Uso de la IA para la elaboración de informes GRI: qué se puede automatizar y qué requiere juicio humano

Los requisitos de GRI se aplican a la organización informante. Un sistema de IA puede producir texto, clasificaciones o señales de anomalías, pero no se convierte en el responsable de los datos, la persona que aprueba la materialidad, el asesor jurídico, el proveedor de aseguramiento ni el máximo órgano de gobierno. La organización aún debe aplicar los principios de elaboración de informes, conservar evidencia verificable y respaldar cada juicio.

Tampoco existe un único control de la “precisión de la IA”. Los riesgos difieren según la tarea: un error de resumen, una cifra de divulgación inventada, un cálculo incorrecto, una infracción de la confidencialidad y una conclusión sobre materialidad expresada con exceso de confianza requieren controles diferentes. El modelo operativo debería clasificar el caso de uso antes de utilizar la herramienta.

1. Clasificar el caso de uso y el riesgo. Definir si el sistema automatizará, prestará asistencia, informará una decisión o redactará una declaración pública.

2. Aprobar el perímetro de fuentes y datos. Utilizar normas oficiales vigentes, registros controlados de la organización y niveles de acceso permitidos.

3. Definir el contrato de salida. Especificar el esquema requerido, las declaraciones prohibidas, las etiquetas de confianza y qué debe señalar el sistema como desconocido.

4. Generar con trazabilidad. Conservar los anclajes de las fuentes, el modelo/versión, la indicación/plantilla, el conjunto de recuperación y la salida.

5. Realizar la revisión técnica y de la evidencia. Validar los identificadores de las declaraciones, los límites, los cálculos, los hechos, los ejemplos y las limitaciones.

6. Elevar las decisiones especializadas. Remitir las cuestiones jurídicas, de derechos humanos, científicas, actuariales, de aseguramiento o de privacidad a revisores cualificados.

7. Aprobar la respuesta canónica y la redacción pública. Separar la preparación de la aprobación técnica o de gobernanza final.

8. Archivar y supervisar. Conservar las ediciones aceptadas, las salidas rechazadas, los registros de incidentes, las pruebas de regresión y los factores desencadenantes de actualizaciones.

Sin fuente, no hay declaración normativa: el sistema debe devolver una carencia de fuentes en lugar de completar la lógica de memoria.

Utilizar la recuperación de documentos aprobados y almacenar los anclajes exactos de las fuentes con cada declaración.

Verificar de forma independiente todos los números, títulos, ediciones, fechas de entrada en vigor y reglas de motivos de omisión de GRI.

Realizar los cálculos en hojas de cálculo transparentes o código, no mediante generación de lenguaje de forma libre.

Separar la correspondencia candidata de la correspondencia aprobada, y la redacción candidata de la redacción publicada.

Utilizar un registro de expresiones que no deben usarse para las declaraciones sobre cumplimiento, certificación, equivalencia, aseguramiento e impacto causal.

Exigir etiquetas de confianza y conservar las condiciones junto con la declaración a la que califican.

Ejecutar pruebas de regresión en escenarios conocidos difíciles y comparar las salidas cuando cambie el modelo o la indicación.

Bloquear la información personal, sobre reclamaciones, privilegiada o confidencial del cliente en sistemas no aprobados.

Supervisar los errores y los cuasi incidentes, y retirar el contenido generado por IA que no pueda verificarse.

El Marco de gestión de riesgos de IA voluntario de NIST organiza la gestión de riesgos mediante Govern, Map, Measure y Manage. Su Generative AI Profile añade acciones adaptadas a los riesgos de la IA generativa, mientras que el Playbook ofrece acciones de implementación sugeridas, no una lista de verificación obligatoria. Los Principios de IA de la OCDE refuerzan la transparencia, la explicabilidad, la robustez, la seguridad y la rendición de cuentas. Estas son fuentes generales de gobernanza; no modifican los requisitos de GRI ni hacen que un resultado de IA sea técnicamente correcto.

Un equipo de elaboración de informes hipotético pide a una herramienta de IA generativa que construya un Índice de contenidos GRI a partir de un borrador de informe. La herramienta identifica muchas referencias correctas a los contenidos, pero inventa dos números de contenidos, marca varios requisitos parciales como completos y describe una declaración de aseguramiento sobre emisiones seleccionadas como si abarcara el informe. El flujo de trabajo controlado detecta los errores porque cada entrada debe vincularse a un requisito aprobado de la fuente, a la ubicación exacta en el informe y a un responsable de la evidencia. El revisor final rechaza los identificadores inventados, registra con precisión los requisitos incompletos y limita la redacción sobre el aseguramiento.

Tratar un tono de alta confianza como evidencia de corrección.

Usar una búsqueda web no controlada cuando las normas oficiales vigentes están disponibles en el paquete de fuentes.

Permitir que el modelo fusione los requisitos de GRI, ESRS e IFRS en una falsa equivalencia.

No preservar la condición o excepción exacta asociada a una declaración normativa.

Usar la IA para establecer un motivo de omisión o una conclusión jurídica sin asesoramiento jurídico.

Aceptar una asignación automatizada a nivel del título del contenido y pasar por alto los subrequisitos.

No conservar ningún registro del modelo, la instrucción, el conjunto de fuentes o las modificaciones humanas.

Introducir información restringida sobre reclamaciones o información personal en un entorno no aprobado.

Delegar la aprobación final de las afirmaciones y de la publicación en la misma persona que generó el borrador.

Para cada tarea material asistida por IA, conserve el caso de uso, el modelo, el proveedor y la versión, la versión del mensaje o del flujo de trabajo, la fuente aprobada y el conjunto de recuperación, la clasificación de la entrada, la salida, las referencias a las fuentes, la confianza y las limitaciones, la revisión humana y la decisión final. Preserve las ediciones aceptadas, las salidas rechazadas, los incidentes, las pruebas de regresión y los factores desencadenantes de las actualizaciones, de modo que el resultado pueda reproducirse y revisarse nuevamente cuando cambien la evidencia, las normas o el modelo.