Auditoría externa de un programa de IA: qué esperar y cómo prepararse

"Auditoría de IA" no es una sola cosa. Conviene distinguir las familias para no confundir una certificación con una revisión de sesgo:

• **Certificación ISO/IEC 42001.** Verifica tu sistema de gestión de IA contra la norma internacional; la emite un organismo acreditado.
• **Auditoría algorítmica / de sesgo.** Evalúa un modelo o dataset buscando disparidades entre grupos (el referente regulatorio más citado es la ley de Nueva York para herramientas de empleo).
• **Auditoría de seguridad de IA.** Robustez, ciberseguridad del modelo, accesos.
• **Evaluación de conformidad (EU AI Act).** Para sistemas de alto riesgo en la UE; sirve de referencia para el modelo por riesgo que sigue Chile.
• **Evaluación de impacto.** Bajo ISO 42001 es el impact assessment; en datos personales, la evaluación de impacto en protección de datos (EIPD/DPIA).

La estructura de revisión se ordena bien con el Anexo A de ISO 42001 (nueve categorías de control) y, en lo cualitativo, con las cuatro funciones del NIST AI RMF (Govern, Map, Measure, Manage). El auditor mira, dominio por dominio:

• **Gobernanza y políticas:** roles, responsabilidades, política de IA, supervisión.
• **Inventario de sistemas de IA:** un catálogo único y clasificado de las herramientas. Es la columna vertebral de todo lo demás.
• **Gestión de riesgos:** propósito, usuarios, supuestos, riesgos identificados, medidos y tratados.
• **Datos:** calidad, linaje, sesgo y privacidad.
• **Ciclo de vida:** documentación de diseño a retiro (model cards, registros de pruebas).
• **Transparencia y explicabilidad** de las decisiones.
• **Supervisión humana** sobre decisiones autónomas.
• **Seguridad** del modelo y la infraestructura.
• **Proveedores y terceros:** gobernanza de la cadena de suministro de IA.
• **Monitoreo post-despliegue:** desempeño del modelo, incidentes y anomalías.

Una certificación ISO 42001 sigue un modelo de dos etapas más vigilancia:

• **Etapa 1 (documental / readiness):** revisión de la documentación, el alcance y el diseño del sistema de gestión.
• **Etapa 2 (in situ / efectividad):** entrevistas, observación y evaluación de cómo operan los procesos y controles en la práctica.
• **Vigilancia y recertificación:** ciclo de tres años. Año 1: etapas 1 y 2 y emisión del certificado; años 2 y 3, auditorías de vigilancia; año 4, recertificación.

Los tiempos exactos (días de etapa 1, semanas de etapa 2) varían según tamaño y alcance y son estimaciones del organismo, no plazos normativos. Pídelos por escrito antes de contratar.

La oferta local de certificación ISO 42001 ya existe: operan organismos certificadores e internacionales con presencia en Chile, y hay formación de auditores disponible. Pero la oferta es incipiente y heterogénea, así que conviene distinguir:

• **Certificación acreditada vs. "revisión de readiness".** Solo un organismo acreditado emite un certificado con reconocimiento internacional; una consultora puede prepararte, pero su informe no es un certificado.
• **Cuidado con los claims de "certificación" no acreditada.** Verifica la acreditación del organismo.
• **Alcance claro por escrito.** Qué sistemas, qué controles, qué etapas y qué entregables.

Este artículo no constituye asesoría legal ni de certificación. El alcance, los tiempos y los costos dependen de cada organismo y de la madurez de tu empresa. Cognitiva acompaña la preparación —inventario, gap analysis, documentación y evidencia— para que llegues a la auditoría con la casa ordenada.