Cada vez más empresas —desde pymes que usan un chatbot de atención al cliente hasta compañías que aplican IA para seleccionar personal o valorar solicitudes de crédito— incorporan algoritmos que toman o apoyan decisiones que afectan directamente a personas. Cuando eso ocurre, ya no basta con que el sistema «funcione bien» técnicamente: hay que poder demostrar que funciona de forma justa, transparente y conforme a la normativa. Ahí es donde entra la auditoría ética de algoritmos de IA.
En este artículo te explicamos qué es exactamente, por qué el marco normativo europeo la exige (aunque no siempre use ese nombre) y cómo llevarla a cabo paso a paso en tu empresa.
Qué es una auditoría ética de algoritmos de IA
Una auditoría ética de algoritmos es un proceso de revisión sistemática de un sistema de inteligencia artificial —o de cualquier algoritmo que automatice decisiones— para comprobar que su diseño, su funcionamiento y sus resultados respetan los derechos de las personas afectadas: que no discrimina, que puede explicarse, que respeta la protección de datos y que existen mecanismos de control humano.
Una revisión centrada en las personas, no solo en la técnica
No se trata únicamente de una auditoría técnica de rendimiento (precisión, velocidad, robustez), sino de una revisión centrada en el impacto sobre las personas: ¿el sistema trata igual a perfiles similares? ¿Se puede explicar por qué ha tomado una decisión concreta? ¿Existe alguien capaz de revisar y, si hace falta, corregir esa decisión?
Por qué el nuevo marco normativo la exige (aunque no la nombre)
El Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689, conocido como Reglamento IA o RIA) no utiliza literalmente la expresión «auditoría ética», pero construye todo su sistema alrededor de una idea muy similar: cuanto mayor es el riesgo de un sistema de IA para los derechos de las personas, mayores son las obligaciones de evaluación, documentación y supervisión que se le exigen a quien lo desarrolla o lo utiliza en su empresa. A esto se suma el RGPD, que desde 2018 obliga a evaluar el impacto de determinados tratamientos automatizados sobre la protección de datos. En la práctica, auditar éticamente un algoritmo es la forma de cumplir con ambas normativas a la vez y, además, de generar confianza ante clientes, empleados y autoridades de control.
Para una pyme o un profesional, esto no significa necesariamente auditorías larguísimas y costosas: significa incorporar una revisión proporcionada al riesgo real del sistema que se está usando, algo que hoy en día ya es exigible desde febrero de 2025 para determinadas obligaciones del Reglamento IA.
Qué se revisa exactamente en una auditoría ética
Cuando hablamos de auditar un algoritmo desde el punto de vista ético, hay tres bloques que se revisan de forma sistemática:
Sesgos: cuando el algoritmo hereda desigualdades
Un algoritmo aprende de los datos con los que se entrena o de las reglas que se le programan. Si esos datos reflejan desigualdades históricas —por ejemplo, un histórico de contrataciones con poca representación de un colectivo determinado—, el sistema puede reproducir e incluso amplificar ese sesgo, aunque nadie lo haya programado intencionadamente. La auditoría revisa los datos de entrenamiento, las variables utilizadas y los resultados del sistema desglosados por perfiles, para detectar si existen diferencias de trato que no estén justificadas.
Transparencia: saber que hay una máquina detrás
Se revisa qué información recibe la persona afectada: ¿sabe que está interactuando con un sistema de IA? ¿Sabe que una decisión que le afecta se ha apoyado en un algoritmo? El Reglamento IA introduce obligaciones específicas de información para determinados sistemas (por ejemplo, cuando una persona interactúa con un chatbot o cuando se genera contenido sintético), y el RGPD exige informar cuando existen decisiones basadas en tratamiento automatizado.
Explicabilidad: poder justificar cada decisión
No basta con que el sistema tome una buena decisión: tiene que poder explicarse de forma comprensible por qué la ha tomado. Esto es especialmente relevante en sistemas de alto riesgo (selección de personal, evaluación crediticia, acceso a servicios esenciales), donde la persona afectada tiene derecho a entender, al menos en términos generales, la lógica aplicada.
Seguridad y trazabilidad
A estos tres bloques se añade, en la práctica, la revisión de la seguridad del sistema (robustez frente a errores o manipulación) y de la trazabilidad: si en algún momento hay que reconstruir por qué el sistema decidió algo concreto, debe existir un registro que lo permita.
La conexión con el RGPD: nada de esto es nuevo del todo
La auditoría ética de algoritmos no nace de la nada: en protección de datos llevamos años trabajando con herramientas que van en la misma dirección.
El artículo 22 del RGPD: decisiones automatizadas
El artículo 22 del RGPD reconoce el derecho de toda persona a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, cuando esa decisión produzca efectos jurídicos o le afecte significativamente de forma similar (por ejemplo, la denegación automática de un crédito o de una solicitud de empleo sin intervención humana). Cuando una empresa utiliza este tipo de sistemas, debe habilitar medidas específicas: informar a la persona, permitirle obtener intervención humana, expresar su punto de vista e impugnar la decisión.
La Evaluación de Impacto (EIPD) del artículo 35
Además, cuando un tratamiento de datos —incluido el que hace un algoritmo— pueda suponer un alto riesgo para los derechos de las personas, el RGPD exige realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD), regulada en el artículo 35. La AEPD ha publicado en varias ocasiones criterios y guías sobre cuándo es obligatoria esta evaluación y cómo debe abordarse cuando hay de por medio inteligencia artificial, insistiendo en la necesidad de valorar tanto el origen y la calidad de los datos de entrenamiento como los riesgos de discriminación.
Qué añade el Reglamento IA a lo que ya exigía el RGPD
El Reglamento IA no sustituye a la EIPD: la complementa. Para los sistemas de alto riesgo exige, entre otras cosas, un sistema de gestión de riesgos, un sistema de gestión de calidad, documentación técnica detallada y supervisión humana efectiva. En la práctica, una auditoría ética bien planteada aprovecha el trabajo ya hecho con la EIPD del RGPD y lo amplía con los requisitos específicos del Reglamento IA, evitando duplicar esfuerzos.
Cómo hacer una auditoría ética de IA paso a paso (metodología y checklist)
Una auditoría ética de un algoritmo, adaptada a una pyme o a un despacho profesional, puede estructurarse en seis fases:
- Inventario y clasificación del sistema. Identifica todos los sistemas de IA que usa tu empresa (propios o de terceros) y para qué se utilizan: atención al cliente, selección de personal, scoring, marketing, generación de contenido, etc. Clasifica cada uno según el nivel de riesgo que establece el Reglamento IA (inaceptable, alto, limitado o mínimo).
- Análisis de la base jurídica y la finalidad. Comprueba que existe una base legal para el tratamiento de datos que hace el sistema (RGPD) y que la finalidad para la que se usa es la que se comunicó a las personas afectadas.
- Revisión de datos y posibles sesgos. Analiza el origen de los datos de entrenamiento o de las reglas de decisión, y revisa si los resultados del sistema muestran diferencias no justificadas entre perfiles de personas.
- Revisión de transparencia y explicabilidad. Verifica qué información reciben las personas afectadas, si se les informa de que interactúan con IA y si existe una explicación comprensible de las decisiones relevantes.
- Supervisión humana y canales de reclamación. Comprueba que existe una persona o equipo capaz de revisar, corregir o revertir una decisión automatizada, y que las personas afectadas saben cómo reclamar.
- Documentación y plan de mejora. Deja constancia por escrito de todo el proceso —esto es clave tanto para el RGPD como para el Reglamento IA— y define un calendario de revisión periódica, porque un algoritmo que hoy es correcto puede dejar de serlo si cambian los datos con los que opera.
¿Cada cuánto hay que repetirla?
Este proceso no tiene por qué hacerse solo una vez: lo recomendable es revisarlo cada vez que el sistema cambie de forma relevante, o al menos con periodicidad anual.
Quién está obligado: los cuatro niveles de riesgo del Reglamento IA
No todas las empresas están sujetas al mismo nivel de exigencia, porque el Reglamento IA se basa en un enfoque basado en el riesgo. A grandes rasgos, distingue cuatro niveles:
- Riesgo inaceptable: prácticas directamente prohibidas desde el 2 de febrero de 2025, como la manipulación subliminal de personas, la explotación de vulnerabilidades de colectivos concretos o la puntuación social (scoring social) de ciudadanos.
- Alto riesgo: sistemas usados, entre otros ámbitos, en selección y gestión de personal, evaluación crediticia, acceso a servicios esenciales, educación o determinados usos en el ámbito sanitario. Son los que concentran las obligaciones más exigentes: gestión de riesgos, documentación técnica, supervisión humana y, en muchos casos, registro en una base de datos de la UE.
- Riesgo limitado: sistemas como los chatbots o los generadores de contenido sintético, sujetos sobre todo a obligaciones de transparencia (informar de que se está interactuando con IA).
- Riesgo mínimo: la mayoría de aplicaciones de IA de uso general, sin obligaciones específicas más allá de las buenas prácticas.
La obligación que afecta a (casi) todas las empresas: alfabetización en IA
Además de esta clasificación, el artículo 4 del Reglamento IA impone desde febrero de 2025 una obligación transversal que afecta a prácticamente cualquier empresa que utilice IA, con independencia de su tamaño: garantizar un nivel suficiente de alfabetización en IA entre el personal que interactúa con estos sistemas. Esto significa que, aunque tu empresa no use un sistema de alto riesgo, si tu equipo utiliza herramientas de IA generativa en el día a día, ya tienes obligaciones concretas de compliance en IA que cumplir.
Da el primer paso: audita cómo usa la IA tu empresa
La auditoría ética de algoritmos ha dejado de ser una buena práctica opcional para convertirse en un requisito de facto, apoyado tanto en el RGPD como en el Reglamento Europeo de IA. Adelantarte a este proceso —de forma proporcionada a tu tamaño y a tu nivel real de riesgo— no solo te protege frente a sanciones, sino que te da un argumento de confianza frente a tus clientes: poder demostrar que tu empresa usa la IA de forma responsable.
Si quieres saber en qué punto está tu empresa respecto a estas obligaciones, en DEME Soluciones 360 podemos ayudarte a hacer ese diagnóstico inicial y a diseñar un plan de auditoría a tu medida.
Contáctanos aquí y lo vemos juntos.
Beatriz Sancho es especialista en protección de datos y cumplimiento normativo. Con experiencia en el sector energético y financiero, completó un Máster en Protección de Datos y Acceso a la Abogacía. Tras ejercer en Canarias, regresó a Zaragoza y en 2023 se unió a DEME Soluciones 360, aportando su experiencia legal en auditoría y consultoría.