El objeto de la garantía

Lo que el nuevo mercado de garantía de la IA mide, y lo que todavía deja en manos del comprador

Heather M. Grizzle Novara Consulting Group septiembre de 2026

La garantía de la inteligencia artificial se está convirtiendo en una industria. Esa frase habría sido especulativa hace dos años y ahora es simplemente descriptiva. El Departamento de Ciencia, Innovación y Tecnología del Reino Unido contabilizó más de quinientas empresas y aproximadamente mil millones de libras de valor añadido bruto en el mercado nacional de garantía a partir de 2024, proyectó un mercado que se aproximaría a los diecinueve mil millones de libras para 2035, y en septiembre de 2025 publicó una Hoja de Ruta de Garantía de IA de Terceros de Confianza en la que se expone cómo pretende el Estado ayudar a ese mercado a madurar. En junio de 2026, la hoja de ruta dio lugar a una institución: un consorcio presidido por BCS, con techUK convocando a su grupo asesor de la industria, con el mandato de redactar durante el primer año un código de ética voluntario para los profesionales de la garantía, construir un marco de habilidades y competencias, y cartografiar qué información deben divulgar los desarrolladores a quienes los auditan. Junto a esto, la vía de certificación se ha ido consolidando. ISO/IEC 42001 ofrece una norma de sistema de gestión para la inteligencia artificial, ISO/IEC 42006:2025 establece los requisitos para los organismos que auditan conforme a ella, y los organismos nacionales de acreditación, incluidos UKAS en el Reino Unido y ANAB en los Estados Unidos, han estado otorgando acreditación a organismos de certificación durante 2025 y 2026.

Así es como se ve el comienzo de una profesión. Tiene normas, acreditación, un marco de competencias incipiente, un código de ética emergente y una reivindicación defendible de la confianza pública. Las instituciones que han estado esperando una respuesta reconocida a la pregunta de cómo saber si se puede confiar en un sistema de inteligencia artificial ahora tienen algo a lo que señalar.

Deberían examinar con detenimiento qué es exactamente lo que señalan.

El sistema de gestión no es el sistema

ISO/IEC 42001 es estructuralmente paralela a ISO/IEC 27001. Es una norma de sistema de gestión, lo que significa que certifica que una organización ha establecido, documentado y mantenido un conjunto de procesos para gobernar la inteligencia artificial, y que esos procesos están sujetos a auditoría interna y mejora continua. No certifica que ningún sistema concreto construido dentro de ese sistema de gestión produzca un resultado adecuado. Esto no es un defecto de la norma. Es lo que es una norma de sistema de gestión. La confusión surge más adelante, en la contratación, donde un certificado se interpreta como una declaración sobre el producto en lugar de una declaración sobre el productor.

La distinción importa más allí donde el resultado es el verdadero objeto de la compra. Un proveedor que vende traducción automática a lengua de signos puede poseer un certificado debidamente acreditado que acredite un sistema de gestión de inteligencia artificial bien gestionado, mientras entrega un resultado que una persona Deaf con fluidez no puede seguir. Nada en el certificado es falso. Nada en él responde a la pregunta que la institución compradora realmente necesita resolver, que es si la persona que está frente al mostrador, o en la sala de examen, o ante el tribunal disciplinario, recibe información que pueda comprender.

La escala confirma el punto en lugar de contradecirlo. Las recopilaciones de la industria sitúan la certificación mundial conforme a ISO/IEC 42001 en aproximadamente trescientas cincuenta organizaciones hacia mediados de 2026. A modo de comparación, ISO 9001 la posee más de un millón. La norma es joven y la adopción está en sus inicios, lo cual no sorprende. Lo que sí sorprende es cuánto peso interpretativo se le está pidiendo ya a un número reducido de certificados en las conversaciones de contratación, y con qué poca frecuencia un comprador pregunta de qué es certificado el certificado.

El aplazamiento movió el plazo, no la dificultad

El calendario de la Unión Europea ha cambiado ahora de una manera que condicionará el comportamiento institucional durante los próximos dieciocho meses. El Ómnibus Digital sobre inteligencia artificial se adoptó como Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026 y en vigor desde el 27 de julio. Aplaza las obligaciones de alto riesgo de la Ley de IA para los sistemas independientes del Anexo III hasta el 2 de diciembre de 2027, y para la inteligencia artificial integrada en productos regulados conforme al Anexo I hasta el 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 no se aplazaron y entraron en vigor el 2 de agosto de 2026, con un breve período de gracia hasta el 2 de diciembre de 2026 para los sistemas generativos ya presentes en el mercado antes de la fecha anterior.

La razón del aplazamiento es la parte sustantiva. El calendario original presuponía un ecosistema funcional de normas técnicas armonizadas del CEN-CENELEC, autoridades nacionales de vigilancia del mercado designadas y dotadas de recursos, y organismos notificados capaces de realizar la evaluación de conformidad. A finales de 2025, ese ecosistema visiblemente no existía. Los legisladores optaron por fechas fijas nuevas en lugar de un mecanismo condicional vinculado a la disponibilidad de normas, razonando que la previsibilidad sirve mejor al cumplimiento que un desencadenante variable.

Leído con llaneza, esto es una admisión de que la maquinaria para producir evidencia sobre los sistemas de alto riesgo todavía no está construida. El reloj regulador se movió porque la infraestructura probatoria llegaba tarde. Esa es una situación muy distinta de aquella en la que la evidencia existe y el plazo simplemente resultaba inconveniente.

La contratación, sin embargo, no se aplaza. Las instituciones compran según ciclos presupuestarios, según plazos de subvenciones, según el calendario fijado por una brecha de servicio que alguien necesita cerrar en este ejercicio fiscal. Entre ahora y diciembre de 2027, a un organismo público que adquiera un sistema de inteligencia artificial de accesibilidad se le ofrecerán tres cosas: un certificado de sistema de gestión si el proveedor lo tiene, una autodeclaración de conformidad, y un informe de conformidad de accesibilidad. La primera habla del productor. La segunda habla por sí misma, lo cual es el problema. La tercera, en la forma en que el mercado la ha normalizado, es un documento redactado por el proveedor que compara un producto con una lista de criterios técnicos que no se redactaron teniendo en cuenta la lengua de signos generada. Ninguno de los tres constituye evidencia de que el resultado funcione.

Lo que el mercado horizontal no puede ver

El propio diagnóstico de la hoja de ruta resulta instructivo aquí. Identifica cuatro limitaciones para un mercado de aseguramiento de terceros digno de confianza: la calidad de la propia actividad de aseguramiento, incluida la observación de que una parte sustancial de las herramientas de gobernanza de inteligencia artificial disponibles se basan en métricas que pueden ser activamente engañosas; una escasez de profesionales que combinen competencia técnica, jurídica, ética y específica del sector; un acceso deficiente de los proveedores de aseguramiento a los datos de entrenamiento, los detalles del modelo y la documentación interna que necesitan; e incentivos débiles para el desarrollo colaborativo de nuevos métodos de aseguramiento.

Tres de esas cuatro limitaciones afectan con mayor fuerza al nivel del dominio. Un marco de aseguramiento horizontal puede decirle a una institución si un proveedor mantiene un registro de riesgos. No puede decirle a la institución si el sistema reproduce los rasgos gramaticales no manuales que transmiten la negación, la formación de preguntas, la topicalización y la marcación condicional en una lengua de señas, porque el aseguramiento horizontal no cuenta con vocabulario para esa pregunta ni con un evaluador competente asignado a ella. No puede evaluar si un corpus de entrenamiento se recopiló con el consentimiento de las personas firmantes que figuran en él, bajo una licencia que permita el despliegue comercial, a partir de firmantes cuya fluidez fue verificada. No puede distinguir una demostración seleccionada de un despliegue real. No puede decir si la métrica automatizada que un proveedor cita como prueba de calidad de la interpretación en señas mide algo relevante, y para el lenguaje de señas generado actualmente no existe ninguna métrica de calidad automatizada validada, lo cual convierte las puntuaciones próximas a la traducción ofrecidas como evidencia de comprensibilidad en un error de categoría más que en una evidencia débil.

El marco de competencias que actualmente se está construyendo podría llegar a abarcar parte de esto. Todavía no lo ha hecho, y el propio cronograma de la hoja de ruta deja sin fecha la certificación de los profesionales. Mientras tanto, la brecha se sitúa precisamente donde la consecuencia es mayor. Los sistemas que se están implementando en la admisión sanitaria, la notificación de emergencias, los anuncios de transporte y los procesos de empleo son aquellos cuyos fallos son menos reversibles, y son también aquellos que el mercado de aseguramiento general está menos capacitado para examinar.

La posición que adopta Novara Consulting Group

El aseguramiento requiere un objeto. La cuestión no es si un proveedor está bien gobernado en abstracto, sino si un sistema específico, en una versión específica, produce un resultado adecuado para un uso específico, juzgado por las personas que deben confiar en él. Todo lo demás es un sustituto, y los sustitutos se acumulan silenciosamente hasta que una institución cree haber comprado evidencia cuando en realidad ha comprado papeleo.

Los sustitutos se acumulan silenciosamente hasta que una institución cree haber comprado evidencia cuando en realidad ha comprado papeleo.

Heather M. Grizzle

El Sign Language Access Trust Index se construye sobre esa premisa. Es un instrumento de evaluación basado en criterios, organizado en torno a cinco dominios de confianza y cuarenta indicadores puntuados, que aplica escalas separadas a la adecuación de la evidencia y a la confianza en el sistema, de modo que un sistema débil bien documentado y un sistema desconocido mal documentado no se confundan en la misma calificación. Su clasificación de riesgo de despliegue se asigna a los despliegues y no a los sistemas, bajo el razonamiento de que el mismo motor de traducción conlleva un riesgo completamente distinto en un pie de foto de museo que en una instrucción de alta médica. El Evaluation Standard está publicado y es citable, depositado con un identificador de objeto digital bajo una licencia Creative Commons de atribución, de modo que un comprador, un proveedor o un crítico puedan leer el método y debatirlo.

Tres compromisos distinguen al instrumento de un simple ejercicio de conformidad. No se emiten conclusiones sin la conformidad de un revisor Deaf, sobre la base de que la comunidad que soporta las consecuencias de un sistema inadecuado posee la competencia para juzgar su idoneidad, y de que una consulta ofrecida después de una decisión de diseño no constituye gobernanza. La firma no tiene ningún interés financiero en ningún proveedor de inteligencia artificial de lengua de signos, no acepta pagos contingentes, de referencia o en forma de participación accionaria de ninguna parte evaluada, y no varía sus honorarios en función de un hallazgo adverso, lo cual aborda directamente el problema de conflicto de intereses que ha perseguido a los mercados de aseguramiento en todas las industrias anteriores que crearon uno. Y el método declara sus propios límites: una revisión de evidencia pública informa lo que se localizó y lo que no, registra los lugares de búsqueda consultados se haya encontrado o no material allí, e identifica los indicadores que probablemente no cuenten con evidencia pública en absoluto, de modo que un lector pueda distinguir un fallo del proveedor de un límite del método.

Dos cosas sobre la posición actual deben declararse en lugar de darse por sentadas. Novara Consulting Group no es un organismo de certificación acreditado, y el Index no es un esquema de certificación; actualmente no existe ningún esquema de acreditación para la evaluación específica del dominio de la inteligencia artificial de lengua de signos, y sería una tergiversación sugerir lo contrario. Lo que produce el Index es una postura de evidencia documentada y reproducible en la que una institución compradora puede confiar, defender en un expediente de licitación y entregar a su asesoría legal. En segundo lugar, la aplicación del instrumento a los proveedores evaluados hasta la fecha ha producido un hallazgo constante: ninguno ha alcanzado el nivel de confianza más alto, y la razón es uniforme, no incidental. La validación independiente del resultado, realizada por partes sin interés comercial en el resultado, está ausente en todo el mercado. Ese es un hallazgo sobre el sector, no sobre ninguna empresa en particular dentro de él.

Lo que un comprador debería exigir entre ahora y diciembre de 2027

El aplazamiento ha creado una ventana, y las ventanas se usan bien o mal. Usada mal, se convierte en dieciocho meses de adquisiciones basadas en afirmaciones no examinadas de los proveedores, con un ajuste de cuentas de cumplimiento que llega cuando los sistemas ya son estructurales. Usada bien, es el período en el que las instituciones construyen los hábitos probatorios que las obligaciones posteriores asumirán que ya poseen.

El requisito práctico es lo bastante concreto como para incluirse en una licitación. Pregunte qué certifica el certificado y exija al proveedor que declare por escrito si este cubre el sistema de gestión o el desempeño del sistema que se vende. Exija evidencia generada en el entorno propuesto y no en un entorno de demostración, con las condiciones operativas especificadas. Exija la procedencia del corpus de entrenamiento, la licencia bajo la cual se posee y la base sobre la cual las personas registradas en él consintieron ese uso. Exija evidencia de comprensión proveniente de usuarios fluidos de la lengua en cuestión, reportada junto con su método, y trate una puntuación automatizada de calidad ofrecida en su lugar como una pregunta sin responder, no como una respuesta. Exija al proveedor que nombre el rol responsable ante un fallo del resultado. Cuando la implementación conlleve peso legal o consecuencias irreversibles, exija que un ser humano cualificado permanezca en el proceso, porque, según la evidencia actual, ningún sistema de esta categoría está listo para ser la última línea de defensa.

Nada de eso depende de una norma armonizada, un organismo notificado o un esquema de certificación profesional que aún no existe. Solo depende de que la institución decida que el aseguramiento debe referirse a lo que realmente está comprando.

Referencias

Department for Science, Innovation and Technology, Trusted Third-Party AI Assurance Roadmap (septiembre de 2025).

BCS y techUK, materiales de lanzamiento del AI Assurance Consortium (junio de 2026).

Reglamento (UE) 2026/1744 (Omnibus Digital sobre Inteligencia Artificial), publicado el 24 de julio de 2026, en vigor desde el 27 de julio de 2026, que modifica el Reglamento (UE) 2024/1689.

ISO/IEC 42001:2023, Tecnología de la información, Inteligencia artificial, Sistema de gestión.

ISO/IEC 42006:2025, Requisitos para los organismos que realizan auditoría y certificación de sistemas de gestión de inteligencia artificial.

Grizzle, H. M., SLAT Index Evaluation Standard, versión 2.0, Novara Press, 24 de julio de 2026. DOI 10.5281/zenodo.21537271.