«Plataforma de compliance» se ha convertido en una etiqueta saturada, y añadirle «IA» no la mejora por sí solo. Debajo del ruido, sin embargo, hay un problema real que sí merece una categoría propia: la distancia entre un requisito normativo que todo el mundo entiende y un control que alguien pueda demostrar que funciona.
Ese hueco es donde viven las auditorías incómodas. Hay política, hay procedimiento y hay carpeta, pero cuando el auditor pide la evidencia de que el control se ejecutó en marzo, empieza la búsqueda. Una plataforma de cumplimiento con IA existe para cerrar esa distancia, y conviene evaluarla por si la cierra o no, no por cuánta inteligencia artificial diga tener.
Lo esencial
- El problema no es normativo, es operativo: requisitos que nunca llegan a convertirse en controles con evidencia.
- Una plataforma seria interpreta el requisito, lo traduce a control medible, recoge la evidencia y deja rastro auditable de todo ello.
- La propia plataforma es un sistema de IA y está sujeta a sus propias obligaciones. Si el proveedor no sabe responder a eso, es una señal.
Qué problema resuelve realmente
En la mayoría de organizaciones el cuello de botella no es técnico. Es que la evidencia se recoge a mano, la información vive repartida entre sistemas que no se hablan, las remediaciones se pierden sin responsable ni fecha, y el informe que llega a dirección cuenta actividad en lugar de riesgo.
El resultado es un cumplimiento aparente: existen los documentos, pero cuesta demostrar ejecución constante. Y esa diferencia es exactamente la que separa una auditoría tranquila de una con no conformidades.
Una plataforma de cumplimiento con IA aporta valor si convierte esa cadena en algo continuo: obligación, control, evidencia, validación. Si solo ordena documentos, es una herramienta de gobierno, riesgo y cumplimiento de las de siempre con una etiqueta nueva.
Las cinco capacidades que hay que exigir
Al evaluar una herramienta conviene mirar el fondo y no la demostración comercial. Estas cinco piezas son las que cambian el resultado:
- Mapa de requisito a control y a evidencia. Trazabilidad completa en los dos sentidos: de la obligación a lo que la satisface, y de cualquier evidencia al requisito que sostiene.
- Recogida automática de la evidencia repetitiva. Lo mecánico —capturas periódicas, informes de cobertura, comprobaciones de estado— debe salir solo.
- Flujo de remediación con responsable y fecha. Un hallazgo sin dueño ni plazo no es un hallazgo gestionado.
- Histórico auditable de cambios y excepciones. Quién cambió qué, cuándo y por qué. Sin esto no hay defensa posible ante un auditor.
- Reporte por riesgo para dirección. Estado, exposición y prioridad. No número de documentos generados.
La pregunta que casi nadie hace al proveedor
Aquí está el punto que distingue una evaluación seria de una superficial. Una plataforma de cumplimiento con IA es, ella misma, un sistema de inteligencia artificial. Y eso la mete de lleno en el marco regulatorio que tu organización está intentando cumplir.
El Reglamento Europeo de Inteligencia Artificial establece obligaciones según el nivel de riesgo del sistema, incluidas exigencias de transparencia y de supervisión humana. Y la norma ISO/IEC 42001, publicada en diciembre de 2023 como primer estándar internacional de sistema de gestión de IA, ofrece el marco para gobernar precisamente eso: los riesgos del modelo, su comportamiento y su impacto a lo largo de todo el ciclo.
La consecuencia práctica es incómoda para buena parte del mercado. Si una herramienta interpreta requisitos normativos y propone controles, sus decisiones tienen que ser explicables, revisables y atribuibles. Preguntar a un proveedor cómo gobierna su propia IA —qué pasa cuando el modelo se equivoca, cómo se registra la intervención humana, qué trazabilidad hay de una sugerencia automática— separa muy rápido a quien ha pensado el problema de quien ha añadido un modelo de lenguaje a un catálogo de controles.
Es también donde ISO/IEC 42001 y el cumplimiento del Reglamento de IA dejan de ser temas de futuro y se vuelven criterio de compra.
Lo que no debe hacer, aunque pueda
Una plataforma honesta acota su propio alcance. La decisión de riesgo con impacto en negocio es de una persona con responsabilidad sobre ese negocio. La validación final ante auditoría es de un auditor. Las excepciones complejas necesitan criterio experto, no una regla.
La automatización debe liberar al equipo del trabajo mecánico para que dedique su tiempo al criterio, no sustituir el criterio. Una herramienta que promete quitarte de encima esas tres cosas no te está ahorrando trabajo: te está trasladando el riesgo sin decírtelo.
Dónde más rinde: cuando conviven varios marcos
El argumento más sólido para una plataforma aparece cuando la organización tiene que responder a la vez ante ISO 27001, el Esquema Nacional de Seguridad, NIS2 y DORA. Los cuatro comparten una parte considerable de sus exigencias: control de accesos, gestión de incidentes, continuidad, riesgo de proveedores.
Sin una capa que relacione requisitos entre marcos, cada auditoría se prepara desde cero y la misma evidencia se recoge tres veces. Con ella, se recoge una vez y se reutiliza donde encaja. Ese es el ahorro real, y es medible.
Si quieres el análisis extendido de qué debe tener una plataforma de este tipo y cómo se compara con las alternativas, lo desarrollamos en la guía de software de compliance para ISO 27001, ENS, NIS2 y DORA.
Cómo implantarla sin frenar la operación
Por fases, siempre. Primero una base de gobierno: qué controles son críticos, quién responde de cada uno y cuál es la evidencia mínima exigible. Después, automatizar donde coinciden mayor carga manual y mayor riesgo, que es donde el resultado se nota en semanas. Y por último consolidar con revisión periódica, métricas y ciclo de mejora.
El orden importa porque el error más caro es automatizar antes de haber diseñado el control. Automatizar un proceso mal definido solo produce datos que nadie mira, más rápido.
En resumen
La ventaja competitiva ya no está en producir más documentación, sino en demostrar mejor ejecución. Una plataforma de cumplimiento con IA bien elegida convierte el cumplimiento en capacidad operativa; mal elegida, añade una capa de herramienta sobre el mismo problema.
El filtro que mejor funciona es pedir que te enseñen la trazabilidad de un requisito concreto hasta su evidencia, y preguntar cómo gobiernan su propia IA. Con esas dos preguntas se ordena bastante el mercado. Así es como hemos diseñado NormexAI, y el enfoque operativo del día a día lo detallamos en cómo automatizar ISO 27001 sin perder rigor.