La inteligencia artificial generativa ha entrado en los despachos de consultoría con una promesa clara: redactar más rápido, revisar más documentos y liberar tiempo para el análisis. En cumplimiento normativo, sin embargo, la pregunta relevante no es si la IA sabe escribir, sino si lo que escribe puede sostenerse ante un auditor, un regulador o un comité de dirección.
Un debate de fondo: ¿creativo o determinista?
Existe una discrepancia legítima sobre el tipo de tarea en la que la IA aporta valor. Por un lado, hay quien sostiene que los modelos de lenguaje son herramientas de naturaleza creativa: generan variaciones, proponen formulaciones alternativas y ayudan a explorar ideas. Desde esa perspectiva, su uso en documentos es un ejercicio de redacción asistida, con un margen de error tolerable porque el humano siempre corrige.
Por otro lado, los documentos de cumplimiento son deterministas por naturaleza. Una política anticorrupción conforme a ISO 37001, una evaluación de riesgos bajo ISO 37301 o un informe de hallazgos deben ser reproducibles, trazables y verificables. Dos ejecuciones sobre los mismos datos deberían producir el mismo resultado sustantivo. Un modelo probabilístico, por diseño, no garantiza esto.
La postura más rigurosa, a nuestro juicio, no elige un bando. Reconoce que la IA es útil para tareas de forma (estructura, claridad, resúmenes, traducciones de lenguaje técnico) y que es peligrosa en tareas de fondo (cifras, referencias normativas, conclusiones de auditoría) cuando no hay una fuente que las respalde.
El problema de las alucinaciones
Un modelo puede citar un artículo inexistente de una norma, atribuir un requisito a la ISO equivocada o inventar un dato de un cliente con total seguridad aparente. En un entorno regulado, un error así no es un defecto estético: puede invalidar una evaluación o exponer a la organización a sanciones.
Propuesta de enfoque para prevenir alucinaciones
- Generación anclada a fuentes (grounding). El modelo solo puede afirmar lo que aparece en los documentos proporcionados (normativa, evidencias del cliente, registros internos). Si la información no está en el contexto, la respuesta debe ser "no consta en la documentación facilitada".
- Cita obligatoria. Toda afirmación sustantiva debe remitir a una fuente concreta: cláusula, página, registro o identificador. Una afirmación sin referencia se trata como no verificada.
- Separación entre extracción y redacción. Los datos (fechas, importes, nombres, números de cláusula) se extraen mediante código o plantillas deterministas, no mediante generación libre. La IA redacta alrededor de datos ya validados.
- Verificación automatizada y humana. Las cifras se recalculan por código. Las referencias normativas se contrastan con un índice oficial. Un profesional revisa las conclusiones antes de su emisión. Ningún documento sale sin firma humana responsable.
- Trazabilidad como requisito. Cada salida se registra con el modelo utilizado, su versión, los documentos de entrada y el revisor. Esto encaja con los principios de auditabilidad que exigen los sistemas de gestión de cumplimiento.
- Umbral de rechazo. Si la verificación falla, el sistema no corrige en silencio: marca el punto y lo devuelve a revisión. Es preferible un documento incompleto a uno incorrecto con apariencia de completitud.
Conclusión
La IA puede ser un apoyo valioso en documentos de consultoría de cumplimiento siempre que se trate como un componente de un proceso controlado y no como una fuente de autoridad. El valor no está en que el modelo sea creativo o determinista, sino en que el proceso que lo envuelve lo sea. Pedir menos a la IA y exigir más a su marco de uso es, en este ámbito, la forma más eficiente de ganar velocidad sin perder rigor.