La Inteligencia Artificial (IA) se ha convertido en un motor de cambio en los ámbitos empresarial, social y económico. Sin embargo, su adopción masiva también plantea interrogantes éticos, regulatorios y de gobernanza que requieren mecanismos de control sólidos.

En respuesta, la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) publicaron en 2025 la norma ISO/IEC 42005:2025 – Information technology — Artificial intelligence (AI) — AI system impact assessment, que establece directrices para evaluar el impacto de los sistemas de IA en individuos y en la sociedad.

¿Qué busca la norma ISO/IEC 42005?

El estándar tiene como propósito:

• Proporcionar orientación a las organizaciones para llevar a cabo evaluaciones de impacto de sistemas de IA en todas las etapas de su ciclo de vida.
• Definir cómo y cuándo realizar dichas evaluaciones, qué aspectos documentar y cómo integrarlas en los procesos de gestión de riesgos corporativos.
• Conectar la evaluación de impacto con otros marcos normativos, como ISO/IEC 42001 (sistemas de gestión de IA) o regulaciones emergentes, por ejemplo, la Ley de IA de la Unión Europea (AI Act).

En términos prácticos, las evaluaciones buscan identificar riesgos y efectos potenciales en derechos fundamentales, sesgos, fallos de confiabilidad o impactos sociales, estableciendo medidas de mitigación y asegurando documentación verificable.

Conceptos clave del estándar

Aunque la norma no enumera “principios” como tal, diversas guías de implementación destacan elementos esenciales para una gestión responsable de IA:

• Calidad de los datos: pertinencia, precisión, integridad y contexto para evitar sesgos algorítmicos.
• Trazabilidad: capacidad de rastrear el origen, transformaciones y usos de los datos a lo largo del ciclo de vida del sistema.
• Metadatos: información adicional que aporta contexto y permite la reutilización responsable de los datos, facilitando auditorías y rendición de cuentas.
• Documentación estructurada: cada evaluación debe generar registros accesibles y consistentes que respalden decisiones y controles aplicados.

Implementación en la práctica

Si bien la norma no impone un único método de implementación, consultoras y organismos de gobernanza de IA sugieren un proceso basado en etapas:

1. Marco inicial de gobernanza
   • Diagnóstico de brechas y riesgos actuales.
   • Políticas claras para desarrollo y uso de IA.
   • Definición de roles y responsabilidades.
2. Evaluación operativa
   • Controles en diseño, desarrollo y despliegue.
   • Evaluaciones de impacto periódicas.
   • Monitoreo mediante indicadores de desempeño (KPIs).
3. Formación y cultura organizacional
   • Capacitación según rol (técnico, ejecutivo, usuario).
   • Cultura de ética y transparencia en IA.
   • Canales de reporte de incidentes o preocupaciones.
4. Revisión y mejora continua
   • Auditorías internas.
   • Optimización de procesos según hallazgos.
   • Preparación para evaluaciones externas o certificaciones complementarias (por ejemplo, bajo ISO/IEC 42001).

El rol del auditor frente a la ISO/IEC 42005

La norma no define explícitamente funciones para el auditor financiero tradicional, pero sí abre un espacio clave para su participación en la gobernanza de IA. El auditor puede aportar valor en tres niveles:

• Auditoría interna de impacto: revisar la correcta aplicación de políticas, controles y documentación generada en las evaluaciones de impacto.
• Preparación para auditorías externas o certificaciones: verificar que los registros de trazabilidad, los metadatos y la capacitación sean completos y consistentes.
• Aseguramiento independiente: cuando se vincula con certificaciones ISO u obligaciones regulatorias, el auditor externo puede evaluar la efectividad de los procesos y la alineación con leyes como el AI Act europeo.

De esta forma, el auditor se convierte en un actor estratégico que da confianza a inversionistas, entes reguladores y a la sociedad sobre el uso responsable de la IA.

Conclusión

La ISO/IEC 42005:2025 representa un paso decisivo hacia la formalización de la evaluación de impacto de los sistemas de IA como una práctica estructurada, documentada y auditable.

Para las organizaciones, su adopción significa adelantarse en materia de cumplimiento regulatorio y reputación. Para los auditores, abre un nuevo campo profesional donde la transparencia, la ética y la gestión de riesgos tecnológicos se combinan con la experiencia tradicional en control y aseguramiento.

Un horizonte que exige especialización, visión integral y compromiso con la confianza pública en la era digital.

#Auditoría #InteligenciaArtificial #GobernanzaDigital #IAResponsable #Cumplimiento