Inteligencia Artificial y Auditoría Interna Gubernamental
06/11/2026
Este artículo se basa en el documento “La Ética de la Inteligencia Artificial: un desafío estratégico para el SAIG”, que desarrolla con mayor profundidad el contexto nacional e internacional, los principales riesgos éticos asociados al uso de inteligencia artificial (IA) en la Administración del Estado y los desafíos que estos plantean para la Auditoría Interna Gubernamental.
Consulta el documento completo aquí
La IA está modificando la forma en que las instituciones públicas procesan información, prestan servicios, analizan riesgos y apoyan la toma de decisiones. Sus capacidades ofrecen oportunidades relevantes para mejorar la eficiencia, fortalecer el análisis y responder de manera más oportuna a las necesidades de la ciudadanía.
Sin embargo, su incorporación también introduce nuevos riesgos. Un sistema puede entregar resultados incorrectos, reproducir sesgos, procesar información sin los resguardos adecuados o intervenir en decisiones sin que existan responsabilidades claramente definidas.
Por ello, el desafío para el Estado no consiste únicamente en adoptar tecnologías más avanzadas. También supone asegurar que su utilización sea compatible con los principios que orientan la función pública, la protección de los derechos de las personas y una adecuada gestión de los riesgos institucionales.
Desde la perspectiva de la Auditoría Interna, surge una pregunta especialmente relevante:
¿Cómo comprobar que los principios asociados al uso responsable de la inteligencia artificial se encuentran efectivamente incorporados en la gestión de las instituciones?
La respuesta exige avanzar desde las declaraciones generales hacia controles, responsabilidades y evidencia verificable.
- La Ética de la IA como un desafío de gobernanza
La discusión sobre Ética de IA suele abordar principios como equidad, transparencia, privacidad, responsabilidad y supervisión humana.
Es necesario declarar y aceptar estos principios, pero no es suficiente.
Una institución puede declarar su compromiso con el uso responsable de la IA y, al mismo tiempo, carecer de procedimientos para evaluar los riesgos de sus sistemas, verificar sus resultados o determinar quién debe intervenir cuando se produce un error.
Desde una perspectiva de gobernanza, resulta útil distinguir tres niveles:
Declarar. La institución establece principios, políticas, procedimientos que incluyen criterios para el uso responsable de inteligencia artificial.
Implementar. Estas declaraciones y criterios se traducen en responsabilidades, y controles concretos.
Demostrar. Existen antecedentes suficientes para demostrar que los riesgos se analizan, evalúan y que los controles claves se aplican y funcionan de manera efectiva.
Esta distinción es especialmente relevante para la Auditoría Interna.
Una política puede existir y no ser conocida por quienes utilizan las herramientas. Un procedimiento puede encontrarse formalmente aprobado y no aplicarse. Un control puede estar correctamente diseñado, pero operar de manera irregular.
Por lo que, evaluar el uso responsable de la inteligencia artificial requiere revisar no solo la existencia de políticas, sino también la efectividad de los mecanismos establecidos para gestionar sus riesgos.
- Un entorno institucional que está evolucionando
Chile ha avanzado progresivamente en la construcción de un marco para el desarrollo y utilización responsable de la inteligencia artificial.
Entre los principales antecedentes se encuentran la Política Nacional de Inteligencia Artificial y su Plan de Acción, las orientaciones para el uso de herramientas de IA en el sector público, las recomendaciones sobre transparencia algorítmica, las disposiciones en materia de protección de datos personales, ciberseguridad y transformación digital, además de la discusión legislativa con el propósito de regular los sistemas de inteligencia artificial.
Estos instrumentos tienen distinta naturaleza jurídica y no todos generan las mismas obligaciones para los organismos públicos. Esta diferencia también debe tenerse en cuenta al definir los criterios de auditoría.
Sin embargo, al analizarlos en conjunto, se observa una tendencia clara: la utilización de inteligencia artificial está pasando de ser considerada exclusivamente como una materia tecnológica a convertirse también en un asunto de gobernanza, gestión de riesgos, transparencia y rendición de cuentas.
Para las instituciones públicas, esto implica comenzar a responder preguntas básicas pero relevantes:
¿Dónde se está utilizando inteligencia artificial?
¿Para qué decisiones o procesos?
¿Qué información utiliza?
¿Qué nivel de autonomía tiene?
¿Quién supervisa sus resultados?
¿Qué ocurre cuando el sistema se equivoca?
¿Existe evidencia suficiente para reconstruir y explicar sus actuaciones?
Estas preguntas son también preguntas de control interno.
- El papel de la Auditoría Interna Gubernamental
La creación del Servicio de Auditoría Interna de Gobierno (SAIG) mediante la Ley N° 21.769 ofrece un marco institucional para fortalecer la gobernanza, la gestión de riesgos y el control interno de los organismos comprendidos en su ámbito de competencia.
Si bien dicha ley no está destinada específicamente a regular la inteligencia artificial, los riesgos asociados a estas tecnologías deberán formar parte de las materias examinadas por la Auditoría Interna cuando resulten relevantes para los objetivos, procesos y controles institucionales.
El rol de la Auditoría Interna no consiste en reemplazar a quienes desarrollan, administran o utilizan los sistemas, ni en asumir las funciones de los organismos reguladores o fiscalizadores.
Su aporte es diferente: proporcionar aseguramiento y asesoramiento sobre la forma en que la institución identifica sus riesgos, establece controles y verifica su funcionamiento.
Este enfoque permite incorporar progresivamente la inteligencia artificial dentro de la planificación basada en riesgos, evitando tratarla como un fenómeno separado de la gestión institucional.
- Seis dimensiones de riesgo que pueden orientar la auditoría
Para transformar los principios éticos en criterios de evaluación resulta necesario identificar dimensiones concretas de riesgo.
- Equidad y no discriminación
Los sistemas de inteligencia artificial pueden reproducir sesgos presentes en los datos, en las reglas utilizadas para su desarrollo o en las decisiones históricas de una institución.
Este riesgo adquiere especial relevancia cuando la tecnología interviene en procesos relacionados con beneficios, fiscalizaciones, selección de personas o priorización de solicitudes.
La auditoría puede examinar si la institución:
- Evalúa la calidad y representatividad de los datos
- Identifica posibles resultados diferenciados entre grupos
- Realiza pruebas cuando la naturaleza del sistema lo justifica
- Dispone de procedimientos para revisar y corregir resultados cuestionados
El objetivo no es exigir resultados idénticos en todos los casos, sino verificar que las diferencias de tratamiento respondan a criterios legítimos, justificables y compatibles con el marco jurídico aplicable.
- Transparencia y explicabilidad
Cuando un sistema de IA participa en una decisión pública, la institución debe poder comprender qué función cumplió la tecnología y conservar antecedentes suficientes para justificar el resultado.
Esto no significa necesariamente explicar cada operación matemática de un modelo.
Significa contar con documentación y trazabilidad suficientes para responder preguntas esenciales: qué información utilizó el sistema, qué resultado produjo, quién lo revisó y cómo se adoptó finalmente la decisión.
Desde la Auditoría Interna, pueden examinarse la documentación del sistema, los registros disponibles, los mecanismos de revisión y la capacidad institucional para explicar decisiones relevantes.
La explicabilidad no es únicamente una característica técnica. Puede ser una condición necesaria para la rendición de cuentas.
- Privacidad y protección de datos personales
La IA puede procesar grandes volúmenes de información, incluidos datos personales, información reservada o antecedentes institucionales sensibles.
El riesgo puede aparecer incluso en actividades aparentemente simples.
Por ejemplo, cuando un funcionario utiliza una herramienta generativa para resumir documentos, puede estar incorporando información a una plataforma externa sin conocer suficientemente las condiciones en que esos datos serán procesados o conservados.
La auditoría puede evaluar, entre otros aspectos:
- La finalidad del tratamiento
- La pertinencia y minimización de los datos utilizados
- Los controles de acceso
- Las condiciones contractuales con proveedores
- Las transferencias de información
- Los mecanismos de seguridad
- Los procedimientos de respuesta ante incidentes
La protección de la información debe considerarse durante todo el ciclo de vida del sistema.
- Responsabilidad y rendición de cuentas (accountability)
Los sistemas de IA suelen involucrar a diversas áreas: unidades usuarias, equipos tecnológicos, responsables de datos, proveedores y autoridades.
Si las responsabilidades no están claramente definidas, puede resultar difícil determinar quién debe supervisar el sistema, validar sus resultados, corregir errores o responder ante una reclamación.
La Auditoría Interna puede verificar que existan responsabilidades claramente asignadas para:
- Autorizar la utilización del sistema
- Evaluar sus riesgos
- Supervisar su funcionamiento
- Validar resultados relevantes
- Gestionar incidentes
- Atender reclamaciones
- Adoptar medidas correctivas
La utilización de inteligencia artificial no debe diluir la responsabilidad institucional.
- Autonomía y supervisión humana
Los sistemas actuales no solo generan información o recomendaciones. Algunas herramientas pueden ejecutar tareas, interactuar con otros sistemas o realizar acciones con distintos niveles de autonomía.
A medida que aumenta esa autonomía, también puede aumentar la exposición al riesgo.
La supervisión humana debe diseñarse de acuerdo con la criticidad del proceso y las consecuencias que podría generar un error.
No basta con señalar formalmente que existe una persona responsable. Esa persona debe contar con información, atribuciones, tiempo y capacidades suficientes para intervenir.
La auditoría puede examinar los límites de autonomía del sistema, los mecanismos de autorización, las posibilidades de detener su operación y la capacidad de los responsables para cuestionar, modificar o rechazar sus resultados.
- Seguridad, probidad y confiabilidad
Los sistemas de IA están expuestos a riesgos de seguridad, errores de información, fallas de integridad de datos, resultados incorrectos y dependencia de proveedores.
En el caso de la IA generativa, también pueden producirse respuestas plausibles pero incorrectas, referencias inexistentes o interpretaciones erróneas.
En el sector público, estos riesgos pueden afectar la continuidad de los servicios, la adecuada utilización de los recursos y la calidad de las decisiones institucionales.
La auditoría puede revisar:
- Controles de acceso
- Seguridad de los sistemas
- Integridad de la información
- Validación de resultados
- Gestión de proveedores
- Monitoreo del desempeño
- Gestión de incidentes
- Utilización de herramientas no autorizadas
La sofisticación tecnológica de una herramienta no constituye, por sí sola, evidencia de confiabilidad.
- Del principio ético al control verificable
Uno de los principales desafíos para la auditoría consiste en traducir principios generales en preguntas susceptibles de ser respondidas mediante evidencia.
Una forma práctica de hacerlo es relacionar cada dimensión con un control y una evidencia esperada.
| Dimensión | Pregunta de auditoría | Ejemplos de evidencia |
| Equidad | ¿La institución evalúa posibles sesgos o diferencias injustificadas? | Pruebas, resultados desagregados, registros de correcciones |
| Transparencia | ¿Puede reconstruirse y explicarse el resultado del sistema? | Fichas técnicas, registros de decisiones, documentación |
| Privacidad | ¿Los datos utilizados son necesarios y están adecuadamente protegidos? | Evaluaciones de riesgo, accesos, contratos, autorizaciones |
| Responsabilidad | ¿Está definido quién autoriza, supervisa y responde? | Matrices de responsabilidades, actas, registros |
| Supervisión humana | ¿Existe capacidad real para intervenir en el funcionamiento del sistema? | Aprobaciones, registros de intervención, pruebas de suspensión |
| Confiabilidad | ¿El sistema ha sido validado, monitoreado y protegido? | Pruebas de desempeño, seguridad, incidentes y contratos |
La evidencia requerida dependerá de la naturaleza y criticidad de cada sistema.
Una herramienta utilizada para apoyar tareas administrativas de bajo impacto no debería necesariamente estar sometida a las mismas exigencias que un sistema que interviene en decisiones que pueden afectar derechos o beneficios de las personas. Por lo que, la evaluación debe ser proporcional al riesgo.
- Incorporar la IA al Universo de Auditoría
Un desafío práctico consiste en identificar dónde se está utilizando inteligencia artificial.
Su presencia no siempre será evidente. Puede incorporarse mediante proyectos institucionales, plataformas contratadas, funcionalidades incluidas dentro de otros sistemas o herramientas utilizadas directamente por funcionarios.
Por esa razón, uno de los primeros pasos consiste en conocer los sistemas existentes y los procesos en los que intervienen.
Un inventario institucional podría considerar, según corresponda:
- Finalidad del sistema
- Proceso en el que participa
- Datos que utiliza
- Proveedor
- Responsables
- Nivel de autonomía
- Impacto potencial de sus resultados
Esta información permitiría determinar su criticidad y evaluar si corresponde incorporarlo a la planificación de auditoría.
No todos los sistemas de IA requieren una auditoría específica.
Sus riesgos pueden examinarse también dentro de trabajos sobre contratación pública, protección de datos, seguridad de la información, gestión de beneficios, fiscalización, continuidad operacional o gestión de proveedores.
La inteligencia artificial debe integrarse a la mirada de riesgos institucionales, no necesariamente crear un universo paralelo de auditoría.
- El desafío también alcanza a los propios auditores
La transformación tecnológica presenta una doble exigencia.
Por una parte, los equipos de auditoría necesitan capacidades para evaluar sistemas que incorporan inteligencia artificial.
Por otra, la propia Auditoría Interna puede utilizar estas herramientas para analizar grandes volúmenes de información, identificar patrones, clasificar documentos o apoyar determinadas tareas.
Ambos usos requieren cautela.
Un auditor no necesita necesariamente convertirse en especialista en programación o ciencia de datos. Sin embargo, debe contar con conocimientos suficientes para comprender los riesgos, formular preguntas adecuadas y reconocer cuándo se requiere apoyo especializado.
Del mismo modo, cuando utiliza inteligencia artificial en su propio trabajo, debe preservar la confidencialidad de la información, validar los resultados obtenidos y mantener el juicio profesional sobre las conclusiones.
La IA puede apoyar la auditoría. No reemplaza la responsabilidad del auditor sobre la calidad y suficiencia de su trabajo.
- Una capacidad que debe desarrollarse progresivamente
La auditoría de inteligencia artificial no requiere comenzar con modelos complejos ni con programas altamente especializados. Puede desarrollarse gradualmente.
Una primera etapa consiste en identificar dónde se utiliza la tecnología y conocer los riesgos asociados.
Luego pueden desarrollarse criterios comunes de evaluación, fortalecer las capacidades profesionales y aplicar metodologías en experiencias piloto.
A medida que aumenten la experiencia y la madurez institucional, estos riesgos podrán integrarse de manera más sistemática en la planificación basada en riesgos y en los trabajos habituales de auditoría.
Este desarrollo deberá considerar, además, la evolución del marco normativo y tecnológico.
- Una oportunidad para fortalecer la confianza pública
La IA puede contribuir a una Administración del Estado más eficiente, capaz de analizar mejor la información y responder con mayor oportunidad.
Pero sus beneficios no dependerán únicamente de la capacidad técnica de los sistemas.
También dependerán de que las instituciones puedan demostrar que conocen sus riesgos, han establecido responsabilidades, mantienen controles adecuados y pueden explicar las decisiones en las que interviene la tecnología.
En ese escenario, la Auditoría Interna puede realizar una contribución concreta.
Su función no consiste en decidir qué inteligencia artificial debe utilizarse ni sustituir a quienes gestionan estos sistemas. Su aporte es ayudar a determinar si la institución cuenta con una gobernanza adecuada y si los controles establecidos funcionan efectivamente.
El desafío, no es únicamente declarar que una institución utiliza inteligencia artificial de manera ética. Es poder demostrarlo.
Y esa demostración requiere algo que forma parte esencial del trabajo de Auditoría Interna: responsabilidades claras, controles efectivos y evidencia verificable.
