Documento de referencia
Marco GT360 de IA gobernada
Cinco preguntas que un revisor fiscal, un auditor externo o una autoridad le harán a cualquier uso de inteligencia artificial en un área contable o financiera, con el control que las responde y la evidencia que debe existir.
- Versión
- 1.0
- Fecha de la versión
- 30 de octubre de 2026
- Autor
- Francisco Javier Moreno Díaz, contador público
- Editor
- Gestión Tech 360
¿Qué es el gobierno de IA en un área contable?
Es el conjunto de reglas, roles y controles que define qué herramientas de inteligencia artificial puede usar una organización, con qué información, bajo qué revisión humana y con qué registro, para que cualquier cifra producida con IA pueda explicarse y auditarse.
Cinco preguntas, cinco controles, cinco evidencias
Nadie va a preguntar qué herramienta usaste. Van a preguntar por la evidencia. Esta es la que debe existir antes de que alguien la pida.
1. ¿Quién autorizó esta herramienta y para qué uso?
- El control
- Política de uso y matriz de roles
- La evidencia que debe existir
- Política aprobada por gerencia o junta; lista de herramientas y usos autorizados
- Referencia
- Decisión de gerencia o junta
2. ¿Qué información salió de la organización?
- El control
- Clasificación de la información y protocolo de anonimización
- La evidencia que debe existir
- Matriz de clasificación; registro de anonimización; cláusula en contratos con clientes y proveedores
- Referencia
- Ley 1581 de 2012 · Ley 43 de 1990
3. ¿Quién revisó la respuesta antes de usarla?
- El control
- Revisión humana obligatoria
- La evidencia que debe existir
- Criterios de validación por proceso; constancia de quién revisó y aprobó
- Referencia
- Juicio profesional del preparador
4. ¿Dónde quedó el registro de lo que se hizo?
- El control
- Trazabilidad y bitácora
- La evidencia que debe existir
- Versión de la instrucción, insumos, salida y ajustes conservados con fecha y responsable
- Referencia
- NIA 230
5. ¿Quién evaluó que el control funciona?
- El control
- Evaluación independiente del control interno
- La evidencia que debe existir
- Informe de evaluación, matriz de riesgos y controles, plan de remediación con responsables
- Referencia
- COSO
Escala GT360 de gobierno de IA
Escala GT360: cuatro niveles
Cada nivel se reconoce por la evidencia que existe, no por la intención. Para subir de nivel hay que producir la evidencia que falta.
- Nivel 1
IA en la sombra
Se usa todos los días y nadie la regula. No hay forma de saber qué información salió.
Para subir: inventario del uso real y una política aprobada (preguntas 1 y 2).
- Nivel 2
IA tolerada
Hay intención y algunas reglas verbales, pero ninguna evidencia escrita.
Para subir: política escrita, clasificación de la información y revisión humana definida (preguntas 1 a 3).
- Nivel 3
IA con política
Reglas escritas y aprobadas; la revisión y el registro todavía dependen de cada persona.
Para subir: bitácora por proceso y una evaluación independiente del control (preguntas 4 y 5).
- Nivel 4
IA gobernada
Cada uso se puede explicar, rehacer y auditar, y alguien independiente lo evaluó.
Para mantenerse: revisión periódica del marco y evaluación cuando cambian las herramientas o los procesos.
Alcance y límites
Para quién
Áreas contables y financieras de empresas, firmas de contadores, revisores fiscales y equipos de auditoría interna que usan o van a usar inteligencia artificial.
Qué no es
No es una certificación ni una norma. Es una guía de evidencia: dice qué debe existir para que un tercero pueda revisar el uso de IA.
Fuera de Colombia
Las cinco preguntas no dependen de la jurisdicción; las referencias normativas sí. En otro país, la Ley 1581 y la Ley 43 se reemplazan por la norma local de datos personales y de secreto profesional.
Cómo se aplica en una organización
Ubicar el nivel
El autodiagnóstico de cinco preguntas da una primera lectura sin costo y sin guardar tus respuestas.
Hacer el autodiagnósticoEscribir las reglas
La política, la clasificación de la información y el protocolo de anonimización responden las preguntas 1 a 3.
Ver Política y gobierno de IAProbar que funcionan
La pregunta 5 la responde alguien que no diseñó el control. Por eso la evaluación independiente no se combina con la implementación en el mismo proceso.
Ver Evaluación independiente
Preguntas sobre el marco
¿Cumplir el marco certifica a mi organización?
No. El marco no es una norma ni un esquema de certificación. Describe la evidencia que un revisor fiscal o un auditor esperan encontrar, y sirve para preparar esa revisión.
¿Sirve si todavía no hemos implementado IA?
Sí. Si alguien del equipo ya usa un asistente de IA con información de la organización, las preguntas 1 y 2 ya aplican, aunque la empresa no haya comprado ninguna herramienta.
¿Puedo usarlo en otro país de Latinoamérica?
Sí. Las cinco preguntas y los cuatro niveles no dependen del país. Lo que cambia es la norma de referencia de datos personales y de secreto profesional, que se reemplaza por la equivalente local.
¿Quién escribió el marco?
Francisco Javier Moreno Díaz, contador público y director de Gestión Tech 360, a partir de su trabajo en auditoría, revisoría fiscal y control interno.
Versiones
- 1.0 · 30 de octubre de 2026 · Primera versión como documento independiente.
Pon tu organización en el nivel 4.
Una conversación inicial de 30 minutos, sin costo, para revisar en qué nivel estás y qué evidencia falta.
Las cinco preguntas las va a hacer alguien, tarde o temprano. Prefiero que mi cliente las haya respondido por escrito antes de que lleguen.
Francisco Javier Moreno DíazDirector · Contador Público · MBA · Magíster en Business Analytics