De los principios a las evidencias: una nueva certificación para la IA responsable

La inteligencia artificial ha dejado de ser una tecnología experimental para integrarse en procesos, productos y decisiones de organizaciones de todos los sectores. Copilotos, agentes conversacionales, modelos predictivos y soluciones de IA generativa aportan eficiencia, capacidad de análisis y nuevas formas de prestar servicios. Pero su extensión también plantea una pregunta decisiva: ¿cómo demostrar que estas capacidades se utilizan de forma responsable, segura y controlada?

Para responder a este reto, AENOR presenta la certificación Tecnología de IA Responsable basada en herramientas Microsoft. La solución permite certificar, mediante una evaluación independiente, que la organización aplica un modelo operativo de IA responsable, sustentado en responsabilidades definidas, controles tecnológicos implantados y evidencias objetivas durante todo el ciclo de vida de los sistemas de IA.

La certificación surge en un contexto marcado por el Reglamento Europeo de Inteligencia Artificial, la consolidación de ISO/IEC 42001 como referencia internacional para los sistemas de gobernanza de la IA y la necesidad empresarial de escalar esta tecnología sin perder el control sobre sus riesgos. AENOR ha desarrollado, con el apoyo de Microsoft, una especificación que combina criterios de gobierno, gestión del riesgo y supervisión con capacidades tecnológicas que facilitan su aplicación práctica.

El modelo toma como referencia seis principios de IA responsable: equidad; fiabilidad y seguridad; privacidad y seguridad; inclusión; transparencia; y responsabilidad. El valor diferencial está en traducir estos principios, a menudo formulados en el plano teórico o estratégico, en requisitos auditables. La organización debe poder mostrar cómo identifica sus casos de uso, evalúa riesgos e impactos, protege los datos, controla accesos, supervisa el comportamiento del sistema, gestiona cambios y mejora de forma continua.

La auditoría examina el marco establecido para su gestión responsable, incluyendo los principios y reglas de uso, la asignación de responsabilidades, la evaluación y tratamiento de riesgos, la formación y los mecanismos de seguimiento y revisión. También comprueba que se hayan definido los usos permitidos, restringidos o prohibidos, así como las condiciones de supervisión e intervención humana.

En el plano tecnológico, la auditoría analiza el uso de las capacidades y herramientas del ecosistema de inteligencia artificial de Microsoft para crear y operar copilotos, agentes y aplicaciones de IA.

En función del caso de uso, el tipo de despliegue y el nivel de autonomía, se verifican controles sobre la protección y nivel de riesgo de los datos, las identidades y permisos, las fuentes de información autorizadas, las acciones que puede ejecutar la solución, los guardarraíles que limitan su comportamiento, la evaluación de resultados y la trazabilidad de la actividad.

La selección y profundidad de los controles deben ser proporcionales a los riesgos de cada solución. Asimismo, su eficacia debe mantenerse y revisarse durante todo el ciclo de vida, teniendo en cuenta las responsabilidades asumidas por la organización dentro del modelo de responsabilidad compartida con Microsoft.

Uno de los aspectos centrales del esquema es la trazabilidad. La organización debe conservar evidencias que permitan reconstruir las decisiones relevantes, desde los inventarios y las evaluaciones de riesgo o impacto hasta las configuraciones de seguridad, los permisos, las pruebas, los registros de actividad y las acciones adoptadas ante cambios, alertas o incidentes.

Esta disciplina facilita tanto la auditoría como la gestión diaria y ayuda a evitar que el gobierno de la IA quede separado de su operación tecnológica.

La certificación también refuerza la dimensión humana. Exige asignar responsabilidades y formar a las personas de acuerdo con su función en el ciclo de vida de la IA. Asimismo, refuerza la transparencia hacia usuarios y partes interesadas, establece mecanismos de intervención humana y exige definir cómo debe actuar el sistema cuando no pueda ofrecer una respuesta adecuada o segura.

La evaluación independiente de AENOR permite comunicar al mercado y la sociedad que la adopción de IA responde a criterios verificables de gobierno, seguridad y responsabilidad. Además, facilita la evolución desde iniciativas aisladas hacia un modelo común y escalable para incorporar nuevos casos de uso.

• Gobierno y rendición de cuentas. Clarifica quién decide, quién supervisa y cómo se gestionan riesgos, cambios e incidentes.

• Seguridad, privacidad y protección de datos. Refuerza identidades, accesos, registros, clasificación de información y prevención de fugas.

• Trazabilidad y mejora continua. Facilita documentar configuraciones, evaluaciones, resultados y medidas de corrección.

• Preparación regulatoria y de mercado. Facilita la organización de controles y evidencias útiles para responder a requisitos legales, contractuales y sectoriales aplicables.

• Adopción responsable a escala. Favorece que nuevos casos de uso se incorporen bajo criterios homogéneos y proporcionales al riesgo.

La solución es aplicable a organizaciones públicas y privadas, con independencia de su tamaño o sector, que desarrollen, integren o utilicen sistemas de IA apoyados en tecnología Microsoft, especialmente soluciones de IA generativa, copilotos, agentes y aplicaciones de IA.

Ambos enfoques son complementarios. La Norma ISO/IEC 42001 evalúa el sistema de gestión mediante el que la organización establece, mantiene y mejora su gobierno de la IA. Por su parte, la certificación Tecnología de IA Responsable basada en herramientas Microsoft profundiza en la aplicación operativa de controles tecnológicos sobre los sistemas y casos de uso incluidos en su alcance. Integrar gestión, procesos y tecnología ofrece una visión más completa y permite conectar la estrategia de IA responsable con la realidad operativa.

En un mercado donde la confianza y la regulación son factores determinantes, esta certificación ofrece una respuesta concreta: convertir principios en controles, controles en evidencias y evidencias en confianza.

Indra, mediante la definición de una metodología consistente y el aprovechamiento de las funcionalidades de las tecnologías de inteligencia artificial de Microsoft, ha sido la primera organización en obtener esta certificación, marcando el inicio de un camino para que otras entidades demuestren, mediante evidencias, que innovación y responsabilidad pueden avanzar juntas.

A medida que la inteligencia artificial pasa de la experimentación a la operación real, surge una pregunta fundamental, ¿cómo garantizar que estos sistemas se desarrollan y utilizan de acuerdo con criterios de responsabilidad, trazabilidad y control? La respuesta exige algo más que principios o compromisos. Requiere estándares, evidencias y mecanismos de verificación que permitan trasladar la IA Responsable a la realidad de las organizaciones.

Esta necesidad es especialmente relevante en un momento en el que la adopción de la IA avanza a gran velocidad. Según la última edición del Work Trend Index de Microsoft, el 60 % de los usuarios de IA en España afirma que hoy puede realizar tareas que hace un año estaban fuera de su alcance, mientras que el 86 % utiliza las respuestas generadas por estas herramientas como punto de partida, manteniendo siempre la responsabilidad sobre el análisis, la validación y las decisiones finales. Estos datos reflejan una realidad cada vez más evidente: la IA amplía las capacidades humanas, pero la confianza sigue dependiendo de las personas.

En este contexto, la certificación de AENOR Tecnología de IA Responsable basada en herramientas Microsoft representa un avance significativo. Su valor reside en convertir la responsabilidad en algo tangible y verificable, evaluando aspectos clave para el despliegue seguro de la IA, como la trazabilidad de extremo a extremo, la calidad del dato, los mecanismos de control y protección o la gestión del ciclo de vida de los agentes inteligentes.

La reciente certificación obtenida por Indra Group, primera compañía española en lograr este reconocimiento, demuestra que es posible escalar el uso de agentes de IA de forma controlada y segura, integrando la innovación en procesos reales sin renunciar a la supervisión y la gobernanza.

Porque el éxito de la inteligencia artificial no se medirá únicamente por la sofisticación de la tecnología, sino por nuestra capacidad para desplegarla de forma que genere confianza. Solo así podremos aprovechar todo su potencial para resolver problemas complejos, impulsar la competitividad de nuestras organizaciones y construir un futuro en el que innovación y responsabilidad avancen siempre de la mano.

La Inteligencia Artificial se ha convertido en una capacidad estratégica para las organizaciones. Sin embargo, el verdadero reto ya no consiste en implementar casos de uso aislados, sino en ser capaces de industrializar la IA y desplegarla de forma segura, eficiente y responsable a escala.

Para lograrlo, las organizaciones necesitan desarrollar tres capacidades fundamentales. En primer lugar, una metodología que permita construir y operar sistemas de IA de forma homogénea y repetible. En segundo lugar, una tecnología habilitante capaz de implantar los controles necesarios para garantizar principios como la supervisión humana, la trazabilidad o la transparencia. Y, finalmente, una tercera capacidad igualmente esencial: la confianza, entendida como la capacidad de demostrar de forma objetiva que dichos principios se aplican realmente en la práctica.

En Indra Group ya disponíamos de capacidades consolidadas en las dos primeras dimensiones. Habíamos definido un modelo operativo para la gestión integral de la Inteligencia Artificial, desarrollado una metodología corporativa para estandarizar el ciclo de vida de los sistemas de IA y adoptado una plataforma tecnológica capaz de soportar los controles asociados a los principios de IA Responsable. Sin embargo, nos faltaba demostrar ante una entidad independiente que realmente éramos capaces de implantar dichos principios en sistemas reales.

Fue precisamente esta necesidad de generar confianza la que nos llevó a acometer la Certificación de Tecnología de IA Responsable basada en herramientas Microsoft de AENOR. No buscábamos únicamente un reconocimiento externo, sino validar de forma independiente que éramos capaces de implantar los principios de IA Responsable en sistemas reales y demostrarlo mediante evidencias objetivas.

Uno de los aspectos más valiosos del proceso fue su orientación práctica. El objetivo no era únicamente verificar la existencia de políticas o procedimientos, sino evaluar cómo los principios de IA Responsable se traducían en controles verificables y evidencias objetivas sobre sistemas de IA reales en funcionamiento, demostrando que estos principios pueden trasladarse con éxito del ámbito conceptual a la operación.

Como primera organización certificada, el proceso supuso además una experiencia de aprendizaje especialmente enriquecedora. El proyecto requirió un intenso trabajo conjunto entre profesionales de Indra Group, Microsoft y AENOR para identificar cómo trasladar los principios de IA Responsable a la realidad operativa y validar que los mecanismos implantados permitían gestionarlos de forma consistente y eficaz.

Más allá del reconocimiento obtenido, la certificación ha permitido reforzar la confianza en nuestra capacidad para desplegar IA a escala, validar la solidez del modelo implantado en la compañía y disponer de un marco verificable para incorporar nuevos sistemas bajo criterios homogéneos de responsabilidad, calidad y control.

Nuestra experiencia demuestra que la industrialización de la IA no depende únicamente de disponer de tecnología o metodologías adecuadas. Escalar requiere confianza, y la certificación constituye una herramienta fundamental para demostrar, mediante evidencias objetivas, que la IA puede desarrollarse y operarse de forma responsable, consistente y sostenible.