Auditoría de modelos de IA: qué registrar antes de que pregunte el regulador

La pregunta que hunde a una empresa en una auditoría de IA no es técnica: "¿por qué decidió esto el modelo, para este cliente, en esta fecha?". Si la respuesta depende de reconstruir el pasado, llega tarde. Los datos que faltan el día de la pregunta no vuelven. La trazabilidad se activa el primer día en producción, o se pierde.

Este texto es orientación de gestión e ingeniería, no asesoramiento jurídico. Las obligaciones específicas de su industria deben confirmarse con su asesoría jurídica y su encargado de protección de datos.

Tener razón no basta: hay que demostrarlo

En 2019, clientes de la Apple Card, emitida por Goldman Sachs, denunciaron públicamente que las mujeres recibían límites mucho menores que sus maridos. El Departamento de Servicios Financieros de Nueva York investigó y en marzo de 2021 concluyó que no hubo infracción de las leyes de crédito justo: el género no era un factor en las decisiones. Aun así, el informe señaló falta de transparencia. El regulador pudo acceder a los datos de suscripción; los clientes afectados, no. Ni siquiera el personal de atención sabía explicar las decisiones.

La lección vale para cualquier empresa que use un modelo para decidir sobre personas. El banco tenía un modelo defendible y aun así pasó meses bajo investigación y con desgaste de marca, porque la explicación no estaba lista para quien la pidió.

Lo que la ley brasileña ya permite exigir

No hace falta esperar a una ley de IA. El proyecto de ley brasileño, PL 2338/2023, sigue a la espera de dictamen en la Cámara de Diputados en septiembre de 2026. La LGPD, en vigor desde 2020, ya incluye tres disposiciones que cambian lo que usted debe conservar:

• El artículo 20 da al titular el derecho a solicitar la revisión de decisiones tomadas únicamente mediante tratamiento automatizado que afecten sus intereses, incluidos los perfiles de crédito y de consumo. El párrafo 1 obliga al responsable a proporcionar, cuando se le solicite, información clara sobre los criterios y procedimientos utilizados. El párrafo 2 permite a la ANPD auditar aspectos discriminatorios cuando la empresa se niega a explicar alegando secreto comercial.
• El artículo 37 exige a responsables y encargados mantener un registro de las operaciones de tratamiento de datos personales.
• El artículo 38 permite a la ANPD exigir una evaluación de impacto en protección de datos.

La ANPD también está mejor equipada para exigir. Desde la Ley 15.352/2026 es una agencia reguladora con autonomía financiera y 200 nuevos puestos de especialista. Y la regulación del artículo 20 está en su agenda: la Nota Técnica nº 12/2025 consolidó las contribuciones a su consulta sobre IA y decisiones automatizadas.

Lo que ya piden los reguladores de fuera

Dos referencias internacionales ayudan a calibrar el nivel de detalle esperado.

El AI Act europeo, en su artículo 12, exige que los sistemas de alto riesgo registren eventos automáticamente durante toda su vida útil. Quien despliega el sistema debe conservar esos registros al menos seis meses (artículo 26). Con el Digital Omnibus, las obligaciones para los sistemas del Anexo III, que incluyen crédito y selección de personal, se aplican desde el 2 de diciembre de 2027. Si su empresa atiende a clientes en la Unión Europea, es un plazo de proyecto, no una lectura pendiente.

En la banca estadounidense, la SR 11-7, de 2011, fue durante más de una década la referencia de gestión del riesgo de modelos: documentación, validación independiente, seguimiento. En abril de 2026 los reguladores la sustituyeron por una guía revisada basada en el riesgo. El detalle importante: el texto nuevo declara fuera de su alcance los modelos de IA generativa y agéntica, por ser nuevos y cambiar rápido. Es decir, ni los reguladores con más experiencia en riesgo de modelos tienen hoy un estándar listo para los LLM. Si usted usa estos modelos, necesita construir su propia trazabilidad.

El registro mínimo por decisión

Para cada decisión relevante tomada o apoyada por un modelo, registre:

1. Un identificador de la decisión y la fecha y hora.
2. La versión exacta de lo que decidió: modelo, pesos o identificador del proveedor, prompt de sistema, reglas de negocio aplicadas después del modelo. En un LLM, la versión del prompt importa tanto como la del modelo.
3. Las entradas usadas y su origen, con la versión de la fuente. En RAG, qué documentos se recuperaron. En agentes, qué herramientas se llamaron y con qué parámetros.
4. La salida del modelo y la decisión final, por separado. Si una regla o una persona cambió el resultado, tiene que verse.
5. Los factores que más pesaron, en el formato adecuado al modelo: contribución de variables en un modelo de crédito, fragmentos citados en una respuesta de un LLM.
6. Revisión humana: quién revisó, cuándo, qué decidió y con qué base.
7. Qué se comunicó al titular. En 2024, Air Canada fue condenada a pagar a un pasajero que siguió una información errónea de su chatbot. Sin el registro de lo que dijo el agente, ni siquiera sabe si tiene un problema.

Qué registrar además de la decisión

El registro por decisión responde a "qué pasó". La auditoría también preguntará "por qué pensaron que era seguro". Para eso:

• Una ficha del modelo: finalidad, datos de entrenamiento o fuentes de contexto, limitaciones conocidas, población en la que se probó.
• Evidencia de validación antes de pasar a producción: métricas, pruebas de sesgo por grupo cuando se decide sobre personas, casos de prueba adversariales para LLM.
• Seguimiento continuo: deriva de datos, tasa de revisión humana, tasa de impugnación, reclamaciones.
• Control de cambios: cada cambio de modelo, prompt o fuente de datos, con fecha, responsable y resultado de las pruebas.
• Un registro de incidentes y de lo que se hizo con cada uno.

Esto también se aplica a los modelos comprados. En mayo de 2025, un tribunal federal de Estados Unidos autorizó una acción colectiva contra Workday por presunta discriminación por edad en la selección automatizada de candidatos, después de haber admitido que el proveedor de la herramienta podía responder directamente. Si el modelo es de un tercero, el contrato debe garantizar el acceso a la evidencia que usted va a necesitar.

Un ejemplo: la solicitud de revisión de un crédito

Una fintech rechaza un crédito en su aplicación. Tres meses después, el cliente pide una revisión con base en el artículo 20. Con la trazabilidad montada, la respuesta lleva horas:

1. Búsqueda de la decisión: fecha, versión 3.2 del modelo de scoring, política de crédito vigente ese día.
2. Entradas: ingresos declarados, historial de pagos del buró consultado en esa fecha, antigüedad de la cuenta.
3. Factores: dos retrasos recientes en el buró y un nivel de endeudamiento por encima del límite de la política.
4. Regla final: la política rechaza automáticamente por encima de cierto endeudamiento; no hubo revisión humana porque el caso no entró en la franja de excepción.
5. Revisión: un analista reevalúa con datos actualizados y registra el resultado.

Sin trazabilidad, la misma pregunta se convierte en un grupo de trabajo. El equipo de datos intenta averiguar qué modelo estaba en producción, el buró ya no guarda la consulta antigua y la respuesta al cliente sale genérica. Si el cliente reclama ante la ANPD o ante un organismo de consumo, la empresa llega a la conversación sin evidencia.

El coste de guardarlo todo

Registrar tiene un precio, y parte de él es de privacidad. Los registros de decisiones contienen datos personales, así que se aplican las mismas reglas de la LGPD: finalidad, acceso restringido, retención definida y eliminación. Guardar indefinidamente el prompt completo de cada conversación de un agente crea un riesgo nuevo. Defina qué debe guardarse íntegro, qué puede enmascararse y durante cuánto tiempo, y documente esa decisión.

También hay un coste de almacenamiento e ingeniería. Es pequeño frente al coste de responder a un regulador sin datos.

Una prueba para esta semana

Elija cinco decisiones que uno de sus modelos tomó o apoyó hace tres meses. Para cada una, intente responder: qué versión decidió, con qué datos, por qué y quién la revisó. Si no lo consigue en un día, el problema ya existe; simplemente nadie lo ha preguntado todavía.

La ISO/IEC 42001 formaliza estas exigencias en un sistema de gestión, y escribimos sobre ella en ISO 42001 como medida de madurez. Para decidir qué modelos merecen este nivel de trazabilidad, empiece por los niveles de riesgo descritos en cómo montar un comité de gobernanza de IA. Y si quiere ayuda para diseñar la trazabilidad y acompañar su implantación, Governance As a Service hace ese trabajo junto a su equipo.