El PCAOB afronta presión para establecer normas de auditoría corporativa sobre IA

La Junta de Supervisión Contable de Empresas Públicas ha llegado a un punto de decisión sin precedentes sobre la IA, tras años de seguimiento cauteloso. El titular inmediato de Google News plantea el asunto como una demanda de normas corporativas sobre IA. La verdadera cuestión es más acotada, más compleja y más trascendental. ¿Pueden los auditores confiar en la IA sin debilitar la evidencia que sustenta sus opiniones?

Esa pregunta ya figura en la agenda normativa del PCAOB. La junta pidió a las partes interesadas que evaluaran si la innovación tecnológica, incluida la inteligencia artificial, justifica investigación, orientación o nuevos requisitos. Su período de comentarios públicos cerró el 7 de agosto de 2026.

El momento crea un conflicto claro. Las firmas de auditoría quieren suficiente flexibilidad para mejorar las pruebas, el análisis y la documentación. Los inversores necesitan normas coherentes para herramientas que pueden producir respuestas convincentes sin mostrar un razonamiento fiable. Los principios de auditoría existentes siguen siendo aplicables, pero no resuelven todos los problemas específicos de la IA.

No se trata simplemente de otro debate de políticas puesto de relieve por Google News. Es una prueba de si la supervisión financiera puede seguir el ritmo de sistemas que cambian entre ciclos de auditoría. El PCAOB debe decidir cuánto juicio humano, documentación, validación y supervisión requiere una auditoría asistida por IA.

Lo que el PCAOB realmente puso sobre la mesa

El PCAOB no ha adoptado normas corporativas sobre IA, pero ha abierto formalmente la puerta a la elaboración de normas centradas en IA.

El 23 de junio de 2026, el PCAOB emitió su primera solicitud de comentarios públicos que abarca tanto su agenda de elaboración de normas como su agenda de investigación. La solicitud también recabó opiniones sobre el proceso más amplio de elaboración de normas de la junta.

La junta afirmó que su agenda debe evolucionar con el entorno de auditoría e información financiera. Su actual agenda de auditoría identifica la innovación tecnológica, incluida la IA, como un factor que puede afectar la calidad de la auditoría.

Ese lenguaje importa. Sitúa a la IA dentro de la misión de protección del inversor del PCAOB, en lugar de tratar la tecnología como una decisión interna de productividad para las firmas contables.

El PCAOB supervisa a las firmas registradas que auditan empresas públicas y corredores y agentes registrados ante la SEC. No actúa como regulador general de todas las aplicaciones corporativas de IA. Cualquier norma que adopte se centrará en el trabajo de auditoría, la información financiera, la conducta profesional y los controles de calidad relacionados.

Sin embargo, ese alcance todavía se extiende a las empresas públicas. Los auditores deben comprender los sistemas que producen información financiera y evaluar los controles internos pertinentes. Cuando la dirección utiliza IA dentro de esos sistemas, la tecnología puede afectar a la auditoría incluso si el auditor nunca implementa un modelo de IA.

Una herramienta de IA podría clasificar gastos, estimar provisiones, identificar transacciones inusuales o preparar conciliaciones. También podría respaldar previsiones utilizadas en pruebas de deterioro. Cada uso plantea preguntas sobre calidad de los datos, controles de acceso, cambios de modelo, revisión humana y reproducibilidad.

El auditor se enfrenta entonces a dos tareas distintas. La primera consiste en evaluar la información de la dirección respaldada por IA. La segunda es controlar cualquier herramienta habilitada por IA utilizada por el propio equipo de auditoría.

Esas tareas pueden cruzarse. Un auditor podría utilizar análisis automatizados para comprobar la salida de un proceso contable automatizado de una empresa. Si ambos sistemas dependen de datos relacionados o modelos similares, la aparente corroboración puede ofrecer menos independencia de la esperada.

La actuación del PCAOB no significa que las normas existentes hayan dejado de funcionar de repente. Siguen siendo aplicables los requisitos relativos a evidencia de auditoría, escepticismo profesional, supervisión, documentación, independencia y control de calidad.

La disputa se refiere a si esos principios proporcionan suficiente claridad operativa. Una norma que exige “evidencia de auditoría suficiente y adecuada” establece el objetivo. No explica automáticamente cómo deberían los auditores validar un modelo cambiante, conservar prompts o investigar resultados inconsistentes.

Esta distinción se pierde en un titular condensado de Google News. El PCAOB no está decidiendo si debe permitirse a las empresas utilizar IA. Está decidiendo si las obligaciones de auditoría necesitan límites específicos más claros para la IA antes de que la confianza en ella se vuelva rutinaria.

La decisión sigue a varios años de investigación. En julio de 2024, el personal del PCAOB publicó observaciones derivadas de contactos con grandes firmas de auditoría y empresas públicas. Según la junta, las firmas contactadas auditaban colectivamente la mayor parte de la capitalización de mercado de los emisores.

El contacto sobre GenAI detectó un uso limitado, pero en rápida evolución. Por lo general, las firmas empleaban IA generativa para tareas administrativas y orientadas a la investigación, en lugar de pruebas centrales de auditoría.

Los preparadores de información de empresas públicas también estaban explorando usos en todas sus operaciones. Sus planes de adopción a menudo avanzaban más rápido que su uso de IA generativa en la información financiera.

Esa brecha dio a los reguladores tiempo para estudiar el asunto. No eliminó la necesidad de actuar. Las capacidades de IA y las implementaciones empresariales se han ampliado desde que se realizó ese contacto, mientras las normas de auditoría siguen dependiendo en gran medida de principios tecnológicamente neutrales.

El PCAOB debe elegir ahora entre investigación, orientación del personal, enmiendas a las normas existentes o requisitos específicos. La solicitud de junio no predeterminó la respuesta. Incorporó la elección al proceso formal de agenda de la junta.

Por qué las normas de auditoría existentes afrontan una prueba de estrés por IA

La presión central procede de los resultados variables de la IA, su transparencia limitada y su dependencia de controles ajenos al equipo del encargo.

El software de auditoría tradicional también puede fallar. Una hoja de cálculo, un programa de muestreo o un script de análisis de datos mal configurados pueden producir resultados incorrectos. Las normas de auditoría ya exigen que las firmas evalúen si sus herramientas funcionan según lo previsto.

La IA generativa introduce una combinación distinta de riesgos. El mismo prompt puede producir respuestas diferentes. Los proveedores de modelos pueden actualizar sistemas sin exponer cada cambio técnico. Los resultados pueden sonar autoritativos mientras contienen hechos inventados o conclusiones sin respaldo.

Estas características complican la evidencia de auditoría. La evidencia debe ser relevante y fiable para su propósito previsto. Un resumen atractivo no es fiable solo porque se lea bien o coincida con la posición de la dirección.

Un auditor que utiliza IA para revisar contratos debe saber si el sistema examinó todas las cláusulas pertinentes. El equipo también debe determinar si los documentos fuente estaban completos y se procesaron correctamente.

Un revisor humano no puede resolver ese problema aceptando el resumen final. El revisor necesita suficiente información para reconstruir el trabajo, cuestionar el resultado e identificar términos omitidos o mal interpretados.

Ese requisito se vuelve más difícil cuando un proveedor de IA trata los detalles del modelo como propiedad exclusiva. La firma de auditoría puede carecer de acceso directo a datos de entrenamiento, registros del sistema, métodos de evaluación o historiales de versiones.

La dependencia de terceros no es nueva en la auditoría. Las firmas ya dependen de proveedores de software, infraestructura en la nube, especialistas en valoración y organizaciones de servicios. Sin embargo, la IA puede distribuir la responsabilidad entre más capas y, al mismo tiempo, dificultar la inspección de juicios importantes.

La deriva del modelo añade otra complicación. La deriva del modelo significa que el comportamiento de un sistema cambia a medida que cambian sus datos, configuración o entorno circundante. Una validación realizada en el momento de la implementación puede no respaldar la confianza en el sistema meses después.

Por tanto, un encargo de auditoría necesita controles de cambio. Los equipos deben saber qué versión del modelo operó, qué ajustes se aplicaron, quién aprobó los cambios y si las actualizaciones activaron nuevas pruebas.

La manipulación basada en prompts crea otra vía de error. El texto oculto dentro de un documento puede influir en las instrucciones de un sistema de IA. Una herramienta de revisión de contratos podría priorizar indicaciones incrustadas en vez del procedimiento previsto por el auditor.

El Committee of Sponsoring Organizations of the Treadway Commission abordó estas preocupaciones en su publicación de 2026 sobre controles de GenAI. COSO vinculó la gobernanza de la IA generativa con su marco establecido de control interno.

La orientación destaca riesgos relacionados con la exposición cibernética, el razonamiento opaco, la deriva del modelo, la manipulación de prompts y los cambios frecuentes de configuración. Son problemas de control porque pueden afectar las operaciones, la información y el cumplimiento.

El trabajo de COSO ayuda a los directivos corporativos a diseñar controles internos. No sustituye los requisitos del PCAOB para los auditores. Los auditores todavía necesitan criterios para evaluar esos controles y determinar cómo los fallos afectan los procedimientos de auditoría.

La supervisión humana sigue siendo el asunto más visible. “Human in the loop” describe un proceso en el que una persona revisa o controla el trabajo de un sistema automatizado. La expresión suena tranquilizadora, pero su significado práctico varía ampliamente.

Un revisor que solo aprueba una conclusión generada por IA ofrece poca protección. Una revisión eficaz exige la competencia, el tiempo, la evidencia y la autoridad necesarios para cuestionar el sistema.

Por ello, el PCAOB necesita distinguir entre una revisión nominal y una supervisión sustantiva. También necesita aclarar qué decisiones deben permanecer en manos de profesionales cualificados.

El juicio profesional no puede convertirse en una aprobación ceremonial al final de un flujo de trabajo automatizado. El socio responsable del encargo sigue siendo responsable de la opinión de auditoría, independientemente de cuánto análisis realice un modelo.

Las normas de documentación afrontan una prueba de estrés relacionada. Los archivos de auditoría normalmente muestran los procedimientos realizados, la evidencia obtenida, las conclusiones alcanzadas y la revisión completada. El trabajo asistido por IA también puede requerir prompts, instrucciones del sistema, historiales de resultados, resultados de validación y gestión de excepciones.

Sin esos registros, un equipo de inspección podría no ser capaz de determinar qué ocurrió. La propia firma de auditoría también podría tener dificultades para reproducir el procedimiento tras una actualización del modelo.

Unas normas claras del PCAOB sobre IA podrían establecer un mínimo común de documentación. También podrían impedir que las firmas adopten enfoques incompatibles que hagan depender la calidad de la auditoría de los controles preferidos de cada proveedor.

Principios frente a normas prescriptivas del PCAOB sobre IA

La principal disputa no es innovación frente a regulación. Es principios flexibles frente a requisitos mínimos para herramientas opacas y cambiantes.

Los defensores del enfoque basado en principios tienen un argumento creíble. La tecnología de IA cambia con demasiada rapidez para normas construidas en torno a modelos, arquitecturas o características de productos específicos.

Una norma detallada puede quedar obsoleta antes de que las firmas terminen de implementarla. También puede desalentar herramientas útiles al obligar a cada aplicación a encajar en un marco diseñado en torno a tecnología anterior.

Las normas existentes del PCAOB ya asignan responsabilidad a los auditores. Exigen evidencia adecuada, escepticismo profesional, supervisión, documentación y gestión de la calidad. Esos deberes no desaparecen cuando un ordenador realiza parte del procedimiento.

Este enfoque puede adaptarse a nuevas herramientas sin reabrir el libro de normas tras cada lanzamiento de producto. También mantiene el foco regulatorio en la calidad de la auditoría, en lugar de en las modas tecnológicas.

Los organismos internacionales de normalización están siguiendo parcialmente esa vía. En agosto de 2026, el International Auditing and Assurance Standards Board propuso revisiones a tres normas fundamentales.

Las revisiones propuestas de la evidencia de auditoría abarcan respuestas a los riesgos, evidencia de auditoría y procedimientos analíticos. Hacen hincapié en la información digital, la fiabilidad de la evidencia, el escepticismo profesional y el trabajo asistido por tecnología.

Las propuestas siguen basándose en principios. Su objetivo es que los objetivos existentes funcionen mejor cuando las empresas y los auditores utilizan tecnología avanzada. El plazo para enviar comentarios vence el 15 de diciembre de 2026.

Ese proceso internacional ofrece al PCAOB una referencia útil. También genera presión. Si los requisitos globales se vuelven más claros mientras Estados Unidos depende principalmente de principios generales, las firmas multinacionales podrían enfrentarse a expectativas desiguales.

El argumento a favor de mínimos prescriptivos comienza con la coherencia. Dos firmas de auditoría pueden interpretar de forma distinta una “revisión humana adecuada”, especialmente cuando sus sistemas de IA tienen diseños diferentes.

Una firma podría exigir pruebas independientes frente a resultados conocidos. Otra podría aceptar la documentación del proveedor y la revisión de un gerente. Ambas podrían afirmar que cumplen el mismo principio general.

Los requisitos mínimos podrían acotar ese margen. Podrían abarcar la aprobación de modelos, la validación periódica, los controles de datos, las restricciones de acceso, la gestión de cambios, la conservación de registros y la escalada de resultados poco fiables.

También podrían definir cuándo la salida de una IA no puede servir como evidencia sin corroboración. Ese límite ayudaría a los auditores a resistir la presión de convertir las ganancias de productividad en una confianza sin respaldo.

Sin embargo, una norma detallada crea su propio riesgo. Las firmas podrían tratar una lista de verificación como prueba de que un sistema es seguro. El riesgo de la IA depende del contexto, por lo que el cumplimiento de pasos técnicos no puede sustituir el escepticismo profesional.

Un modelo utilizado para dar formato a un memorando no justifica los mismos controles que uno que selecciona asientos contables para su prueba. Las normas deben preservar esta distinción basada en el riesgo.

La vía más sólida combina principios con bases exigibles. Los principios establecen responsabilidades entre tecnologías. Las bases abordan puntos previsibles de fallo que las firmas no deberían poder interpretar a su conveniencia.

Por ejemplo, una norma no necesita nombrar un modelo específico. Aun así, puede exigir a las firmas que identifiquen el modelo y su versión, validen el uso previsto, conserven los registros relevantes de interacción y supervisen los cambios.

Puede exigir que los equipos de auditoría contrasten los resultados con evidencia independiente. También puede prohibir la confianza ciega en resúmenes que el equipo no pueda reproducir ni explicar.

Esta estructura respaldaría la innovación sin convertir a los proveedores en quienes fijan de facto las normas. Las firmas de auditoría podrían elegir sus herramientas, pero afrontarían obligaciones coherentes para demostrar que esas herramientas son adecuadas para su finalidad.

La distinción también importa para las firmas más pequeñas. Las grandes redes pueden crear equipos internos de evaluación, negociar el acceso de los proveedores y mantener plataformas propias. Las firmas más pequeñas pueden depender en mayor medida de productos comerciales.

Las normas imprecisas pueden ampliar esa brecha de recursos. Las firmas más pequeñas pueden no saber qué validación esperan los reguladores hasta que una inspección identifique una deficiencia.

Las reglas excesivamente complejas pueden crear el problema contrario. Los costes de cumplimiento pueden excluir a las firmas más pequeñas de tecnología útil y reforzar la posición de mercado de las redes más grandes.

Por ello, los requisitos escalables son esenciales. El nivel de las pruebas debe reflejar la función de la herramienta, el riesgo de incorrección material y el grado de confianza depositado en sus resultados.

Los lectores de Google News pueden encontrar el debate presentado como un simple llamamiento a una supervisión más estricta. La elección más importante se refiere a la arquitectura. El PCAOB necesita reglas lo bastante específicas para aplicarse y lo bastante flexibles para sobrevivir al próximo ciclo de modelos.

El uso corporativo de la IA sitúa a los auditores en ambos lados del modelo

La IA transforma la auditoría dos veces: primero al modificar los sistemas corporativos de información y después al cambiar la forma en que los auditores prueban esos sistemas.

Las empresas cotizadas ya utilizan IA fuera de la contabilidad. La aplican al servicio al cliente, el desarrollo de software, el marketing, las compras, las previsiones y el procesamiento de documentos.

Algunas de esas actividades terminan afectando a los estados financieros. Una decisión de fijación de precios respaldada por IA puede alterar los ingresos. La planificación automatizada de inventarios puede afectar a las provisiones. Las previsiones generadas pueden influir en las estimaciones de valoración y deterioro.

El riesgo para la información financiera no exige que un sistema de IA registre asientos directamente. Un modelo puede dar forma a los supuestos que la dirección incorpora posteriormente a un proceso contable convencional.

Los auditores deben rastrear esas conexiones. Necesitan identificar dónde la IA afecta a cuentas materiales, estimaciones, revelaciones o controles internos sobre la información financiera.

El control interno sobre la información financiera, o ICFR, abarca procesos diseñados para respaldar estados financieros fiables. Una aplicación de IA puede modificar el ICFR cuando crea, transforma, aprueba o supervisa información relevante.

La dirección debe comprender ese cambio antes de que los auditores puedan probarlo. Una empresa no puede gobernar eficazmente un modelo si carece de un inventario de los sistemas desplegados y sus responsables.

Las preguntas básicas son concretas. ¿Qué datos entran en el modelo? ¿Quién puede cambiar su configuración? ¿Cómo se revisan las excepciones? ¿Qué evidencia demuestra que los resultados siguen siendo precisos?

Las empresas también necesitan procesos para incidentes. Los empleados deben saber dónde informar de alucinaciones, filtraciones de datos, usos no autorizados o comportamientos inesperados. Los incidentes materiales no pueden permanecer aislados dentro de un equipo técnico.

La Securities and Exchange Commission ya ha advertido a las empresas cotizadas sobre afirmaciones de IA sin respaldo. Su anterior presidente describió el problema como AI washing, cuando una organización exagera su uso o capacidades de IA.

La advertencia de la SEC sobre divulgaciones de IA subrayó que las empresas cotizadas necesitan una base razonable para las afirmaciones materiales. Los inversores también necesitan información específica de cada empresa sobre riesgos materiales relacionados con la IA.

Ese asunto de divulgación se cruza con la auditoría. Los auditores evalúan los estados financieros y determinada información relacionada, pero no certifican cada declaración corporativa sobre IA.

Las normas deben preservar ese límite mientras abordan los casos en los que las afirmaciones sobre IA afectan a estimaciones financieras, controles o revelaciones cubiertas por la auditoría.

El segundo lado del modelo corresponde a las firmas de auditoría. Las firmas ven la IA como una forma de buscar en poblaciones más amplias, resumir documentos, identificar anomalías y reducir el trabajo repetitivo.

Estos usos pueden mejorar la cobertura. El muestreo convencional puede examinar solo una parte de una población de transacciones. El análisis asistido por tecnología puede revisar cada partida registrada y dirigir la atención hacia patrones inusuales.

Una mayor cobertura no produce automáticamente mejor evidencia. Un sistema puede aplicar de forma coherente la regla equivocada a toda una población. También puede generar demasiados falsos positivos para una investigación significativa.

La calidad de la auditoría depende de lo que los equipos hagan con el resultado. Deben comprender el propósito del procedimiento, evaluar las excepciones y vincular los hallazgos con las afirmaciones relevantes de los estados financieros.

Los agentes de IA elevan aún más la apuesta. Un agente es software que puede planificar y ejecutar múltiples pasos para alcanzar un objetivo, a veces utilizando herramientas o datos externos.

Un agente podría solicitar registros, comparar documentos, señalar incoherencias y preparar un borrador de conclusión. Ese flujo de trabajo va más allá de una única herramienta analítica.

La responsabilidad puede difuminarse cuando el agente decide qué pasos seguir. El auditor debe seguir determinando si los procedimientos fueron adecuados y completos.

Una secuencia autónoma también amplía la superficie de ataque. Permisos incorrectos, documentos manipulados o llamadas defectuosas a herramientas pueden contaminar varias etapas antes de que una persona revise el resultado.

El National Institute of Standards and Technology ofrece un marco voluntario de riesgos de IA para mapear, medir, gestionar y gobernar los riesgos de IA. Proporciona a las firmas un vocabulario útil para la supervisión a nivel de sistema.

Sin embargo, NIST no determina qué constituye evidencia de auditoría suficiente. Un modelo técnicamente bien gobernado aún puede ser inadecuado para un procedimiento de auditoría concreto.

Las normas del PCAOB sobre IA deben conectar la gobernanza de sistemas con las obligaciones profesionales. Deben aclarar que unos controles sólidos del modelo respaldan, pero no sustituyen, la evaluación de la evidencia por parte del auditor.

La independencia plantea otro asunto sin resolver. Las firmas de auditoría suelen prestar servicios relacionados con la tecnología mientras desarrollan herramientas para sus prácticas de aseguramiento.

Las reglas de independencia existentes restringen las relaciones y los servicios que comprometen la objetividad. La IA plantea interrogantes sobre plataformas compartidas, datos de entrenamiento, alianzas con proveedores y sistemas utilizados tanto por el auditor como por el cliente.

El uso de tecnología similar no destruye automáticamente la independencia. Sin embargo, las firmas necesitan salvaguardas contra la auditoría de supuestos o configuraciones que ayudaron a crear.

El PCAOB debería examinar estas relaciones antes de que las prácticas de mercado se consoliden. Adaptar los controles de independencia después de que las firmas construyan plataformas interconectadas será más difícil.

Lo que la orientación de auditoría sobre IA todavía no puede garantizar

Ninguna norma puede eliminar las alucinaciones, la opacidad o el sesgo de automatización, por lo que la prueba es si las reglas hacen que los fallos sean visibles y contenibles.

Los partidarios de una rápida elaboración de normas no deben exagerar lo que una nueva regla puede lograr. La regulación no puede garantizar que un sistema de IA se comporte de forma coherente en todas las situaciones.

Tampoco puede hacer que todos los modelos sean plenamente explicables. Algunos sistemas siguen siendo difíciles de interpretar incluso cuando los desarrolladores proporcionan amplia documentación técnica.

Un requisito de explicabilidad puede volverse insignificante a menos que la norma defina la decisión que debe explicarse. Los auditores rara vez necesitan una explicación completa de cada parámetro del modelo.

Sí necesitan suficiente información para comprender por qué el sistema es adecuado para un procedimiento. También necesitan evidencia de que sus resultados siguen siendo fiables en condiciones relevantes.

El sesgo de automatización crea un problema humano independiente. Las personas tienden a dar un peso excesivo a las recomendaciones generadas por computadora, especialmente cuando los sistemas parecen seguros o sofisticados.

La revisión obligatoria no elimina ese sesgo. Los revisores pueden buscar confirmación en lugar de intentar refutar una respuesta generada por IA.

Por ello, las firmas deben incorporar el cuestionamiento al flujo de trabajo. Un revisor podría comparar los resultados con evidencia independiente, utilizar casos de prueba deliberadamente difíciles o investigar resultados contradictorios.

La formación también importa. Los contables no necesitan convertirse en ingenieros de modelos, pero deben comprender las limitaciones relevantes para el trabajo que tienen asignado.

Lo mismo se aplica a los socios del encargo. No pueden delegar toda la comprensión técnica en especialistas mientras conservan únicamente la responsabilidad formal sobre la opinión de auditoría.

Las normas deben establecer expectativas de competencia sin asumir que un único programa de formación sirve para todas las herramientas. Los conocimientos exigidos deben reflejar la función y el riesgo del sistema.

La concentración de proveedores plantea otra incertidumbre. Varias firmas pueden depender del mismo proveedor de nube o modelo fundacional. Un defecto compartido podría afectar a muchos encargos a la vez.

Los controles tradicionales a nivel de encargo pueden pasar por alto esa exposición sistémica. El PCAOB podría necesitar mecanismos de intercambio de información que le permitan identificar patrones entre firmas sin exponer datos confidenciales de clientes.

Los métodos de inspección también tendrán que cambiar. Los inspectores deben evaluar la gobernanza de las herramientas y la ejecución de cada encargo. Una no puede sustituir a la otra.

Una firma puede mantener un excelente proceso central de aprobación mientras un equipo de encargo utiliza la herramienta de forma incorrecta. Otra herramienta puede ser adecuada para un procedimiento, pero poco fiable para una finalidad diferente.

Los reguladores necesitan conocimientos técnicos para hacer esas distinciones. No deberían depender por completo de las firmas o los proveedores que supervisan para obtener explicaciones sobre el comportamiento de los modelos.

Las normas también pueden generar una falsa sensación de seguridad entre los consejos de administración. Una opinión de auditoría sin salvedades no significa que todos los sistemas de IA dentro de una empresa sean seguros, justos, protegidos o legalmente conformes.

La auditoría financiera aborda objetivos de información definidos. Una gobernanza de IA más amplia incluye privacidad, discriminación, propiedad intelectual, ciberseguridad, protección del consumidor y resiliencia operativa.

Los lectores deben evitar reducir esos ámbitos a una sola etiqueta. Una “auditoría de IA” puede referirse a una auditoría financiera que utiliza IA, una auditoría de la gobernanza de IA o una evaluación de un producto de IA.

La opinión de Bloomberg Tax se refería a la primera categoría y a las implicaciones de la IA corporativa para la información financiera. No estableció un régimen integral de aseguramiento para todos los algoritmos.

Esta limitación refuerza la necesidad de una terminología precisa. Los reguladores deberían identificar el objetivo, la materia objeto de revisión, los criterios, las pruebas y la parte responsable cada vez que describan el aseguramiento de IA.

La principal pregunta escéptica sigue siendo la implementación. Incluso unas normas sensatas fracasarán si las empresas documentan el cumplimiento sin cambiar la forma en que los equipos validan y cuestionan los resultados de la IA.

Los resultados de las inspecciones proporcionarán la evidencia más clara. Deficiencias recurrentes relacionadas con registros ausentes, validación débil o revisiones superficiales demostrarían que los principios por sí solos no son suficientes.

Por el contrario, la evidencia de una adopción controlada y un trabajo de auditoría fiable respaldaría un enfoque más flexible. El PCAOB debería seguir dispuesto a ajustar los requisitos a medida que evolucione esa evidencia.

Tres señales que observar después del ciclo de noticias de Google

La próxima fase estará definida por la agenda del PCAOB, las propuestas internacionales de auditoría y la evidencia de las inspecciones.

La primera señal es la respuesta del PCAOB a su proceso de comentarios de 2026. La junta debe decidir si la IA se convierte en un proyecto de investigación, una iniciativa de orientación para el personal o un asunto formal de elaboración de normas.

Un proyecto formal reforzaría el argumento de que los requisitos existentes necesitan una aplicación más clara. La orientación del personal indicaría que la junta actualmente considera que la interpretación es el remedio más rápido.

Una designación exclusivamente de investigación preservaría la flexibilidad, pero también dejaría a las empresas con mayor discreción. Los lectores deberían examinar el alcance del proyecto, no solo su etiqueta.

El alcance más útil abordaría tanto la IA utilizada por los auditores como la IA incorporada en la información financiera corporativa. También debería considerar la documentación, la validación, la supervisión, la independencia y los controles de proveedores.

La segunda señal es el resultado de la consulta internacional sobre evidencia de auditoría. Las revisiones propuestas por la IAASB ofrecen un modelo basado en principios para el trabajo asistido por tecnología.

Un sólido respaldo de las partes interesadas demostraría que los auditores y los inversores consideran que unas reglas de evidencia modernizadas constituyen una base viable. Las demandas de requisitos de IA más detallados revelarían los límites de ese enfoque.

El PCAOB no necesita copiar las normas internacionales. Sin embargo, una divergencia sin explicación podría complicar las auditorías globales y crear expectativas incoherentes para la misma tecnología.

La tercera señal procederá de las inspecciones y la aplicación de la normativa. Los reguladores necesitan evidencia real sobre si la IA contribuye a deficiencias de auditoría o ayuda a los equipos a identificar problemas materiales.

Los indicadores pertinentes incluyen validación fallida, documentación ausente, supervisión débil, confianza inapropiada y conflictos no divulgados. Los reguladores también deberían seguir los casos en los que la IA mejora las pruebas de población o la detección de fraude.

Esa evidencia equilibrada es importante. Las normas deben responder a riesgos demostrados sin asumir que todo procedimiento asistido por IA reduce la calidad.

Las empresas no deberían esperar a la norma final. Los responsables financieros pueden inventariar los usos materiales de IA, definir la responsabilidad, conservar historiales de cambios y probar los controles pertinentes desde ahora.

Los comités de auditoría pueden preguntar a la dirección dónde influye la IA en las estimaciones, conciliaciones, divulgaciones y supervisión de controles. También pueden preguntar a los auditores externos cómo se gobiernan sus propias herramientas.

Las firmas de auditoría deberían documentar los usos previstos, las limitaciones, los resultados de validación, los controles de acceso y la revisión humana requerida. Deberían conservar información suficiente para reconstruir procedimientos materiales asistidos por IA.

Los trabajadores del conocimiento que respaldan estas revisiones necesitan registros fiables. Una base de conocimiento de IA bien mantenida puede organizar políticas, evaluaciones, incidentes, aprobaciones y cambios de modelo sin sustituir la documentación formal de auditoría.

La pregunta clave una vez que se desvanezca la atención de Google News no es si el PCAOB “regulará la IA” en abstracto. Es si la junta establecerá una responsabilidad verificable antes de que el trabajo automatizado quede integrado en la evidencia de auditoría.

Siga la agenda, la consulta internacional y el historial de inspecciones. En conjunto, esas señales mostrarán si los principios flexibles siguen siendo suficientes o si las normas de IA del PCAOB que puedan hacerse cumplir se vuelven inevitables.