Cumplimiento normativo de la IA: gobernanza de los sistemas de IA y uso de la IA en las tareas de cumplimiento

El cumplimiento normativo de la IA abarca dos cosas: el trabajo continuo para garantizar que los sistemas de IA que tu organización desarrolla o utiliza cumplen las leyes, normas y políticas internas aplicables, y el uso de la IA para tareas de cumplimiento rutinarias y de gran volumen.

Este artículo trata ambos significados: los riesgos que aborda el cumplimiento normativo de la IA, los principales marcos, cómo crear un programa de cumplimiento, los controles para agentes de IA y los ámbitos en los que la IA ayuda a los equipos de cumplimiento. Termina con las preguntas que conviene plantearse antes de adquirir una herramienta de cumplimiento.

¿Qué es el cumplimiento normativo de la IA?

El cumplimiento normativo de la IA hace referencia a dos cosas: lograr que los sistemas de IA cumplan las normas establecidas en la regulación sobre IA y utilizar la IA para realizar tareas de cumplimiento.

En el primer sentido, el cumplimiento normativo de la IA garantiza que un sistema de IA respete las leyes, los reglamentos, las normas éticas y las políticas internas a lo largo de todo el ciclo de vida de la IA, desde los datos de entrenamiento hasta el rendimiento y el uso.

Por ejemplo, la Local Law 144 de la ciudad de Nueva York exige a los empleadores que utilizan una herramienta automatizada de decisiones de empleo que la sometan a una auditoría de sesgos en un plazo de un año respecto a su uso, que hagan pública la información sobre la auditoría y que informen a los empleados o candidatos.

El cumplimiento normativo de la IA es un trabajo continuo, porque las aplicaciones de IA se actualizan, los datos con los que trabajan cambian y la normativa evoluciona.

En el segundo sentido, los equipos de cumplimiento utilizan la IA para tareas rutinarias y de gran volumen, como supervisar transacciones, revisar documentos y hacer un seguimiento de los cambios normativos.

Algunas entidades financieras, por ejemplo, utilizan la IA para revisar transacciones y reducir los falsos positivos en las alertas de supervisión de transacciones antes de que los analistas decidan cuáles requieren una comunicación de operación sospechosa.

Cumplimiento normativo de la IA frente a gobernanza de la IA y gestión de riesgos de la IA

Los tres términos se solapan, pero abarcan ámbitos distintos: la gobernanza establece las normas, la gestión de riesgos detecta lo que podría salir mal y el cumplimiento garantiza que se respeten las normas.

Por qué es importante el cumplimiento normativo de la IA

Lograr el cumplimiento normativo de la IA limita tu exposición a multas, protege la privacidad de las personas cuya información procesa tu IA y permite a tu organización rendir cuentas del uso que hace de los sistemas de IA en caso de auditoría.

• Sanciones regulatorias: En virtud de la Ley de IA de la UE, recurrir a una práctica de IA prohibida, como inferir las emociones de los empleados en el trabajo, puede costar hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial. Los proveedores y los responsables del despliegue pueden enfrentarse a multas de hasta 15 millones de euros o el 3 % por infringir la Ley.
• Protección de datos: Un sistema de IA que trata datos personales está sujeto a la legislación de protección de datos, como el RGPD en la UE. Esto incluye los datos de entrenamiento, los prompts y los resultados que contengan datos personales.
• Preparación para auditorías: Llevar un registro de los sistemas de IA que utilizas, de quién los aprobó y de cómo los supervisas te permite rendir cuentas ante los reguladores, los auditores y los clientes.

Los principales riesgos que aborda el cumplimiento normativo de la IA

El cumplimiento normativo de la IA aborda cinco riesgos principales: el sesgo algorítmico, la falta de explicabilidad, las alucinaciones en procesos regulados, la privacidad y la fuga de datos, y la IA en la sombra.

Ampliar

Así se manifiestan los principales riesgos, junto con ejemplos de controles que permiten contenerlos:

• Sesgo algorítmico: Un modelo reproduce patrones de sus datos de entrenamiento que perjudican a determinados grupos. Por ejemplo, una herramienta de contratación podría puntuar peor a los candidatos en función de un indicador indirecto de la edad o el origen étnico, como el año de graduación o el código postal. Las auditorías de sesgos, que comparan los resultados entre grupos demográficos, ayudan a detectar estos patrones.
• Falta de explicabilidad: La organización no puede demostrar cómo llegó un modelo a una decisión. Si un prestamista no puede explicar por qué un modelo denegó un préstamo, no puede defender el resultado. Las organizaciones lo evitan documentando las entradas del modelo y la lógica de decisión, y eligiendo modelos con resultados trazables.
• Alucinaciones en procesos regulados: Una herramienta de IA generativa afirma algo falso con total seguridad. Por ejemplo, un abogado podría pedir a una herramienta de IA jurisprudencia que respalde un argumento y recibir citas de resoluciones judiciales que no existen. Exigir fuentes para cada resultado y que una persona cualificada las verifique permite detectar este tipo de errores.
• Privacidad y fuga de datos: Información confidencial o de clientes llega a una herramienta que escapa al control de la organización. Por ejemplo, un empleado podría pegar registros de clientes en una herramienta de IA pública que conserva las entradas para entrenar futuros modelos. Utilizar solo herramientas aprobadas con límites contractuales sobre el entrenamiento y la conservación de datos reduce el riesgo.
• IA en la sombra: Los empleados utilizan herramientas de IA que la organización no ha aprobado o que no puede ver. En una encuesta de Compliance Week de 2026, el 42 % de los participantes indicó que los empleados usaban la IA sin control. Entre las posibles soluciones figuran una lista de herramientas aprobadas combinada con un proceso ágil de aprobación de herramientas de IA, y las pasarelas web.

Principales marcos de cumplimiento normativo de la IA

El cumplimiento normativo de la IA se basa en marcos de gobernanza de la IA vinculantes, como la Ley de IA de la UE, y en marcos voluntarios, como el Marco de Gestión de Riesgos de la IA del NIST y la norma ISO/IEC 42001, que ayudan a las organizaciones a cumplirlos.

Ley de IA de la UE

La Ley de IA de la UE (Reglamento (UE) 2024/1689) adopta un enfoque de la regulación de la IA basado en el riesgo: algunas prácticas están directamente prohibidas, los sistemas de alto riesgo se enfrentan a restricciones estrictas y otros solo están sujetos a normas de transparencia ligeras. Se aplica a proveedores y responsables del despliegue de cualquier lugar «cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión».

Las obligaciones derivadas de la Ley de IA de la UE dependen del papel de cada organización:

• Quienes desarrollan un sistema de IA de alto riesgo o lo comercializan con su propio nombre (proveedores) deben completar una evaluación de la conformidad, colocar el marcado CE, registrar el sistema, conservar la documentación técnica y supervisarlo tras su lanzamiento.
• Quienes utilizan un sistema creado por otra persona o entidad (responsables del despliegue) deben seguir las instrucciones del proveedor, encomendar la supervisión a personas con «la competencia, la formación y la autoridad necesarias», conservar los registros durante al menos seis meses e informar a los trabajadores y a otras personas afectadas por sus decisiones.

Ampliar

La Ley se está aplicando de forma escalonada. Las prácticas prohibidas, la alfabetización en materia de IA y las normas sobre IA de uso general se aplican desde 2025, mientras que las obligaciones para los sistemas de alto riesgo empiezan a aplicarse el 2 de diciembre de 2027 y, en el caso de la IA integrada en productos cubiertos por la legislación de la UE sobre seguridad de los productos, el 2 de agosto de 2028.

La EN 18286:2026 sobre sistemas de gestión de la calidad es la primera norma europea que respalda la Ley. Se presume que los proveedores que la siguen cumplen el requisito de gestión de la calidad de la Ley.

Marco de Gestión de Riesgos de la IA del NIST

El AI RMF (Marco de Gestión de Riesgos de la IA) del NIST, publicado en enero de 2023, es un marco voluntario estadounidense articulado en torno a cuatro funciones: Govern (gobernar), Map (mapear), Measure (medir) y Manage (gestionar).

Su Perfil de IA generativa, publicado en julio de 2024, aplica el marco a los riesgos de la IA generativa.

ISO/IEC 42001

ISO/IEC 42001 es la norma internacional para los sistemas de gestión de la IA y abarca las políticas, funciones y procesos que rigen el desarrollo y el uso responsables de la IA. La certificación es voluntaria y la otorgan organismos de certificación independientes, no la propia ISO.

Un certificado abarca el sistema de gestión de la organización, no un producto de IA concreto.

Normas estadounidenses y sectoriales aplicables a la IA

Estados Unidos no tiene una única ley federal sobre IA. Las normas proceden de ciudades, estados y leyes y reglamentos vigentes que se aplican a la IA.

Por ejemplo, la SB26-189 de Colorado, que entra en vigor el 1 de enero de 2027, regula la tecnología de toma de decisiones automatizada, y las leyes de privacidad, como la Ley de Privacidad del Consumidor de California (CCPA) o la HIPAA, se aplican siempre que la IA trata datos protegidos.

Cómo crear un programa de cumplimiento normativo de la IA

Crear un programa de cumplimiento normativo de la IA consta de seis pasos: inventariar tus sistemas de IA, clasificarlos por riesgo, vincular los controles con las normas aplicables, designar responsables, documentar cada sistema y supervisarlo con registros que un auditor pueda comprobar.

Ampliar

Cada uno de los siguientes pasos termina con el registro que genera:

1. Inventaría todos los sistemas de IA. Enumera los sistemas que tu organización desarrolla, compra o utiliza, incluidas las funciones de IA integradas en el software existente y las herramientas que los empleados adoptaron sin aprobación. Registra qué hace cada uno, quién lo usa y con qué datos trabaja.
   Resultado: Un inventario de IA.
2. Clasifica cada caso de uso según su riesgo. Evalúa cada sistema en función del daño que podría causar, utilizando un esquema como los niveles de riesgo de la Ley de IA de la UE. Por ejemplo, una herramienta que fija las primas de los seguros de vida es de alto riesgo según la Ley, mientras que una que resume reuniones internas no lo es.
   Resultado: Un registro de riesgos.
3. Asigna controles a las normas aplicables. Enumera las leyes, normas y políticas internas que se aplican a cada sistema, así como el control que satisface cada requisito de cumplimiento. Por ejemplo, una revisión humana documentada ayuda a cumplir los requisitos de supervisión humana de la Ley de IA de la UE para los sistemas de alto riesgo y lo que exige el AI RMF del NIST en cuanto a procesos documentados de supervisión humana.
   Resultado: Un mapa de controles.
4. Designa responsables y puntos de supervisión humana. Nombra un responsable para cada sistema y decide en qué momento una persona revisa sus resultados. Por ejemplo, los equipos jurídico y de cumplimiento se encargan de las obligaciones; el de seguridad, de los controles técnicos; los responsables de negocio, de sus casos de uso, y un directivo asume la responsabilidad general. Asegúrate de que las personas de toda la organización estén informadas y establece canales de comunicación claros.
   Resultado: Responsables designados para cada sistema.
5. Documenta cada sistema. Registra la finalidad, los datos de entrenamiento, las pruebas y las limitaciones conocidas de cada sistema en formatos como las fichas de modelo y las evaluaciones de impacto. Los proveedores de sistemas de alto riesgo también deben elaborar la documentación técnica que exige el anexo IV de la Ley de IA de la UE.
   Resultado: Un conjunto de documentación del sistema.
6. Supervisa, registra y conserva pruebas. Diseña los registros como pruebas de auditoría desde el principio para demostrar qué hizo un sistema y quién lo revisó. La Ley de IA de la UE exige que los sistemas de alto riesgo registren eventos automáticamente durante toda su vida útil. Una pista de auditoría debe recoger:
   • El modelo y la versión en uso
   • Las entradas y los resultados, o una muestra definida de ellos
   • Los datos de entrenamiento o de ajuste fino
   • Los puntos de revisión humana y sus resultados
   • Las acciones que realizó un agente y los permisos que utilizó
   • Cuánto tiempo se conserva cada registro

Resultado: Registros de supervisión y una pista de auditoría.

Las herramientas especializadas en cumplimiento normativo de la IA, como IBM watsonx.governance y OneTrust AI Governance, pueden encargarse de partes de este programa, como el inventario de IA, las evaluaciones de riesgos conforme a la Ley de IA de la UE y la documentación.

Cómo aprobar las herramientas de IA que pueden usar los empleados

Antes de aprobar una herramienta de IA, comprueba cuatro aspectos:

• Acceso a los datos: Qué archivos, sistemas y bases de conocimiento conectadas puede leer la herramienta, y si contienen datos personales que podría exponer.
• Entrenamiento con las entradas: Si el proveedor utiliza los prompts, los archivos o los resultados para entrenar sus modelos, y si tu contrato con el proveedor lo prohíbe.
• Conservación: Cuánto tiempo conserva el proveedor los prompts, los archivos y el historial de conversaciones, y si puedes acortar ese plazo.
• Alojamiento y transferencias: Dónde almacena y trata los datos el proveedor, incluidas las transferencias fuera de tu región.

Controles de cumplimiento para agentes de IA

Los agentes de IA necesitan más controles que las herramientas de chat porque deciden sus propios pasos y actúan mediante las herramientas y los permisos que se les conceden. Hay tres controles que permiten contenerlos:

• Acceso con mínimos privilegios: Concede a un agente solo las herramientas y los permisos que necesita para su tarea. La agencia excesiva (Excessive Agency), en la que un agente puede hacer más de lo que requiere su tarea, es uno de los principales riesgos de seguridad según el OWASP Top 10 for LLM Applications 2026.
• Un registro de cada acción: Registra cada llamada a herramientas, los datos a los que se accede y los permisos utilizados para rastrear qué hizo un agente y para quién.
• Aprobación humana para acciones de alto impacto: Exige que una persona confirme los pasos que envían datos fuera de la organización, mueven dinero o no se pueden deshacer.

Cómo se usa la IA en las tareas de cumplimiento

Los equipos de cumplimiento y gestión de riesgos utilizan la IA para supervisar controles, evaluar riesgos, hacer un seguimiento de los cambios normativos, revisar documentos y clasificar alertas de delitos financieros.

En una encuesta de Compliance Week de 2026 realizada a 193 responsables de cumplimiento, ética, riesgos y auditoría, más del 83 % afirmó utilizar la IA y casi el 40 % indicó que sus empresas la han implantado para la evaluación y la supervisión de riesgos.

Entre los casos de uso habituales de la IA en el cumplimiento normativo se encuentran:

• Supervisión continua del cumplimiento y recopilación de pruebas: La IA ejecuta comprobaciones y reúne pruebas de que los controles funcionan (p. ej., inspecciones de seguridad de equipos pendientes en una planta).
• Evaluación y priorización de riesgos: La IA clasifica las unidades de negocio o a terceros según su riesgo (p. ej., proveedores con nuevas sanciones o exposición a litigios).
• Seguimiento de los cambios normativos: La IA sigue las publicaciones de los reguladores y resume los cambios (p. ej., unas directrices anticorrupción revisadas que reducen el límite de los regalos en la política de gastos).
• Revisión de documentos y políticas: La IA compara contratos y políticas con los requisitos (p. ej., contratos con proveedores sin cláusula de derecho de auditoría).
• Detección de delitos financieros: La IA clasifica las alertas de supervisión de transacciones y de verificación de clientes (p. ej., coincidencias de nombres en listas de sanciones que resultan corresponder a otra persona).

La IA utilizada para el cumplimiento normativo necesita la misma gobernanza que otros sistemas de IA. Como afirmó la Financial Conduct Authority del Reino Unido en octubre de 2026, «las empresas son responsables de los sistemas de IA que desarrollan, adquieren y despliegan, incluidos sus resultados y consecuencias», y advirtió de que la revisión humana no debía convertirse en «un ejercicio de “marcar casillas”».

En la práctica, las herramientas de IA pueden encargarse de tareas rutinarias, como recopilar pruebas o señalar cambios normativos, pero no de decisiones que conllevan responsabilidad legal, como decidir si se debe comunicar una actividad sospechosa o cómo diseñar las políticas.

Controles de datos en Perplexity Enterprise

Perplexity Enterprise ofrece a los administradores controles sobre el entrenamiento con las entradas, el acceso a los datos y la retención:

• Sin entrenamiento con tus datos: Perplexity nunca utiliza el contenido empresarial para entrenar sus modelos de IA, y sus acuerdos con proveedores de modelos externos les prohíben entrenar con él.
• Control de acceso: SSO, SCIM y los permisos basados en roles determinan quién puede subir archivos y compartir respuestas.
• Retención y registros de auditoría: Los archivos adjuntos a las sesiones se eliminan al cabo de siete días. Las organizaciones con 50 puestos o más, o con al menos un puesto Enterprise Max, también pueden configurar la retención de las sesiones y recibir registros de auditoría de la actividad de los usuarios.
• Certificaciones: Perplexity cuenta con la certificación SOC 2 Tipo II, cumple el RGPD y solo permite trabajar con información sanitaria protegida si se ha firmado un acuerdo de socio comercial (Business Associate Agreement).

Si quieres conocer estos controles en detalle, ponte en contacto con nuestro equipo de ventas para reservar una demostración personalizada.

Preguntas frecuentes

¿Qué es el cumplimiento normativo de la IA en la UE?

El cumplimiento normativo de la IA en la UE consiste en cumplir las obligaciones del Reglamento de IA de la UE que corresponden a tu función (proveedor o responsable del despliegue) y al nivel de riesgo de cada sistema. Las obligaciones se aplican de forma escalonada, y las relativas a los sistemas de alto riesgo entran en vigor el 2 de diciembre de 2027.

¿Qué es una IA que cumple la HIPAA?

Una IA que cumple la HIPAA es una herramienta que se utiliza dentro de las salvaguardas que establece la HIPAA para la información sanitaria protegida. Si el proveedor almacena o procesa esa información, el Departamento de Salud y Servicios Humanos de EE. UU. exige firmar previamente un acuerdo de socio comercial (Business Associate Agreement).

¿Se aplica el Reglamento de IA de la UE a las empresas estadounidenses?

Sí. El Reglamento de IA se aplica a las empresas estadounidenses que introducen sistemas de IA en el mercado de la UE y a aquellas cuyos resultados de IA se utilizan en la UE.

¿Puede la IA sustituir a los responsables de cumplimiento normativo?

La IA no puede sustituir a los responsables de cumplimiento normativo. Las organizaciones responden de su trabajo y las tecnologías de IA pueden cometer errores, por lo que los responsables de cumplimiento siguen teniendo que examinar y aprobar los resultados de la IA.