La nueva encuesta sobre IA del Bank of England y de la Financial Conduct Authority ofrece a los equipos de servicios financieros una razón práctica para revisar lo que ocurre después de la aprobación del despliegue. Los encuestados informaron revisiones iniciales con mucha más frecuencia que monitoreo continuo. Para los responsables de cumplimiento y riesgo de modelos, el siguiente paso útil es comprobar si un sistema desplegado sigue teniendo evidencia actualizada detrás de sus controles.
El informe conjunto, publicado el 26 de octubre de 2026, describe las prácticas de las empresas participantes. No anuncia una nueva norma sobre IA ni establece que los controles de alguna empresa concreta hayan fallado.
Lo que establece la encuesta
El informe recibió 196 respuestas, incluidos 105 cuestionarios completos. Salvo que se indique lo contrario, los resultados utilizan la encuesta completa y las respuestas válidas a cada pregunta. Más del 90 % informó aprobación humana, revisión previa al despliegue y diligencia debida del proveedor como controles del riesgo de datos. Alrededor de la mitad informó monitoreo continuo, pruebas de fuga y revisión periódica o recertificación. Los sistemas de terceros representaron el 53 % de los sistemas de IA de alta materialidad informados.
Estos son hallazgos autodeclarados, no una inspección independiente ni un censo de todo el sector. La redacción de las preguntas y las poblaciones de encuestados también limitan las comparaciones con encuestas anteriores. La cobertura independiente de The Perimeter Report corrobora la brecha de monitoreo en los resultados publicados; no pone a prueba de forma independiente los controles subyacentes.
Convierta la evidencia de aprobación en un registro continuo
El análisis de Maetra es que una aprobación debería iniciar un ciclo de vida de la evidencia. Una evaluación realizada antes del lanzamiento no puede por sí sola explicar qué cambió después. Un proveedor puede revisar un modelo, un responsable de la aplicación puede añadir una herramienta, o un flujo de trabajo puede empezar a manejar una clase diferente de información. Cada cambio plantea la pregunta de si la evaluación anterior sigue describiendo el sistema.
Para un asistente hipotético de atención al cliente, considere un permiso inicial para preparar borradores de respuesta. Si una integración posterior le permite enviar mensajes, el registro de control debería identificar la nueva capacidad, su responsable y la razón por la que la evidencia anterior sigue siendo adecuada o necesita revisión. Una revisión de lanzamiento exitosa no respondería por sí sola a esas preguntas.
Por lo tanto, un registro de evidencia útil conecta el sistema y el flujo de trabajo con el control que se está probando. Registra la fecha de la prueba, la versión probada, el responsable, el resultado y el siguiente disparador de revisión. Eso le da a un revisor algo concreto que inspeccionar cuando llega un aviso del proveedor o un cambio interno.
Pida a los proveedores evidencia que pueda caducar
Un documento de aseguramiento del proveedor puede respaldar una decisión sin cubrir cada elección local de despliegue. Los equipos deberían especificar en qué afirmación de aseguramiento se apoyan, qué componente cubre y qué condiciones harían que quedara desactualizada. El objetivo es hacer que la dependencia sea revisable por alguien que no negoció el contrato original.
Entre las preguntas útiles para el proveedor están si la prueba pertinente cubría la versión desplegada, si se incluyeron las herramientas conectadas y cómo reciben los clientes los avisos de cambios materiales. Una respuesta faltante debería convertirse en un seguimiento asignado con una fecha límite. No debería desaparecer en una afirmación general de que el proveedor ha sido evaluado.
Mantenga la evidencia del proveedor separada de la evidencia generada dentro de la empresa. Una prueba de seguridad del proveedor y una prueba local del flujo de trabajo pueden respaldar el mismo control, pero responden a preguntas distintas. Conserve su alcance y sus fechas al mapearlas a un requisito para que la reutilización no oculte una brecha de cobertura.
Revise esta semana un flujo de trabajo en producción
Lo siguiente es una recomendación operativa, no una lista de comprobación emitida por los reguladores:
- Seleccione un flujo de trabajo de IA desplegado cuya salida o acción pueda afectar a un cliente.
- Identifique su modelo actual, proveedor, herramientas, acceso a datos y responsable.
- Localice la última prueba de la configuración realmente desplegada.
- Defina los cambios que requieren una nueva revisión y la persona responsable de detectarlos.
- Fije la próxima fecha de revisión y documente cómo se gestiona un elemento de evidencia vencido.
Para un agente que ejecuta acciones, incluya el límite entre una recomendación y la ejecución. Una revisión humana puede ser adecuada para algunas acciones, mientras que otras pueden ejecutarse dentro de permisos definidos. Lo importante es contar con evidencia de que el control elegido opera donde se produce la acción.
Un registro de evidencia de auditoría de IA puede ayudar a estructurar las preguntas sobre versiones, decisiones y resultados. Debe permanecer conectado al flujo de trabajo en lugar de convertirse en un archivo aislado.
Mantenga proporcionada la interpretación de cumplimiento
La encuesta es un diagnóstico útil para las conversaciones de gobernanza. No puede decirle a una empresa qué requisitos legales se aplican a sus propios servicios, ni demostrar que añadir monitoreo produce cumplimiento. Esas decisiones necesitan las obligaciones aplicables de la empresa, su evaluación del riesgo y su evidencia.
Para los equipos que usan Maetra, Comply admite el mapeo de marcos y la vigencia de la evidencia, mientras que Audit conserva el historial relevante. Ninguno sustituye una evaluación del proveedor ni las pruebas de la aplicación. Empiece con un control cuya evidencia se haya vuelto difícil de localizar o fechar, y use los recursos de marcos de Maetra para conectarlo a un proceso de revisión con un responsable claro.
Fuentes
- Bank of England and FCA: Inteligencia artificial en los servicios financieros del Reino Unido, 2026, 26 de octubre de 2026. Encuesta principal y metodología.
- The Perimeter Report: Encuesta de IA BoE/FCA 2026, 26 de octubre de 2026. Cobertura independiente de la misma encuesta.