En pocas palabras
El control interno sobre la inteligencia artificial es el conjunto de controles con los que una organización se asegura de que la IA usada en procesos contables y financieros produce información confiable, protege los datos y cumple las normas. No exige un marco nuevo: se diseña y se evalúa con el marco COSO de control interno de 2013, sus 5 componentes y sus 17 principios.
En esta página
COSO 2013, en pocas líneas
El marco Internal Control — Integrated Framework de COSO se publicó en mayo de 2013 y reemplazó al de 1992 desde el 15 de diciembre de 2014. Tiene cinco componentes y codifica 17 principios. Para que el control interno sea efectivo, los cinco componentes y los 17 principios deben estar presentes y funcionando, y los componentes deben operar de forma integrada (COSO (se abre en una pestaña nueva); resumen de Deloitte (se abre en una pestaña nueva), fuente secundaria).
Los cinco componentes aplicados a la IA
Entorno de control
- Qué significa con IA
- La dirección define quién decide sobre la IA, con qué responsabilidades y qué conducta se espera de quien la usa
- Evidencia esperada
- Política de uso aprobada; roles y responsables; formación del equipo
Evaluación de riesgos
- Qué significa con IA
- Se identifican los riesgos de cada uso: errores en cifras, salida de información, dependencia de un proveedor, sesgo en decisiones
- Evidencia esperada
- Inventario de usos de IA; matriz de riesgos por proceso
Actividades de control
- Qué significa con IA
- Revisión humana obligatoria, permisos limitados, separación de funciones y reglas de validación
- Evidencia esperada
- Criterios de revisión por proceso; constancia de quién aprobó; configuración de permisos
Información y comunicación
- Qué significa con IA
- Lo que hizo la IA queda registrado y llega a quien debe conocerlo
- Evidencia esperada
- Bitácora con insumos, instrucción, salida y ajustes; reportes a la dirección
Actividades de supervisión
- Qué significa con IA
- Alguien verifica que los controles funcionan y se corrigen las fallas
- Evidencia esperada
- Evaluación independiente; plan de remediación con responsables
La columna de evidencia sigue las cinco preguntas del Marco GT360 de IA gobernada.
La guía de COSO sobre IA generativa
El 23 de febrero de 2026 COSO publicó Achieving Effective Internal Control Over Generative AI (COSO (se abre en una pestaña nueva)). Según los resúmenes de Deloitte y del Journal of Accountancy, se apoya en el marco de 2013, con sus 5 componentes y 17 principios, sin reemplazarlo, y propone una hoja de ruta de seis pasos: gobernar, inventariar, evaluar, diseñar, implementar y monitorear (Deloitte (se abre en una pestaña nueva), fuente secundaria).
Una publicación anterior, Realize the Full Potential of Artificial Intelligence (COSO con Deloitte, 2021), aplica a la IA el marco de gestión de riesgos empresariales COSO ERM 2017, no el de control interno (Journal of Accountancy (se abre en una pestaña nueva), fuente secundaria).
Cómo hacerlo, paso a paso
Siguiendo el orden de esa hoja de ruta, aplicado a un área contable o financiera:
Gobernar
Definir quién aprueba los usos de IA, con qué política y qué responsabilidad tiene cada rol.
Inventariar
Listar los usos reales, no solo las herramientas compradas: quién usa qué, en qué proceso y con qué información.
Evaluar
Valorar el riesgo de cada uso: qué pasa si la salida está mal o si la información sale de la organización.
Diseñar
Definir los controles de cada uso: revisión humana, permisos, registro y separación de funciones.
Implementar
Poner los controles en operación y formar a quienes los ejecutan.
Monitorear
Verificar periódicamente que funcionan, con alguien que no los diseñó.
Errores comunes
- Controlar la herramienta y no el uso: la misma herramienta puede ser de bajo riesgo en un proceso y de alto riesgo en otro.
- Inventariar solo lo comprado y dejar por fuera los asistentes que el equipo usa por su cuenta.
- Tratar la revisión humana como una casilla marcada, sin criterios de qué se revisa.
- Que quien implementó el control sea quien evalúa si funciona.
Lo que la tecnología no resuelve
- Ninguna herramienta trae el control interno incorporado: los controles son de la organización.
- Un proveedor no puede evaluar con independencia los controles de lo que él mismo implementó.
- La IA puede ayudar a supervisar, por ejemplo revisando bitácoras, pero la conclusión sobre si un control funciona es de una persona.
El vínculo con la revisoría fiscal
En Colombia, el revisor fiscal informa a la asamblea si hay y son adecuadas las medidas de control interno (art. 209 del Código de Comercio (se abre en una pestaña nueva)). Si la IA hace parte de los procesos, hace parte de ese pronunciamiento. Más detalle en la guía de revisoría fiscal e IA.
Preguntas frecuentes
¿COSO publicó un marco de IA que reemplaza al de 2013?
No. La guía de 2026 sobre IA generativa se apoya en el marco de control interno de 2013. La publicación de 2021 aplica a la IA el marco COSO ERM 2017.
¿Cuántos principios tiene COSO 2013?
17, organizados en 5 componentes. Todos deben estar presentes y funcionando, y los componentes deben operar integrados, para que el control interno sea efectivo.
¿Por dónde empiezo si no tengo ningún control sobre la IA?
Por el inventario de usos reales y una política aprobada. Sin saber qué se usa, no se pueden evaluar los riesgos ni diseñar los controles.
¿Quién debe evaluar los controles sobre la IA?
Alguien que no los haya diseñado ni implementado. La independencia es lo que da valor a la evaluación.
Fuentes normativas
- COSO, Internal Control — Integrated Framework (2013), página oficial (se abre en una pestaña nueva)
- Deloitte Heads Up 2013 sobre COSO 2013, vía IAS Plus (fuente secundaria) (se abre en una pestaña nueva)
- COSO, Achieving Effective Internal Control Over Generative AI (2026), página oficial (se abre en una pestaña nueva)
- Deloitte DART, resumen de la guía de COSO sobre IA generativa (fuente secundaria) (se abre en una pestaña nueva)
- Journal of Accountancy sobre la publicación de COSO de 2021 (fuente secundaria) (se abre en una pestaña nueva)
- Código de Comercio, Decreto 410 de 1971, art. 209 (Función Pública) (se abre en una pestaña nueva)
Cada norma citada enlaza a su fuente oficial o, cuando así se indica, a la fuente secundaria donde se verificó. Verificación: 30 de octubre de 2026. Este contenido es informativo y no reemplaza el análisis de un caso concreto.
