Imagina una pequeña empresa que utiliza un agente de IA para gestionar incidencias. El sistema consulta información, redacta respuestas y propone acciones. Funciona bien durante semanas, hasta que clasifica incorrectamente una reclamación importante. ¿Quién revisa qué ocurrió? ¿Quién estableció los límites? ¿Quién puede detenerlo?

Estas preguntas apuntan a un conjunto de funciones con creciente relevancia: evaluación, supervisión, calidad y gobernanza de sistemas de IA. «Auditor de agentes de IA» es una expresión útil para explicarlas, pero no debe confundirse con un título profesional reglado único ni con una promesa de contrataciones masivas.

Primero: ¿qué es exactamente lo que se audita?

Un chatbot que responde preguntas y un agente conectado a herramientas internas no tienen necesariamente el mismo nivel de riesgo. La revisión depende de sus capacidades, del proceso, de los datos y de las consecuencias de sus acciones. Auditar no consiste en abrir una aplicación y preguntarle si es segura.

Seis controles que una empresa debería poder explicar

• Propósito y límites. Qué está permitido y qué acciones necesitan autorización.
• Información utilizada. De dónde proceden los datos, cómo se protegen y cuándo se eliminan.
• Pruebas de calidad. Qué escenarios normales, excepcionales y adversos se han evaluado.
• Registro y trazabilidad. Qué evidencia existe para reconstruir decisiones y fallos.
• Supervisión humana. En qué situaciones interviene una persona y cómo se detiene un proceso.
• Responsabilidades. Quién mantiene el sistema, quién acepta el riesgo y quién responde ante incidentes.

La intensidad de cada control debe ser proporcional al contexto. No es lo mismo sugerir un borrador comercial que intervenir en decisiones laborales, financieras o de acceso a servicios esenciales.

Una simulación realista: un agente en atención al cliente

Una PYME de Barcelona quiere automatizar la clasificación inicial de solicitudes. Antes de abrir el sistema al público, documenta qué tipos de peticiones puede atender, qué situaciones deben escalarse y qué datos personales necesita. Prepara pruebas con mensajes ambiguos, solicitudes maliciosas y casos donde el cliente presenta información incompleta.

Durante una fase controlada, compara resultados con decisiones revisadas por humanos, registra fallos y establece reglas de suspensión. Después monitoriza cambios, versiones e incidencias. Este caso es hipotético, no una auditoría realizada por IACorpBCN ni evidencia de rendimiento del producto.

¿Quién puede trabajar en estas funciones?

Las tareas se reparten entre perfiles técnicos y no técnicos. Un especialista en ciberseguridad puede analizar acceso a herramientas y abuso del agente. Una persona de calidad puede elaborar planes de prueba. Quien trabaja en operaciones conoce excepciones, rutas de aprobación y puntos de fallo. Un profesional de privacidad evalúa tratamientos de datos y obligaciones aplicables.

Eso no significa que todos estén habilitados para una auditoría formal. Algunas verificaciones requieren independencia, conocimientos específicos, criterios normativos o acreditaciones. Conviene distinguir auditoría de cumplimiento, evaluación técnica, pruebas de calidad y supervisión operativa. Se relacionan, pero no son equivalentes.

Cuatro rutas de entrada para profesionales con experiencia

Desde calidad y mejora de procesos

La experiencia en no conformidades, muestreo, procedimientos y mejora continua puede servir para diseñar pruebas y registrar desviaciones. La brecha suele estar en comprender el comportamiento de modelos, agentes y sistemas conectados.

Desde operaciones y atención al cliente

Quien conoce las excepciones reales de un proceso ayuda a definir cuándo una automatización debe derivarse a una persona. La brecha puede incluir trazabilidad, evaluación sistemática y gestión de riesgos.

Desde cumplimiento, auditoría y privacidad

Las competencias en controles, documentación y responsabilidad pueden adaptarse a proyectos de gobernanza de IA. Se necesitará adquirir suficiente conocimiento técnico para formular preguntas correctas y colaborar con expertos especializados.

Desde tecnología y ciberseguridad

Los perfiles técnicos pueden aportar pruebas de integración, control de permisos, evaluación de vulnerabilidades y detección de comportamientos inesperados. No obstante, la técnica sola no sustituye la comprensión del impacto sobre personas y procesos.

Plan de exploración profesional de 90 días

• Días 1–15: inventariar experiencia previa en calidad, procesos, seguridad o riesgos y estudiar cómo opera un agente con herramientas.
• Días 16–30: revisar marcos relevantes y distinguir obligaciones jurídicas de buenas prácticas.
• Días 31–60: construir un caso de prueba con alcance limitado, criterios de aceptación, incidencias y evidencia documentada.
• Días 61–75: solicitar revisión de alguien con experiencia técnica y corregir errores de método.
• Días 76–90: contrastar ofertas reales, títulos de puesto, requisitos y posibles rutas formativas en España.

El plan es orientativo; completarlo no equivale a obtener una certificación ni asegura acceso a un puesto.

La normativa europea: precisión antes que titulares

El Reglamento (UE) 2024/1689 establece un marco basado en riesgos y obligaciones que dependen de los actores y usos concretos, con fechas de aplicación escalonadas. No impone a toda empresa la contratación de un profesional llamado «auditor de agentes de IA». También conviene consultar el AI Risk Management Framework del NIST como referencia de gestión de riesgos, sin presentarlo como ley europea.

Antes de anunciar requisitos concretos, una empresa debe identificar el sistema, su función, las normas aplicables y el calendario normativo vigente. Las decisiones jurídicas requieren evaluación especializada.

Dónde está la oportunidad para Barcelona y las PYMEs

Una PYME no tiene por qué crear inmediatamente un departamento de auditoría. Puede comenzar por definir responsables, inventariar usos de IA y asegurar revisión de procesos sensibles. Esto puede generar trabajo transversal en operaciones, calidad, seguridad, privacidad, consultoría y tecnología. La existencia de esa necesidad no permite inferir por sí sola un volumen de empleo.

Para un profesional, el enfoque sensato es buscar vacantes con denominaciones como AI governance, AI assurance, model risk, evaluación de sistemas, control de calidad de IA o gestión de riesgos tecnológicos, contrastando habilidades exigidas en cada oferta.

Errores comunes que conviene evitar

• Confundir una conversación satisfactoria con una prueba completa.
• Asegurar cumplimiento legal porque el proveedor anuncia que su producto es «seguro».
• Medir solo respuestas correctas y no acciones erróneas o efectos sobre datos.
• No definir responsables de supervisión ni procedimientos de parada.
• Presentar casos simulados como auditorías certificadas.
• Comprar formación sin comprobar demanda, contenidos y requisitos profesionales.

Preguntas frecuentes

¿Un auditor de agentes debe saber programar?

Depende de su función. Algunas tareas de control y evaluación de procesos pueden ser interdisciplinarias, mientras que las pruebas técnicas profundas exigen conocimientos específicos.

¿Es una profesión oficial y regulada?

No existe una única profesión universal con ese nombre y una habilitación válida para cualquier encargo. Pueden existir funciones, certificaciones y requisitos sectoriales diferenciados.

¿Una pequeña empresa necesita supervisión de IA?

Cualquier uso relevante debería tener controles proporcionados al riesgo y al contexto. Las obligaciones legales específicas dependen del sistema y su finalidad.

¿Cómo puedo saber si tengo perfil?

Analiza tu experiencia en gestión de incidentes, documentación, controles, procesos y evaluación; después verifica vacantes y las competencias técnicas que te falten.

LATENZA · Investigación editorial de IACorpBCN. Fuentes normativas enlazadas y casos expresamente hipotéticos. Octubre de 2026.

Relacionados: agentes de IA en empresas · IA y operaciones · capacidades transferibles.