Compliance 2026: Auditoría Algorítmica e IA de Alto Riesgo

El Reglamento de IA de la UE no crea delitos, pero sus obligaciones para los sistemas de "alto riesgo" (RRHH, Banca, Seguros), aplicables desde el 2 de diciembre de 2027 (2 de agosto de 2028 si la IA va integrada en productos regulados), dibujan un nuevo panorama: las empresas que los utilicen sin la debida supervisión humana se enfrentan a riesgos legales que afecta de lleno a sus programas de compliance penal.

El Sesgo Algorítmico como Delito

¿Puede un algoritmo cometer un delito de discriminación laboral (Art. 314 CP)? El algoritmo no, pero quienes lo usan sí pueden cometerlo. Si una empresa utiliza un software de cribado de currículums que sistemáticamente descarta a candidatos por su género o etnia debido a un sesgo en los datos de entrenamiento, la dirección conocía y consintió este funcionamiento y, tras un requerimiento o sanción administrativa, no restablece la igualdad ni repara los daños, estamos ante un delito contra los derechos de los trabajadores (prisión de 6 meses a 2 años o multa de 12 a 24 meses).

Conviene precisar la atribución de responsabilidad: el algoritmo no responde penalmente; responden las personas que lo despliegan y lo mantienen. La herramienta es el software, pero la conducta típica es humana: decidir usar el sistema, conocer su funcionamiento discriminatorio y mantenerlo pese al requerimiento o la sanción administrativa. La empresa, como persona jurídica, no responde penalmente por este delito (no está en el catálogo del art. 31 bis): el art. 318 CP castiga a los administradores o encargados responsables y permite imponerle consecuencias accesorias del art. 129. Por eso el elemento decisivo del tipo es el conocimiento y consentimiento de la dirección: lo que la empresa sabía —o documentó haber querido saber— sobre cómo decide su algoritmo marcará la frontera entre el riesgo penal y la infracción de otra naturaleza.

La Supervisión Humana como Eje

El concepto que vertebra el nuevo escenario es la supervisión humana de los sistemas de alto riesgo: los algoritmos de contratación y de scoring crediticio que menciona la normativa europea son precisamente los que deciden sobre el acceso al empleo y al crédito. Supervisar no es estampar una firma sobre lo que la máquina ya decidió: implica que una persona con competencia y autoridad reales pueda revisar las decisiones del sistema, entender por qué se han tomado y corregirlas o desactivar la herramienta cuando algo falla.

Para el compliance penal, la diferencia es sustancial: una supervisión meramente formal deja a la dirección expuesta —difícilmente podrá alegar que no conocía un funcionamiento que nadie revisaba de verdad—, mientras que una supervisión efectiva y documentada es la primera barrera frente a la imputación.

Qué Implica una Auditoría Algorítmica

La auditoría algorítmica traslada al terreno técnico la lógica clásica del compliance: identificar riesgos, establecer controles y documentarlo todo. En la práctica supone:

• Inventario de sistemas: saber qué algoritmos usa la empresa, en qué procesos (selección de personal, scoring) y con qué nivel de riesgo.
• Revisión de los datos de entrenamiento: el sesgo suele nacer ahí; auditar con qué datos aprendió el sistema es auditar su tendencia a discriminar.
• Pruebas periódicas de sesgo: verificar de forma recurrente que los resultados no penalizan sistemáticamente a candidatos por género, etnia u otras características protegidas.
• Trazabilidad y documentación: registrar qué se auditó, cuándo, con qué resultado y qué medidas correctoras se adoptaron.

La Defensa en el Proceso Penal Corporativo

Si pese a todo llega la imputación, la estrategia de defensa se construye sobre el trabajo previo. La explicabilidad del algoritmo —poder reconstruir y justificar por qué el sistema tomó cada decisión— es la prueba de descargo central: permite demostrar que el resultado discriminatorio, de existir, no fue conocido ni consentido por la dirección. Las auditorías documentadas cumplen aquí su segunda función: acreditan la diligencia de la empresa y desmontan el elemento subjetivo del tipo.

La reacción ante un sesgo detectado también cuenta: la empresa que descubre una desviación, la corrige y deja constancia de ello exhibe exactamente lo contrario del dolo y de la persistencia en la discriminación que exige el Art. 314 CP. En cambio, la que conocía los informes y siguió usando el sistema sin cambios habrá escrito ella misma la prueba de cargo. Auditar los algoritmos no es un deber general que imponga el Reglamento de IA, pero es la línea que separa un incidente técnico de un problema penal.