De «enséñeme el documento» a «demuéstreme que funciona»: los cuatro focos de la supervisión en 2027
2 de junio de 2026 · Por David Soler
Durante dos décadas, superar una inspección consistía en enseñar carpetas: la política firmada, el registro actualizado, el certificado en vigor. Ese ciclo se agota. Las autoridades europeas y latinoamericanas convergen en una misma pregunta, más incómoda: no si el documento existe, sino si el sistema funciona.
El calendario lo acelera. El Reglamento de IA será plenamente aplicable el 2 de agosto de 2026; la Ley 21.719 chilena de protección de datos entra en vigor en diciembre de 2026, el mismo mes previsto para el reglamento europeo de deforestación (EUDR). 2027 será el primer ejercicio completo en que los supervisores aplicarán estos marcos con equipos ya rodados y criterios ya formados.
¿Por qué el manual ya no le protege?
Porque los supervisores han aprendido a distinguir el compliance de papel del compliance operativo. La señal más clara llega de Chile: 993 multas por la Ley Karin en cinco meses reflejan una inspección que actúa rápido, a escala y sobre la aplicación real de los protocolos, no sobre su existencia.
La foto documental deja de bastar. Lo que se pedirá es la película: cómo funcionó su sistema cuando tuvo que funcionar.
Los cuatro focos previsibles de 2027
- Evidencia de funcionamiento. Denuncias gestionadas en plazo, formaciones con evaluación, controles con resultado registrado. La petición tipo será: muéstreme tres casos reales y cómo los resolvió.
- Trazabilidad de las decisiones asistidas por IA. Qué propuso el sistema, quién lo validó, con qué datos y con qué supervisión humana. Sin registro de decisión, no podrá reconstruir por qué su organización actuó como actuó.
- Cadena de suministro. El EUDR y la diligencia debida desplazan la carga aguas arriba: deberá demostrar qué sabe de sus proveedores y qué hizo cuando la señal fue roja.
- Coordinación entre autoridades. Un mismo hecho —un algoritmo de recursos humanos, por ejemplo— podrá ser examinado a la vez por protección de datos, inspección laboral y autoridad de IA. Sus respuestas deberán ser coherentes entre sí.
La pregunta de 2027 ya no será «¿tiene usted el documento?», sino «demuéstreme, con registros, que su sistema funcionó cuando tuvo que funcionar».
Qué debe exigir dirección antes de que lo exija el inspector
- Un inventario de evidencias por obligación: qué registro prueba cada control, quién lo alimenta y con qué frecuencia.
- Un registro de decisiones asistidas por IA con validación humana documentada, operativo desde el primer día de aplicación plena del Reglamento de IA.
- Un expediente único por hecho relevante, reutilizable ante varias autoridades sin contradicciones.
- Métricas de funcionamiento —plazos de respuesta, casos cerrados, incidencias— revisadas en comité, no archivadas.
El coste de llegar tarde no es teórico: la Ley 2/2023 prevé multas de hasta 1 millón de euros; el RGPD, hasta 20 millones o el 4 % de la facturación; el Reglamento de IA, hasta 35 millones o el 7 %; la Ley 21.719, hasta 20.000 UTM. Pero el riesgo mayor es otro: ante autoridades coordinadas, un expediente débil en un frente contamina los demás.
La conclusión para dirección es operativa: presupueste 2027 no para producir más documentos, sino para generar, custodiar y poder exhibir evidencia de funcionamiento. Del papel a la evidencia: ese es el estándar que viene.