¿Por qué una auditoría interna?
Nota editorial, 24 de septiembre de 2026: conservamos la fecha original. Esta lista reúne controles sugeridos y requisitos que dependen del papel y del sistema. No es una auditoría legal completa ni un checklist obligatorio para toda empresa. Contrasta cada punto con el Reglamento de IA vigente.
El artículo 17 de la Ley de IA de la UE exige a los proveedores de sistemas de alto riesgo un sistema de gestión de la calidad con procedimientos de examen, prueba y validación. Esta lista sirve para organizar una revisión interna: no sustituye el texto legal ni convierte cada punto en una obligación aplicable a toda empresa.
Pero más allá de la obligación, una auditoría interna te permite:
- Identificar brechas antes de que las encuentre un regulador
- Demostrar diligencia debida ante inspecciones
- Planificar correcciones antes de una inspección o cambio de producto
- Preparar a tu equipo para el escrutinio regulatorio
Fase 1: Inventario y Clasificación
Inventario de sistemas de IA
- ☐ Inventario de los sistemas de IA conocidos y plan para detectar usos no registrados
- ☐ Lista de todos los sistemas de IA que forman parte de productos/servicios
- ☐ Identificación de modelos de terceros integrados (APIs, SDKs)
- ☐ Mapeo de flujos de datos entre sistemas
- ☐ Identificación del propósito y uso previsto de cada sistema
Clasificación de riesgo
- ☐ Cada uso revisado para detectar prácticas prohibidas, posible alto riesgo y obligaciones de transparencia
- ☐ Evaluación documentada de por qué un sistema cae en cada categoría
- ☐ Revisión de la clasificación por un equipo multidisciplinar (legal, técnico, negocio)
- ☐ Plan de remediación para sistemas en categorías prohibidas
- ☐ Calendario de revisión periódica de clasificaciones
Fase 2: Gobernanza y Organización
Estructura organizativa
- ☐ Persona de contacto interna designada para coordinar esta revisión
- ☐ Comité de gobernanza de IA establecido
- ☐ Roles y responsabilidades documentados
- ☐ Líneas de reporte claras para incidentes de IA
- ☐ Presupuesto asignado para cumplimiento
Políticas y procedimientos
- ☐ Política de uso aceptable de IA
- ☐ Procedimiento de evaluación de riesgos de IA
- ☐ Procedimiento de desarrollo y despliegue de IA
- ☐ Procedimiento de gestión de cambios en modelos de IA
- ☐ Procedimiento de gestión de incidentes serios
- ☐ Política de datos de entrenamiento
Formación
- ☐ Programa de formación en Ley de IA para todo el personal relevante
- ☐ Formación específica para desarrolladores de IA
- ☐ Formación para supervisores humanos
- ☐ Registro de formación completada
- ☐ Evaluación periódica de conocimientos
Fase 3: Requisitos Técnicos (Sistemas de Alto Riesgo)
Sistema de gestión de riesgos (Art. 9)
- ☐ Sistema de gestión de riesgos implementado y documentado
- ☐ Riesgos conocidos y previsibles identificados
- ☐ Medidas de mitigación implementadas para cada riesgo
- ☐ Pruebas de las medidas de gestión de riesgos
- ☐ Riesgos residuales aceptables documentados y justificados
- ☐ Revisión y actualización continua del sistema
Gobernanza de datos (Art. 10)
- ☐ Datos de entrenamiento documentados (origen, volumen, fecha)
- ☐ Evaluación de representatividad de los datos
- ☐ Evaluación de sesgo realizada y documentada
- ☐ Procedimientos de limpieza y preparación de datos documentados
- ☐ Datos de validación y prueba independientes de los de entrenamiento
- ☐ Procedimiento de gestión de datos personales en datasets
Documentación técnica (Art. 11)
- ☐ Descripción general del sistema y su propósito previsto
- ☐ Diseño y proceso de desarrollo documentados
- ☐ Arquitectura del modelo documentada
- ☐ Datos de entrenamiento, validación y prueba documentados
- ☐ Métricas de rendimiento documentadas
- ☐ Limitaciones conocidas documentadas
- ☐ Instrucciones de uso para implementadores
- ☐ Información sobre monitoreo post-despliegue
Registro de eventos (Art. 12)
- ☐ Logging automático implementado
- ☐ Eventos de inicio, decisión y error registrados
- ☐ Trazabilidad de decisiones disponible
- ☐ Período de retención definido y cumplido
- ☐ Logs protegidos contra manipulación
- ☐ Acceso a logs controlado y auditado
Transparencia (Art. 13)
- ☐ Instrucciones de uso claras y accesibles
- ☐ Información sobre capacidades y limitaciones
- ☐ Métricas de rendimiento comunicadas
- ☐ Avisos del artículo 50 evaluados por separado cuando correspondan
- ☐ Información suficiente para interpretar y usar adecuadamente el resultado
Supervisión humana (Art. 14)
- ☐ Roles de supervisión definidos
- ☐ Supervisores formados en el sistema
- ☐ Mecanismo de intervención/pausa/anulación funcional
- ☐ Procedimiento de escalación documentado
- ☐ Registro de intervenciones manuales
Precisión, robustez y ciberseguridad (Art. 15)
- ☐ Métricas de precisión definidas y medidas
- ☐ Pruebas de robustez ante entradas adversariales
- ☐ Evaluación de ciberseguridad realizada
- ☐ Plan de respuesta ante ataques al sistema de IA
- ☐ Pruebas de regresión ante actualizaciones del modelo
Fase 4: Monitoreo Post-Despliegue
Monitoreo continuo (Art. 72)
- ☐ Sistema de monitoreo post-mercado implementado
- ☐ Métricas de rendimiento monitorizadas en producción
- ☐ Detección de drift (degradación del modelo) implementada
- ☐ Alertas configuradas para anomalías
- ☐ Procedimiento de actualización/reentrenamiento documentado
Gestión de incidentes (Art. 73)
- ☐ Definición de "incidente serio" documentada
- ☐ Canal de reporte interno establecido
- ☐ Procedimiento de notificación a autoridades con plazos según el tipo de incidente (Art. 73)
- ☐ Equipo de respuesta a incidentes designado
- ☐ Simulacro de incidente realizado al menos una vez
Fase 5: Evidencias y Documentación
Registro ante autoridades
- ☐ Registro en la base de datos de la UE revisado solo si el sistema y el operador están sujetos a esa obligación
- ☐ Declaración de conformidad preparada
- ☐ Marcado CE aplicado (si corresponde)
- ☐ Documentación lista para inspección
Evidencias de cumplimiento
- ☐ Repositorio centralizado de evidencias
- ☐ Historial de auditorías internas
- ☐ Registros de formación
- ☐ Informes de evaluación de riesgos
- ☐ Resultados de pruebas técnicas
- ☐ Registros de incidentes y acciones correctivas
Cadencia sugerida para una revisión interna
No hay una cadencia trimestral, semestral o bienal universal en el EU AI Act para esta lista. Establece una periodicidad según la finalidad, los cambios del sistema, los incidentes y las reglas sectoriales. Para sistemas de alto riesgo, el artículo 72 exige al proveedor vigilancia poscomercialización durante su vida útil; consulta sus obligaciones concretas antes de fijar el calendario.
Dónde puede ayudar Fencia
Fencia puede ayudarte a reunir fuentes compatibles, organizar posibles hallazgos documentales y mantener evidencia para revisión humana. Su resultado no completa por sí solo las fases de una auditoría ni determina el cumplimiento:
- Fuentes: incorpora documentos compatibles y señales de las integraciones según su alcance.
- Inventario y revisión: reúne indicios sobre sistemas de IA para que una persona confirme cada registro.
- Posibles brechas: relaciona el contenido disponible con parte de los requisitos cubiertos del EU AI Act; un responsable comprueba el hallazgo y decide la acción.
- Evidencia: conserva el contexto y prepara exportaciones revisables. Una entrega a una autoridad requiere validación profesional.
Explora cómo funciona Fencia y el alcance de las integraciones antes de iniciar una revisión.