Cumplimiento normativo de la IA: cómo gobernar los sistemas de IA y usar la IA en las tareas de cumplimiento

El cumplimiento normativo de la IA abarca dos cosas: el trabajo continuo para garantizar que los sistemas de IA que tu organización desarrolla o usa cumplan con las leyes, los estándares y las políticas internas aplicables, y el uso de la IA para tareas de cumplimiento rutinarias y de gran volumen.

Este artículo aborda ambos significados: los riesgos que atiende el cumplimiento normativo de la IA, los principales marcos, cómo crear un programa de cumplimiento, los controles para agentes de IA y en qué ayuda la IA a los equipos de cumplimiento. Cierra con preguntas que conviene plantearse antes de comprar una herramienta de cumplimiento.

¿Qué es el cumplimiento normativo de la IA?

El cumplimiento normativo de la IA se refiere a dos cosas: lograr que los sistemas de IA cumplan las reglas que establece la regulación de la IA y usar la IA para realizar tareas de cumplimiento.

En el primer sentido, el cumplimiento normativo de la IA garantiza que un sistema de IA respete las leyes, los reglamentos, los estándares éticos y las políticas internas a lo largo de todo el ciclo de vida de la IA, desde los datos de entrenamiento hasta el rendimiento y el uso.

Por ejemplo, la Ley Local 144 de la Ciudad de Nueva York exige que los empleadores que usan una herramienta automatizada de decisiones de empleo la sometan a una auditoría de sesgo dentro de un plazo de un año respecto de su uso, hagan pública la información sobre la auditoría y notifiquen a los empleados o candidatos.

El cumplimiento regulatorio de la IA es un trabajo continuo porque las aplicaciones de IA se actualizan, los datos con los que trabajan cambian y las regulaciones evolucionan.

En el segundo sentido, los equipos de cumplimiento usan la IA para tareas rutinarias y de gran volumen, como monitorear transacciones, revisar documentos y dar seguimiento a los cambios regulatorios.

Algunas instituciones financieras, por ejemplo, usan la IA para revisar transacciones y reducir los falsos positivos en las alertas de monitoreo de transacciones antes de que los analistas decidan cuáles requieren un reporte de actividad sospechosa.

Cumplimiento normativo de la IA vs. gobernanza de la IA vs. gestión de riesgos de la IA

Los tres términos se superponen, pero abarcan ámbitos distintos: la gobernanza establece las reglas, la gestión de riesgos identifica lo que podría salir mal y el cumplimiento garantiza que se respeten las reglas.

Por qué es importante el cumplimiento normativo de la IA

Lograr el cumplimiento normativo de la IA limita tu exposición a multas, protege la privacidad de las personas cuya información procesa tu IA y permite que tu organización rinda cuentas sobre su uso de sistemas de IA en caso de una auditoría.

• Sanciones regulatorias: Según la Ley de IA de la UE, usar una práctica de IA prohibida, como inferir las emociones de los empleados en el trabajo, puede costar hasta 35 millones de euros o el 7% del volumen de negocios anual mundial. Los proveedores y los responsables del despliegue pueden enfrentar multas de hasta 15 millones de euros o el 3% por infracciones de la Ley.
• Protección de datos: Un sistema de IA que procesa datos personales está sujeto a las leyes de protección de datos, como el RGPD en la UE. Esto incluye los datos de entrenamiento, los prompts y los resultados que contengan datos personales.
• Preparación para auditorías: Llevar registros de qué sistemas de IA usas, quién los aprobó y cómo los monitoreas te permite responder ante reguladores, auditores y clientes.

Los principales riesgos que atiende el cumplimiento normativo de la IA

El cumplimiento normativo de la IA atiende cinco riesgos principales: sesgo algorítmico, falta de explicabilidad, alucinaciones en procesos regulados, privacidad y fuga de datos, e IA en la sombra.

Ampliar

Estas son las formas en que se manifiestan los principales riesgos y ejemplos de controles que los mantienen a raya:

• Sesgo algorítmico: Un modelo reproduce patrones de sus datos de entrenamiento que perjudican a ciertos grupos. Por ejemplo, una herramienta de contratación podría clasificar más abajo a los candidatos con base en un indicador indirecto de la edad o el origen étnico, como el año de graduación o el código postal. Las auditorías de sesgo, que comparan los resultados entre grupos demográficos, ayudan a detectar estos patrones.
• Falta de explicabilidad: La organización no puede demostrar cómo llegó un modelo a una decisión. Si un prestamista no puede explicar por qué un modelo rechazó un préstamo, no puede defender el resultado. Las organizaciones lo previenen documentando las entradas del modelo y su lógica de decisión, y eligiendo modelos con resultados trazables.
• Alucinaciones en procesos regulados: Una herramienta de IA generativa afirma algo falso con total seguridad. Por ejemplo, un abogado podría pedirle a una herramienta de IA jurisprudencia que respalde un argumento y recibir citas de resoluciones judiciales que no existen. Exigir fuentes para cada resultado, y que una persona calificada las verifique, permite detectar este tipo de errores.
• Privacidad y fuga de datos: Información confidencial o de clientes llega a una herramienta fuera del control de la organización. Por ejemplo, un empleado podría pegar registros de clientes en una herramienta de IA pública que conserva las entradas para entrenar modelos futuros. Usar solo herramientas aprobadas con límites contractuales sobre el entrenamiento y la retención de datos reduce el riesgo.
• IA en la sombra: Los empleados usan herramientas de IA que la organización no ha aprobado o que no puede ver. En una encuesta de Compliance Week de 2026, el 42% de los participantes reportó el uso no gestionado de IA por parte de los empleados. Entre las posibles soluciones están una lista de herramientas aprobadas combinada con un proceso ágil de aprobación de herramientas de IA, y las puertas de enlace web.

Principales marcos de cumplimiento normativo de la IA

El cumplimiento normativo de la IA se basa en marcos vinculantes de gobernanza de la IA, como la Ley de IA de la UE, y en marcos voluntarios, como el Marco de Gestión de Riesgos de IA del NIST y la norma ISO/IEC 42001, que ayudan a las organizaciones a cumplirlos.

Ley de IA de la UE

La Ley de IA de la UE (Reglamento (UE) 2024/1689) adopta un enfoque basado en el riesgo para regular la IA: algunas prácticas están prohibidas por completo, los sistemas de alto riesgo enfrentan restricciones estrictas y otros solo están sujetos a reglas de transparencia ligeras. Se aplica a proveedores y responsables del despliegue de cualquier lugar “cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión”.

Las obligaciones conforme a la Ley de IA de la UE dependen del rol de cada organización:

• Quienes desarrollan un sistema de IA de alto riesgo o lo comercializan con su propio nombre (proveedores) deben completar una evaluación de la conformidad, colocar el marcado CE, registrar el sistema, conservar la documentación técnica y monitorearlo después de su lanzamiento.
• Quienes usan un sistema creado por otra parte (responsables del despliegue) deben seguir las instrucciones del proveedor, encomendar la supervisión a personas que tengan “la competencia, la formación y la autoridad necesarias”, conservar los registros durante al menos seis meses e informar a los trabajadores y a otras personas afectadas por sus decisiones.

Ampliar

La Ley se está implementando por etapas. Las prácticas prohibidas, la alfabetización en IA y las reglas para la IA de uso general se aplican desde 2025, mientras que las obligaciones para sistemas de alto riesgo comienzan el 2 de diciembre de 2027, y el 2 de agosto de 2028 para la IA integrada en productos cubiertos por la legislación de la UE sobre seguridad de los productos.

La norma EN 18286:2026 sobre sistemas de gestión de la calidad es la primera norma europea que respalda la Ley. Se presume que los proveedores que la siguen cumplen con el requisito de gestión de la calidad de la Ley.

Marco de Gestión de Riesgos de IA del NIST

El NIST AI RMF (Marco de Gestión de Riesgos de IA), publicado en enero de 2023, es un marco voluntario de EE. UU. estructurado en torno a cuatro funciones: Gobernar, Mapear, Medir y Gestionar.

Su Perfil de IA Generativa, publicado en julio de 2024, aplica el marco a los riesgos de la IA generativa.

ISO/IEC 42001

ISO/IEC 42001 es la norma internacional para sistemas de gestión de la IA y abarca las políticas, los roles y los procesos que rigen el desarrollo y el uso responsables de la IA. La certificación es voluntaria y la otorgan organismos de certificación independientes, no la propia ISO.

Un certificado abarca el sistema de gestión de la organización, no un producto de IA específico.

Reglas de EE. UU. y sectoriales que se aplican a la IA

EE. UU. no tiene una única ley federal de IA. Las reglas provienen de ciudades, estados y leyes y regulaciones existentes que se aplican a la IA.

Por ejemplo, la SB26-189 de Colorado, que entra en vigor el 1 de enero de 2027, regula la tecnología de toma de decisiones automatizada, y las leyes de privacidad, como la Ley de Privacidad del Consumidor de California (CCPA) o la HIPAA, se aplican siempre que la IA procesa datos protegidos.

Cómo crear un programa de cumplimiento normativo de la IA

Crear un programa de cumplimiento normativo de la IA consta de seis pasos: hacer un inventario de tus sistemas de IA, clasificarlos según su riesgo, vincular los controles con las reglas aplicables, asignar responsables, documentar cada sistema y monitorearlo con registros que un auditor pueda verificar.

Ampliar

Cada uno de los siguientes pasos termina con el registro que produce:

1. Haz un inventario de todos los sistemas de IA. Enumera los sistemas que tu organización desarrolla, compra o usa, incluidas las funciones de IA dentro del software existente y las herramientas que los empleados adoptaron sin aprobación. Registra qué hace cada uno, quién lo usa y con qué datos interactúa.
   Resultado: Un inventario de IA.
2. Clasifica cada caso de uso según su riesgo. Evalúa cada sistema según el daño que podría causar, con un esquema como los niveles de riesgo de la Ley de IA de la UE. Por ejemplo, una herramienta que fija las primas de seguros de vida es de alto riesgo según la Ley, mientras que una que resume reuniones internas no lo es.
   Resultado: Un registro de riesgos.
3. Vincula los controles con las reglas aplicables. Enumera las leyes, los estándares y las políticas internas que se aplican a cada sistema, y el control que satisface cada requisito de cumplimiento. Por ejemplo, una revisión humana documentada ayuda a cumplir los requisitos de supervisión humana de la Ley de IA de la UE para los sistemas de alto riesgo y lo que pide el NIST AI RMF sobre procesos documentados de supervisión humana.
   Resultado: Un mapa de controles.
4. Asigna responsables y puntos de supervisión humana. Designa a un responsable para cada sistema y decide en qué punto una persona revisa sus resultados. Por ejemplo, las áreas legal y de cumplimiento se encargan de las obligaciones, seguridad se encarga de los controles técnicos, los responsables de negocio se encargan de sus casos de uso y un ejecutivo rinde cuentas del conjunto. Asegúrate de que las personas de toda la organización estén informadas y establece líneas de comunicación claras.
   Resultado: Responsables designados para cada sistema.
5. Documenta cada sistema. Registra el propósito, los datos de entrenamiento, las pruebas y las limitaciones conocidas de cada sistema en formatos como fichas de modelo y evaluaciones de impacto. Los proveedores de sistemas de alto riesgo también deben preparar la documentación técnica que establece el Anexo IV de la Ley de IA de la UE.
   Resultado: Un conjunto de documentación del sistema.
6. Monitorea, registra y conserva evidencia. Diseña los registros como evidencia de auditoría desde el principio para demostrar qué hizo un sistema y quién lo revisó. La Ley de IA de la UE exige que los sistemas de alto riesgo registren eventos automáticamente durante toda su vida útil. Una pista de auditoría debe incluir:
   • El modelo y la versión en uso
   • Las entradas y salidas, o una muestra definida de ellas
   • Los datos de entrenamiento o de ajuste fino
   • Los puntos de revisión humana y sus resultados
   • Las acciones que realizó un agente y los permisos que usó
   • Cuánto tiempo se conserva cada registro

Resultado: Registros de monitoreo y una pista de auditoría.

Las herramientas especializadas de cumplimiento normativo de la IA, como IBM watsonx.governance y OneTrust AI Governance, pueden encargarse de partes de este programa, como el inventario de IA, las evaluaciones de riesgos conforme a la Ley de IA de la UE y la documentación.

Cómo aprobar las herramientas de IA que pueden usar los empleados

Antes de aprobar una herramienta de IA, verifica cuatro aspectos:

• Acceso a los datos: Qué archivos, sistemas y bases de conocimiento conectadas puede leer la herramienta, y si contienen datos personales que podría exponer.
• Entrenamiento con las entradas: Si el proveedor usa los prompts, archivos o resultados para entrenar sus modelos, y si tu contrato con el proveedor lo prohíbe.
• Retención: Cuánto tiempo conserva el proveedor los prompts, los archivos y el historial de conversaciones, y si puedes acortar ese plazo.
• Alojamiento y transferencias: Dónde almacena y procesa los datos el proveedor, incluidas las transferencias fuera de tu región.

Controles de cumplimiento para agentes de IA

Los agentes de IA necesitan más controles que las herramientas de chat porque deciden sus propios pasos y actúan mediante las herramientas y los permisos que se les otorgan. Tres controles los mantienen a raya:

• Acceso con privilegios mínimos: Dale a un agente solo las herramientas y los permisos que necesita su tarea. La agencia excesiva (Excessive Agency), en la que un agente puede hacer más de lo que requiere su tarea, es uno de los principales riesgos de seguridad según el OWASP Top 10 para aplicaciones de LLM 2026.
• Un registro de cada acción: Registra cada llamada a herramientas, los datos a los que se accedió y los permisos utilizados, para rastrear qué hizo un agente y para quién.
• Aprobación humana para acciones de alto impacto: Exige que una persona confirme los pasos que envían datos fuera de la organización, mueven dinero o no se pueden deshacer.

Cómo se usa la IA en el trabajo de cumplimiento

Los equipos de cumplimiento y de gestión de riesgos usan la IA para monitorear controles, evaluar riesgos, dar seguimiento a los cambios regulatorios, revisar documentos y clasificar alertas de delitos financieros.

En una encuesta de Compliance Week de 2026 a 193 líderes de cumplimiento, ética, riesgos y auditoría, más del 83% dijo que usa IA, y casi el 40% dijo que sus empresas la han implementado para la evaluación y el monitoreo de riesgos.

Entre los casos de uso comunes de la IA en el cumplimiento se encuentran:

• Monitoreo continuo del cumplimiento y recopilación de evidencia: La IA ejecuta verificaciones y reúne pruebas de que funcionan (p. ej., inspecciones de seguridad de equipos vencidas en una planta).
• Evaluación y priorización de riesgos: La IA clasifica unidades de negocio o terceros según su riesgo (p. ej., proveedores con nuevas sanciones o exposición a litigios).
• Monitoreo de cambios regulatorios: La IA da seguimiento a las publicaciones de los reguladores y resume los cambios (p. ej., una guía anticorrupción revisada que reduce el límite de regalos en la política de gastos).
• Revisión de documentos y políticas: La IA compara contratos y políticas con los requisitos (p. ej., contratos con proveedores sin cláusula de derecho de auditoría).
• Detección de delitos financieros: La IA clasifica las alertas de monitoreo de transacciones y de verificación de clientes (p. ej., coincidencias de nombres en listas de sanciones que resultan ser de otra persona).

La IA que se usa para el cumplimiento requiere la misma gobernanza que otros sistemas de IA. Como señaló la Financial Conduct Authority del Reino Unido en octubre de 2026, “las empresas son responsables de los sistemas de IA que desarrollan, adquieren e implementan, incluidos sus resultados y consecuencias”, y advirtió que la revisión humana no debe convertirse en “un ejercicio de ‘palomear casillas’”.

En la práctica, las herramientas de IA pueden encargarse de tareas rutinarias, como recopilar evidencia o señalar cambios regulatorios, pero no de decisiones que conllevan responsabilidad legal, como decidir si se debe reportar una actividad sospechosa o cómo diseñar políticas.

Controles de datos en Perplexity Enterprise

Perplexity Enterprise ofrece a los administradores controles sobre el entrenamiento con las entradas, el acceso a los datos y la retención:

• Sin entrenamiento con tus datos: Perplexity nunca usa contenido empresarial para entrenar sus modelos de IA, y sus acuerdos con proveedores de modelos externos les prohíben entrenar con él.
• Control de acceso: SSO, SCIM y los permisos basados en roles determinan quién puede subir archivos y compartir respuestas.
• Retención y registros de auditoría: Los archivos adjuntos a las sesiones se eliminan después de siete días. Las organizaciones con 50 puestos o más, o con al menos un puesto de Enterprise Max, también pueden configurar la retención de sesiones y recibir registros de auditoría de la actividad de los usuarios.
• Certificaciones: Perplexity cuenta con la certificación SOC 2 Tipo II, cumple con el RGPD y permite trabajar con información de salud protegida solo bajo un Acuerdo de Asociado Comercial (Business Associate Agreement) firmado.

Si quieres conocer estos controles en detalle, contacta a nuestro equipo de Ventas y agenda una demostración personalizada.

Preguntas frecuentes

¿Qué es el cumplimiento normativo de IA en la UE?

El cumplimiento normativo de IA en la UE implica cumplir con las obligaciones de la Ley de IA de la UE que corresponden a tu función (proveedor o responsable del despliegue) y al nivel de riesgo de cada sistema. Las obligaciones se aplican por etapas, y las de alto riesgo entran en vigor el 2 de diciembre de 2027.

¿Qué es una IA que cumple con la HIPAA?

Una IA que cumple con la HIPAA es una herramienta que se usa dentro de las salvaguardas de la HIPAA para la información de salud protegida. Si el proveedor almacena o procesa esa información, el Departamento de Salud y Servicios Humanos de EE. UU. exige primero un Acuerdo de Asociado Comercial (Business Associate Agreement) firmado.

¿La Ley de IA de la UE se aplica a las empresas de EE. UU.?

Sí. La Ley de IA abarca a las empresas de EE. UU. que introducen sistemas de IA en el mercado de la UE y a aquellas cuyos resultados de IA se usan en la UE.

¿Puede la IA reemplazar a los oficiales de cumplimiento?

La IA no puede reemplazar a los oficiales de cumplimiento. Las organizaciones son responsables de su trabajo y las tecnologías de IA pueden cometer errores, por lo que los oficiales de cumplimiento aún deben examinar y aprobar los resultados de la IA.