El escepticismo profesional aplicado al control interno en la era de la inteligencia artificial: ¿podemos confiar en sistemas que aprenden?
Como todos sabemos, la inteligencia artificial (IA) ha irrumpido en las organizaciones con una velocidad sin precedentes. Actualmente participa, en mayor o menor medida, en procesos de negocio, actividades de control, análisis de riesgos y elaboración de información para la toma de decisiones. Ha dejado de ser una tecnología experimental para convertirse en una herramienta de uso generalizado. Por aportar algún dato, el AI Index 2025 de Stanford, indica que el 78% de las organizaciones ya utiliza la IA en alguna actividad empresarial, frente al 55% registrado apenas un año antes.
La capacidad de la IA para analizar grandes volúmenes de datos, identificar patrones y automatizar tareas aporta importantes beneficios en términos de eficiencia y precisión. Sin embargo, también plantea una cuestión fundamental para los responsables de gobierno corporativo, control interno, auditoría interna y externa: ¿cómo mantener una actitud crítica cuando las decisiones empiezan a apoyarse en sistemas que aprenden y evolucionan continuamente?
La respuesta pasa por recuperar un concepto clásico del aseguramiento: el escepticismo profesional. Pero en este nuevo contexto, este principio debe evolucionar para adaptarse a un entorno donde ya no basta con cuestionar a las personas; también es necesario cuestionar los algoritmos.
El escepticismo profesional más allá de la auditoría
Tradicionalmente, el escepticismo profesional ha sido un atributo asociado al auditor. Su objetivo es evitar asumir que la información recibida es correcta sin realizar las verificaciones necesarias.
Sin embargo, la creciente utilización de inteligencia artificial en actividades operativas y de control hace que esta actitud de cuestionamiento deba extenderse a toda la organización.
La confianza en la tecnología no puede sustituir al juicio profesional. Al contrario, cuanto mayor es la capacidad de los sistemas, mayor debe ser la capacidad de las personas para evaluar críticamente los resultados que generan.
Porque en un entorno de IA, los errores no siempre proceden de una acción humana incorrecta. También pueden derivarse de modelos mal entrenados, datos sesgados o decisiones algorítmicas poco transparentes.
La paradoja de la confianza tecnológica
Paradójicamente, la misma tecnología que ayuda a gestionar riesgos se está convirtiendo en una nueva fuente de riesgo. El informe Future of Risk 2024 de KPMG identifica que la IA y la IA generativa son ya las tecnologías más utilizadas para apoyar las funciones de gestión de riesgos, en un contexto donde el 61% de los directivos espera enfrentarse a mayores niveles de incertidumbre en los próximos años.
La historia del control interno demuestra que los mayores riesgos suelen surgir en aquellos procesos la supervisión es sustituida por la confianza, dado que ésta no siempre va acompañada de una comprensión suficiente de cómo funcionan los modelos que generan dichas conclusiones.
Las respuestas producidas por sistemas de IA suelen ser coherentes, rápidas y convincentes. Precisamente por ello, existe el riesgo de aceptarlas sin cuestionamiento suficiente.
El control interno debe evitar que la aparente precisión tecnológica reduzca la capacidad crítica de quienes utilizan la información.
Del escepticismo sobre las personas al escepticismo sobre los algoritmos
Los profesionales de auditoría interna y externa están acostumbrados a cuestionar estimaciones contables, hipótesis financieras o juicios realizados por la dirección. La incorporación de la IA amplía el alcance de ese análisis.
Las preguntas relevantes ya no son únicamente quién ha tomado una decisión o qué criterio ha utilizado, sino también:
- ¿Son fiables los datos utilizados para entrenar el modelo?
- ¿Se ha producido algún cambio significativo en el algoritmo?
- ¿Existen sesgos que puedan afectar a los resultados?
- ¿Puede explicarse razonablemente cómo se ha obtenido una conclusión?
- ¿Qué validaciones independientes respaldan el funcionamiento del sistema?
En definitiva, el escepticismo profesional debe extenderse desde la evaluación del comportamiento humano hacia la evaluación crítica de la lógica algorítmica.
Los riesgos de la automatización acrítica
La adopción masiva de soluciones de IA puede generar riesgos que, en muchos casos, pasan desapercibidos para los modelos tradicionales de control. Entre los más relevantes destacan:
Sesgo de automatización. Tendencia de los usuarios a aceptar automáticamente las recomendaciones emitidas por un sistema tecnológico.
Pérdida de conocimiento experto. La dependencia excesiva de la tecnología puede reducir progresivamente la capacidad de análisis y juicio de los profesionales.
Alucinaciones y errores plausibles. Especialmente en entornos de IA generativa, donde una respuesta puede parecer correcta aun siendo incorrecta.
Falta de “explicabilidad”. Dificultad para comprender el razonamiento seguido por determinados modelos avanzados.
Controles invisibles. Procesos automatizados que funcionan aparentemente de forma correcta, pero cuyos criterios de decisión son desconocidos para la organización.
Incorporar el escepticismo profesional al gobierno de la IA
Para gestionar adecuadamente estos riesgos, las organizaciones deben integrar el escepticismo profesional como un elemento estructural de sus modelos de gobierno de la inteligencia artificial. Algunas prácticas especialmente relevantes son:
- Asignar responsables humanos sobre las decisiones asistidas por IA.
- Mantener mecanismos de revisión independiente de resultados.
- Exigir trazabilidad de datos, modelos y decisiones.
- Diseñar indicadores para detectar desviaciones inesperadas.
- Realizar validaciones periódicas de modelos y algoritmos.
- Formar a los equipos en pensamiento crítico y sesgos cognitivos.
- Establecer procedimientos de escalado cuando los resultados generados por la IA entren en conflicto con criterios profesionales.
El objetivo no es desconfiar de la tecnología, sino garantizar una confianza fundamentada y verificable.
Un nuevo principio para el control interno
Tradicionalmente, la eficacia de un control se ha medido por su capacidad para reducir riesgos a niveles aceptables.
La inteligencia artificial obliga a incorporar una nueva dimensión: la capacidad de explicar cómo se genera una decisión.
Un control cuyos resultados no pueden comprenderse ni justificarse resulta difícil de supervisar, validar y mejorar.
Por ello, la “explicabilidad” se está convirtiendo en un atributo tan relevante como la eficacia o la eficiencia del propio control.
En un entorno donde las decisiones son cada vez más automatizadas, la transparencia deja de ser una característica deseable para convertirse en una necesidad de gobierno.
Un reto estratégico para organizaciones y auditores
La inteligencia artificial no elimina la necesidad de juicio profesional. Al contrario, la multiplica.
Para los auditores, supone ampliar el alcance de sus evaluaciones y analizar no solo las evidencias obtenidas, sino también los sistemas que las generan.
Para los responsables de control interno, implica evolucionar desde la supervisión de procesos hacia la supervisión de algoritmos.
Y para los órganos de gobierno, representa el desafío de garantizar que la innovación tecnológica no reduzca la capacidad de cuestionamiento de la organización.
En definitiva, el verdadero riesgo de la inteligencia artificial no es que las máquinas se equivoquen, sino que las personas dejen de preguntarse si tienen razón.
Porque, en la era de la inteligencia artificial, el escepticismo profesional ya no es solo una competencia del auditor. Es una condición necesaria para mantener la confianza en el sistema de control interno.
Yolanda Pérez es socia del área de Governance, Risk and Compliance (GRC) en KPMG.
