Políticas de seguridad redactadas con IA: ¿atajo útil o riesgo de auditoría?

Redactar políticas de seguridad solía ser el primer paso lento de todo programa de cumplimiento. Hoy, una herramienta de IA generativa produce un conjunto completo (seguridad de la información, control de acceso, respuesta a incidentes, criptografía, seguridad de proveedores) en minutos, con buen formato y mucha seguridad en sí misma. Para muchas organizaciones, eso supone una ayuda real. También es una nueva forma de suspender una auditoría.

Dónde ayuda la IA

• Se acabó la página en blanco. Un borrador de estructura para cada política, con las secciones habituales, ahorra tiempo real.
• Lenguaje claro. La IA se les da bien convertir el lenguaje denso de las normas en frases que la gente pueda leer.
• Comprobaciones de coherencia. Bien planteada, puede detectar contradicciones entre documentos.
• Borradores de correspondencia. Puede sugerir a qué requisitos del marco se relaciona una sección de la política, como punto de partida para verificar.

Dónde perjudica

• Las políticas describen prácticas que no tienes. Una política de control de acceso generada prometerá revisiones trimestrales de accesos privilegiados, MFA en todas partes y aprobaciones documentadas. Si no haces esas cosas, cada promesa es un futuro hallazgo de auditoría. Los auditores comprueban lo que escribiste.
• Las referencias pueden ser incorrectas. El texto generado cita números de controles de versiones sustituidas o requisitos que no existen. Una política que cita las cláusulas de ISO 27001:2013 en una auditoría de 2022 invalida todo lo demás.
• Nadie es su propietario. Una política que llegó completamente formada no tiene un autor que entienda por qué está cada línea, ni un responsable que la mantenga vigente.
• El volumen sustituye al criterio. Cincuenta páginas de políticas verosímiles pueden ocultar las tres decisiones que de verdad importan para tu organización.

Cómo usarla bien

1. Decide primero, genera después. Documenta cómo operas realmente cada control (responsable, frecuencia, estándar) y luego pide a la IA que redacte el texto de la política a partir de esos hechos. Consulta nuestro artículo sobre un único conjunto de políticas para varios marcos.
2. Recorta sin piedad. Elimina cada frase que no puedas acreditar con evidencia.
3. Verifica cada referencia contra el texto vigente del marco. Nuestras páginas de requisitos, por ejemplo ISO 27001 A.5.1, muestran los identificadores y títulos actuales.
4. Asigna a cada política un responsable humano que la haya leído, la apruebe y la revise anualmente.
5. No dejes nunca que la IA redacte la evaluación de riesgos por ti. Puede sugerir amenazas, pero no conoce tus sistemas, tu personal ni tu negocio.

Una prueba rápida para cualquier política generada

Antes de aprobar una política, esté generada o no, léela teniendo presentes tres preguntas:

1. ¿Podríamos mostrar a un auditor evidencias de cada "debe" de este documento? Cada obligación debería apuntar a un control que se ejecute y genere registros. Si no es así, o bien implanta el control o elimina la frase.
2. ¿Existe cada referencia en la versión vigente? Comprueba los números de cláusulas y controles frente al marco contra el que te auditan. Nuestras páginas de requisitos, como ISO 27001 A.5.15 o SOC 2 CC6.1, muestran los identificadores vigentes y sus equivalentes en otros marcos.
3. ¿Entendería un empleado nuevo qué tiene que hacer? Las políticas existen para cambiar comportamientos. Un texto genérico y relleno no supera esta prueba, aunque sea técnicamente correcto.

Una política que supera las tres es una buena política, la haya redactado quien la haya redactado. Una que falla en cualquiera de ellas es un pasivo, por muy pulida que parezca.

Conclusiones clave

• La IA es una vía rápida hacia un primer borrador y un riesgo como versión final.
• Decide primero cómo operas y luego genera el texto a partir de esos hechos.
• Elimina todo lo que no puedas acreditar, verifica cada referencia y asigna a cada política un responsable humano.

La respuesta honesta

Las políticas redactadas con IA son un atajo útil hacia un primer borrador y un riesgo como versión final. La prueba no ha cambiado: ¿describe el documento lo que tu organización hace realmente, y puedes demostrarlo? Usa la IA para llegar antes, no para saltarte la parte en la que decides. Y si estás a punto de comprar herramientas antes de redactar las políticas, se aplica el mismo principio.

Preguntas

¿Puedo usar políticas de seguridad generadas con IA para ISO 27001 o SOC 2?

Puedes usar la IA para redactarlas, pero los auditores comprueban si las políticas coinciden con lo que la organización hace realmente. Los borradores genéricos que describen prácticas que no sigues generan hallazgos.

¿Cuáles son los riesgos de las políticas redactadas con IA?

Políticas que te comprometen a controles que no operas, referencias inventadas o desactualizadas a normas, incoherencia entre documentos y políticas que nadie ha leído ni aprobado.

¿Los auditores rechazan las políticas asistidas por IA?

No como tal. Los auditores se fijan en si las políticas están aprobadas, vigentes y se cumplen en la práctica. Cómo se produjo el primer borrador importa mucho menos que si el documento final coincide con la realidad.