese criterio, formalizado bajo la norma ISO/IEC 42001, a los sistemas de inteligencia artificial que diseñamos y a los que evaluamos para terceros.
Tres lecciones de esa década que seguimos aplicando hoy, sin cambiar una palabra: primera, un sistema que nadie puede auditar es un sistema en el que nadie debería confiar completamente, sin importar cuán bien parezca funcionar. Segunda, la trazabilidad no se agrega al final del proyecto; se diseña desde el primer día, porque intentar reconstruirla después casi siempre resulta imposible o carísimo. Tercera, la persona que construye un sistema rara vez es la más objetiva para evaluar sus propios riesgos; por eso el criterio de auditor, aunque sea interno a la misma organización, sigue siendo insustituible.
Escribimos esta nota no como una pieza de marketing sobre nuestra experiencia, sino como una invitación: si su organización está adoptando IA, aplíquele el mismo escepticismo estructurado que aplicaría a cualquier sistema del que dependa su operación. Esa disciplina, más que cualquier modelo específico, es lo que finalmente determina si una implementación de IA es confiable o solo parece serlo.