La ética de la IA en 2026 es cumplimiento: la EU AI Act es ley, NIST AI RMF e ISO 42001 los piden los compradores. El trabajo es la evidencia para auditoría.
Contenido8 secciones
Por qué la "ética" se convirtió en "cumplimiento"
La conversación sobre ética de la IA de 2020 a 2024 era filosófica: principios, marcos, compromisos voluntarios. La conversación de 2025-2026 es operativa: controles documentados, evidencia de auditoría, acciones de aplicación.
Tres factores forzaron el cambio:
-
EU AI Act (prohibiciones desde el 2 de febrero de 2025; obligaciones de alto riesgo desde el 2 de diciembre de 2027 tras el AI Omnibus). Multas de hasta 35 M€ o el 7% del volumen de negocio mundial, la cifra que sea mayor (art. 99).
-
NIST AI RMF (marco voluntario, pero cada vez más requerido para contratos federales en EE. UU. y adquisiciones corporativas).
-
ISO/IEC 42001 (norma de sistema de gestión para IA). Publicada en diciembre de 2023, es la primera norma internacional de sistema de gestión escrita para IA, y es certificable, lo que da al comprador evidencia en lugar de garantías verbales. El otro calendario que conviene tener a mano es el cronograma de aplicación del Reglamento de IA de la UE: las obligaciones para modelos de propósito general se aplican desde el 2 de agosto de 2025, y la Comisión puede hacerlas cumplir, con multas, desde el 2 de agosto de 2026.
El trabajo no es "¿debería la IA ser justa?". El trabajo es la evidencia documentada de que tu sistema específico de IA cumple con requisitos específicos. La mayoría de las empresas va por detrás en esa evidencia. La pieza técnica adyacente es la seguridad de IA, que comparte buena parte de la documentación.
Los tres marcos, comparados
| Aspecto | EU AI Act | NIST AI RMF | ISO 42001 |
|---|---|---|---|
| Tipo | Ley | Marco | Norma |
| Obligatorio | Sí (en la UE) | Voluntario, a menudo requerido | Voluntario, a menudo requerido |
| Alcance | Todos los sistemas de IA usados en la UE | Todos los sistemas de IA (lente federal de EE. UU.) | Gestión de IA en toda la organización |
| Aplicación | Multas regulatorias | Requisitos contractuales | Requisitos de adquisición |
| Clasificación de riesgo | Prohibido / Alto / Limitado / Mínimo | Pilares de confiabilidad | Controles basados en riesgo |
| Evidencia requerida | Evaluación de conformidad | Documentación de gestión de riesgos | Auditoría certificada |
Los tres se solapan de manera significativa, y muchos controles escritos para uno sirven a los otros. Estrategia razonable: perseguir la certificación ISO 42001 y mapear sus controles a los requisitos de la EU AI Act y a las prácticas del NIST AI RMF que te apliquen.
Qué significa "alto riesgo" bajo la EU AI Act
El Anexo III de la EU AI Act enumera los dominios de IA de alto riesgo. Si tu sistema opera en alguno de ellos, aplica la evaluación de conformidad completa:
- Identificación y categorización biométrica de personas.
- Gestión de infraestructura crítica (energía, agua, transporte).
- Educación y formación profesional (por ejemplo, admisiones, calificación de exámenes).
- Empleo y fuerza laboral (contratación, evaluación de desempeño, asignación de tareas).
- Acceso a servicios esenciales (puntuación de crédito, elegibilidad a beneficios públicos).
- Aplicación de la ley (policía predictiva, evaluación de riesgos).
- Migración y fronteras.
- Administración de justicia (priorización de casos, evaluación de pruebas).
La mayoría de los sistemas de SaaS B2B son de riesgo limitado, no de alto riesgo. Los sistemas de riesgo limitado tienen requisitos más ligeros: divulgaciones de transparencia (los chatbots deben revelar su condición de IA), resúmenes de datos de entrenamiento, documentación básica de riesgos. El costo del cumplimiento es bajo si el alcance se define correctamente.
La pila de documentación
Para cada sistema de IA dentro del alcance, un auditor espera ver:
Documentos de gobernanza
- Política de IA (una página): alcance, principios, responsable nombrado.
- Roles y responsabilidades: quién es dueño de cada sistema, quién revisa los cambios, quién responde a los incidentes.
- Criterios de adquisición para proveedores externos de IA.
Evidencia técnica
- Documentación del modelo (model card): propósito, entradas, salidas, fuentes de datos de entrenamiento, precisión, limitaciones.
- Resultados de pruebas de sesgo: análisis por atributo protegido, paridad de desempeño entre grupos.
- Pruebas de robustez: pruebas con entradas adversariales, comportamiento en casos límite.
- Pruebas de seguridad: auditoría del OWASP LLM Top 10 (para sistemas basados en LLM).
- Registros de monitoreo de drift: drift de entrada, drift de predicción, precisión a lo largo del tiempo.
Evidencia operativa
- Registro de respuesta a incidentes: qué salió mal, cuándo, cuál fue la respuesta, qué lecciones quedan.
- Registro de cambios de modelo: cada despliegue con motivo, validación y camino de rollback.
- Registro de supervisión humana: dónde personas revisaron la salida de la IA y qué sobrescribieron.
- Transparencia hacia el cliente: model cards publicadas o disponibles bajo solicitud.
La mayoría de las empresas tiene parte de esta evidencia por accidente. Construir el resto es el trabajo de una implementación de ISO 42001. Antes de levantar esta pila, conviene una auditoría de proceso para saber qué sistemas realmente entran en alcance.
Pruebas de sesgo en 2026
La versión de 2024 de las pruebas de sesgo era "ejecutamos el conjunto de datos COMPAS". La versión de 2026 es operativa: cada modelo dentro del alcance se prueba en los atributos protegidos relevantes para su caso de uso antes del despliegue y en cadencia trimestral en producción.
Tres categorías de atributos protegidos que importan:
-
Demográficos (género, edad, raza, donde sea legalmente recopilable). Prueba la paridad de desempeño (precisión, tasa de falsos positivos, tasa de falsos negativos) entre grupos.
-
Geográficos (país, región). A menudo es un proxy de lo demográfico, pero también relevante para despliegues internacionales.
-
Específicos del caso de uso (por ejemplo, clientes nuevos versus recurrentes, cuentas grandes versus pequeñas en B2B). Suele ser donde se esconde el sesgo relevante para el negocio.
Herramientas: Aequitas, Fairlearn, IBM AIF360. La salida es un informe que muestra el desempeño por grupo con significancia estadística. Va al paquete de evidencia de auditoría.
Qué mete a las empresas en problemas
Tres patrones que vemos en acciones regulatorias y fallas de adquisición:
-
Funciones de IA desplegadas sin clasificación. Una empresa de SaaS añade "puntuación con IA" a su producto de contratación. La función entra en el alcance de los controles de alto riesgo de la EU AI Act. La empresa no clasificó la función. Un cliente en la UE pide evidencia de cumplimiento. No hay ninguna. El cliente se va; el regulador llega después.
-
Afirmaciones de sesgo sin pruebas de sesgo. El texto de marketing dice "IA justa". El equipo de ventas lo repite en demos. No hay evidencia de pruebas de sesgo. Un cliente solicita evidencia durante la adquisición. El acuerdo se traba.
-
APIs de IA de terceros sin evidencia contractual. La empresa usa la API de OpenAI o Anthropic como backend. La empresa no obtuvo la documentación de cumplimiento del proveedor aguas arriba (SOC 2, ISO 42001, conformidad con la EU AI Act). Un comprador corporativo lo exige. El acuerdo se traba.
Las soluciones son inventario, pruebas y contratos - en ese orden.
Un sprint de cumplimiento para SaaS B2B
Mes 1: inventario. Lista cada función de IA. Clasifica cada una por nivel de riesgo de la EU AI Act. Identifica cuáles usan IA de terceros frente a modelos internos.
Mes 2: controles base. Pruebas de sesgo en modelos de clasificación. Divulgaciones de transparencia para chatbots. Supervisión humana para salidas de alto impacto. Documentos de cumplimiento de proveedores recopilados.
Meses 3-4: documentación. Model cards para cada sistema. Plan de gestión de riesgos. Procedimiento de respuesta a incidentes. Plantillas de evidencia de auditoría completadas.
Meses 5-6: preparación para la ISO 42001. Auditoría interna, análisis de brechas, maduración de controles. Contrata a un auditor externo para la revisión de etapa 1.
Meses 7-9: certificación. Auditoría de etapa 2, remediación de hallazgos, certificación emitida. ISO 42001 con buena evidencia normalmente entrega de forma automática el cumplimiento con la EU AI Act para sistemas de riesgo limitado.
Pide precio de la auditoría de certificación y de las auditorías anuales de vigilancia a organismos acreditados, y compáralo con una multa de hasta 15 M€ o el 3% del volumen de negocio mundial, la cifra que sea mayor. Para traducir esto al lenguaje del CFO, ver medir el ROI de la IA en 2026.
La conclusión
La ética de la IA en 2026 es, en gran medida, cumplimiento. Los tres marcos (EU AI Act, NIST AI RMF, ISO 42001) se solapan mucho en controles. El trabajo es evidencia documentada: gobernanza, técnica, operativa. La mayoría de las empresas va por detrás, y reunir evidencia a posteriori es más difícil que construirla desde el inicio. La certificación ISO 42001 es el movimiento de mayor apalancamiento: sus controles encajan con los demás marcos, y un certificado es algo que el comprador puede comprobar. Trata el cumplimiento como ingeniería, no como filosofía. Las auditorías son reales, y las multas son grandes.
La mitad operativa de esto, qué decisiones puede tomar un sistema automatizado sin una persona, está en lo que tu IA no tiene permiso para decidir.
Preguntas frecuentes
¿La EU AI Act se está aplicando de verdad?
Sí, por fases. Las prácticas prohibidas (puntuación social, identificación biométrica en tiempo real en lugares públicos) están prohibidas desde el 2 de febrero de 2025, y las multas por ellas, de hasta 35 M€ o el 7% del volumen de negocio mundial, la cifra que sea mayor, se aplican desde el 2 de agosto de 2025. Las obligaciones de los modelos de propósito general también se aplican desde el 2 de agosto de 2025. Tras el AI Omnibus, los sistemas de alto riesgo del anexo III (contratación, crédito, educación, infraestructura crítica) deben cumplir desde el 2 de diciembre de 2027, y la IA integrada en productos del anexo I desde el 2 de agosto de 2028.
¿Cuál es la diferencia entre EU AI Act, NIST AI RMF e ISO 42001?
La EU AI Act es ley - obligatoria para cualquier sistema de IA usado en la UE, con sanciones. El NIST AI RMF es un marco voluntario de gestión de riesgos - cada vez más requerido para contratos federales en EE. UU. y adoptado por compradores corporativos. La ISO 42001 es una norma de sistema de gestión para IA - voluntaria, pero cada vez más requerida en adquisiciones B2B. La mayoría de las empresas debe cumplir con los tres, y sus controles se solapan mucho.
¿Qué significa de verdad 'controles documentados'?
Tres categorías: (1) documentos de gobernanza (política de IA, roles, responsabilidades); (2) evidencia técnica (resultados de pruebas de sesgo, informes de precisión, registros de monitoreo de drift, informes de auditoría de seguridad); (3) evidencia operativa (registros de respuesta a incidentes, registros de cambios de modelo, registros de supervisión humana). Un auditor espera ver las tres para cada sistema de IA dentro del alcance.
¿Cómo cumplen estos requisitos las pequeñas empresas de SaaS B2B?
Enfoque en tres etapas: (1) inventario - lista cada función de IA en tu producto, clasifica por riesgo (la mayoría son de riesgo limitado, no de alto riesgo); (2) controles base - pruebas de sesgo, divulgaciones de transparencia, supervisión humana cuando corresponda; (3) documentación lista para auditoría. Pide presupuesto a organismos de certificación acreditados para la auditoría y reserva presupuesto para las auditorías anuales de vigilancia que vienen después.
¿Qué mete a las empresas en problemas?
Tres patrones: (1) funciones de IA desplegadas sin clasificación - la empresa no sabe si la EU AI Act aplica hasta que un regulador pregunta; (2) afirmaciones de sesgo en el marketing sin evidencia de pruebas de sesgo; (3) uso de APIs de IA de terceros (OpenAI, Anthropic) sin evidencia contractual de cumplimiento aguas arriba. Las soluciones son inventario, pruebas y contratos - en ese orden.
