Pregúntele al dueño de una firma pequeña de contadores públicos si su equipo usa herramientas de IA, y la mayoría dirá "un poco, de manera informal". Pregúntele si tienen una política de IA por escrito, y por lo general la sala se queda en silencio. Esa brecha es más grande de lo que parece. Datos recientes del sector sitúan la adopción de IA en firmas contables y de contadores públicos en 73%, un salto del 340% respecto a los niveles de 2022 — sin embargo, según el Informe sobre el Estado de la IA en la Contabilidad de Karbon, solo el 37% de las firmas ha invertido en algún tipo de capacitación formal en IA. Gran parte de ese crecimiento ocurrió sin ninguna capa de gobernanza debajo.
Ese desajuste es exactamente lo que el artículo de julio de 2026 del Journal of Accountancy sobre cómo redactar una política de IA busca corregir. Está dirigido en términos generales a firmas contables de todos los tamaños, pero el consejo pesa más en las prácticas pequeñas y medianas — las que menos probabilidades tienen de contar con un departamento de cumplimiento, y las más propensas a tener un profesional independiente o un equipo de dos personas experimentando en silencio con ChatGPT entre llamadas con clientes.
El Verdadero Riesgo No Es la IA — Es el Silencio
Aquí está la parte incómoda: su firma no necesita haber "adoptado la IA" para tener un problema de riesgo de IA. Si tan solo un empleado alguna vez pegó el balance de comprobación de un cliente en un chatbot para obtener una segunda opinión sobre un asiento contable, ya tiene exposición — exista o no una política registrada.
Esto suele llamarse "IA en la sombra": el uso de herramientas que ocurre fuera de cualquier lista autorizada, fuera de cualquier contrato y fuera del conocimiento de cualquiera. No es una hipótesis. Investigaciones de seguridad recientes encontraron que aproximadamente el 34.8% de los mensajes de empleados a ChatGPT ahora contienen datos sensibles de la empresa, frente a solo el 11% en 2023. En contabilidad específicamente, eso significa que cifras de ingresos de clientes, estados de flujo de efectivo y documentos fiscales terminan en un sistema de terceros que la firma nunca evaluó, con el que nunca contrató, y que no puede auditar.
La exposición legal tampoco es abstracta. Cuando un empleado introduce datos financieros de un cliente en una cuenta personal de IA, esos datos se transmiten y almacenan en un tercero ajeno a cualquier acuerdo existente con el cliente — lo cual puede cumplir con la definición legal de una filtración de datos y activar obligaciones de notificación bajo la ley estatal. Para una firma sujeta a la Regla de Información Confidencial del Cliente de la AICPA (Sección 1.700.001 del Código de Conducta Profesional), eso no es un tecnicismo menor. Es la misma regla que determina si se puede hablar de las finanzas de un cliente con alguien fuera del encargo — y se aplica a las herramientas de IA exactamente igual que a una conversación casual en un evento de networking.
Lo Que Realmente Cubre una Política de IA Real
La guía del Journal of Accountancy divide una política usable en ocho bloques: alcance y propósito, estructura de gobernanza, privacidad de datos, controles de calidad y precisión, protocolos de documentación, evaluación de sesgos, transparencia con el cliente y reglas de uso aceptable. Eso es mucho para que una firma de cinco personas lo aborde de una vez, así que vale la pena enfocarse en los tres puntos que hacen la mayor parte del trabajo de protección.
1. Documente el mensaje, el resultado y quién lo revisó
La guía es directa al respecto: "Si no está documentado, no ocurrió." Ese no es un estándar nuevo para los contadores públicos — es la misma lógica que rige los papeles de trabajo y los expedientes de encargo — pero ahora debe extenderse a la IA. Cuando un empleado usa una herramienta de IA para redactar un memorando para un cliente, investigar una pregunta técnica o resumir un documento, la firma debería poder mostrar:
- Qué mensaje (prompt) se usó
- Qué devolvió la herramienta
- Quién revisó el resultado, y cómo
Ese registro pertenece al expediente del cliente junto con cualquier otra documentación de herramientas de terceros — no en un hilo de Slack que desaparece después de 90 días.
2. Exija revisión humana antes de que algo llegue a un cliente
Esta es la línea que debería estar publicada sobre cada estación de trabajo: la IA no debe usarse para tomar, finalizar o respaldar decisiones relacionadas con servicios al cliente sin una revisión humana exhaustiva, en línea con las políticas de supervisión existentes de la firma. En la práctica, eso significa que la investigación, las explicaciones técnicas o las citas generadas por IA deben verificarse directamente contra fuentes primarias — el Código de Rentas Internas, las regulaciones del Tesoro, las normas del FASB — y no aceptarse solo porque la respuesta sonaba convincente. Las herramientas de IA generativa son conocidas por producir citas que suenan verosímiles pero que en realidad no existen; un empleado que no confirma de forma independiente una sección de código citada antes de incluirla en una carta a un cliente se ha saltado todo el sentido del juicio profesional.
3. Sepa exactamente qué pasa con los datos que ingresa
Antes de que cualquier herramienta toque información de un cliente, alguien en la firma debe responder cuatro preguntas al respecto: ¿Dónde se almacenan los datos? ¿Quién puede acceder a ellos? ¿Están desidentificados? ¿Se usan para entrenar el modelo? Si la respuesta a cualquiera de esas preguntas no está clara — y para la mayoría de las herramientas de IA de nivel consumidor, no lo estará — la política simplemente debería prohibir ingresar información personal, confidencial o de propiedad exclusiva en esa herramienta. Las firmas que manejan bien esto no intentan vigilar cada interacción individual; mantienen una lista de herramientas aprobadas y un proceso ligero para que el personal solicite agregar nuevas, tratando la gobernanza de IA como una decisión de toda la firma y no de una persona individual.
Los Errores Que las Firmas Siguen Cometiendo
Un puñado de patrones aparece una y otra vez en la forma en que las firmas pequeñas tropiezan con el riesgo de la IA, y ninguno requiere intención maliciosa — solo la ausencia de una política.
Tratar "no hemos implementado la IA" como una protección. Una firma puede tener cero herramientas de IA en su pila tecnológica oficial y aun así tener a todo su personal usando una cuenta personal de ChatGPT en el teléfono durante horas de trabajo. Las brechas de política no esperan la adopción oficial; existen desde el momento en que un empleado tiene acceso a internet y una fecha límite.
Suponer que los niveles gratuitos y de pago se comportan igual. Muchas herramientas de IA de consumo usan las conversaciones del nivel gratuito para entrenar sus modelos subyacentes por defecto, mientras que los niveles de pago o empresariales suelen incluir protecciones contractuales de datos. Un empleado que se registra en una cuenta gratuita para ahorrar tiempo frecuentemente termina incorporando los datos de clientes de la firma a un flujo de entrenamiento sin darse cuenta. Precisamente por eso las cuatro preguntas de manejo de datos mencionadas antes — almacenamiento, acceso, desidentificación, uso para entrenamiento — deben responderse por cada herramienta, no asumirse una vez y olvidarse.
Dejar que "sonaba correcto" sustituya la verificación. Las citas fiscales, referencias a secciones de código y resúmenes técnicos generados por IA pueden ser fluidos y estar completamente equivocados. Un empleado bajo presión de fecha límite es la persona con más probabilidades de saltarse el paso de verificación — precisamente por eso la política necesita establecer el requisito de revisión humana como una regla, no como una sugerencia librada al juicio individual.
Ningún registro de qué se preguntó o se revisó. Incluso las firmas que aciertan en el fondo suelen omitir la documentación. Si un cliente o un regulador pregunta más tarde cómo se produjo una cifra o recomendación en particular, "usamos IA para ayudar" no es una respuesta sin un registro del mensaje, el resultado y quién lo aprobó.
Una Lista de Verificación Inicial para una Política de Dos Páginas
No necesita asesoría legal externa para redactar una primera versión. Una política funcional para una firma pequeña puede caber en una o dos páginas y cubrir:
- Una lista de herramientas aprobadas — nombre los productos de IA específicos que el personal puede usar para el trabajo con clientes, y un proceso sencillo (aunque sea solo "pregúntele al socio") para solicitar nuevas.
- Una regla de manejo de datos — ninguna información personal, confidencial o de propiedad exclusiva del cliente se ingresa en ninguna herramienta que no esté en la lista aprobada.
- Un requisito de revisión humana — ningún resultado de IA se usa para finalizar trabajo, entregables o asesoría a clientes sin la revisión de un miembro del personal calificado, registrada en el expediente.
- Una regla de verificación de citas — cualquier referencia generada por IA a una sección de código, regulación o norma debe verificarse contra la fuente primaria antes de citarse a un cliente o usarse en una presentación.
- Un hábito de documentación — dónde registra el personal el trabajo asistido por IA (un campo en el sistema de gestión de la práctica, una nota en el expediente del encargo — cualquier cosa duradera y consultable).
- Una nota de transparencia con el cliente — una línea en lenguaje sencillo dentro de las cartas de encargo que describa que la firma puede usar herramientas de IA como parte de la prestación del servicio, sujeta a las salvaguardas anteriores.
Nada de esto requiere una renovación tecnológica. Requiere decidir, por escrito, lo que la firma ya asume de manera informal — y asegurarse de que todo el personal parta de los mismos supuestos.
Las Firmas Pequeñas Cargan Más de Este Riesgo, No Menos
Es tentador suponer que la gobernanza de IA es "un problema de firmas grandes" — algo para prácticas nacionales con oficiales de riesgo dedicados. Lo contrario está más cerca de la verdad. Las firmas más pequeñas típicamente carecen de una función de cumplimiento, dependen más de herramientas de IA de consumo de propósito general en lugar de productos empresariales validados, y tienen menos redundancia si el atajo de un empleado se convierte en un evento de responsabilidad. Una firma de dos socios sin una política de IA por escrito depende por completo de hábitos informales para proteger la confidencialidad del cliente — y los hábitos informales no resisten bien cuando un cliente pregunta, durante un encargo, exactamente cómo se manejaron sus datos.
La solución no requiere un equipo legal. Una política de una a dos páginas que nombre las herramientas aprobadas, establezca el requisito de revisión humana en lenguaje sencillo y le diga al personal dónde registrar el trabajo asistido por IA cubre la mayor parte de la exposición. Los bloques anteriores son una lista de verificación inicial razonable; lo que más importa es que exista algo por escrito antes de que el próximo empleado recurra a un chatbot en un asunto de un cliente.
Dónde Encaja el Registro Financiero en Todo Esto
La gobernanza de IA y el registro financiero están resolviendo el mismo problema subyacente: garantizar que exista un rastro claro y revisable detrás de cada cifra y cada decisión. Una firma que no puede mostrar cómo se verificó una respuesta asistida por IA tiene la misma brecha que un negocio que no puede mostrar cómo se categorizó una transacción — ambos casos se reducen a si el rastro existe y si un humano realmente lo revisó.
Ese es el mismo principio detrás de la contabilidad en texto plano. Beancount.io mantiene sus registros financieros como texto legible por humanos y controlado por versiones, en lugar de entradas opacas en una base de datos — cada cambio tiene un historial visible, y nada ocurre en una caja negra. Para una profesión cada vez más preocupada por la explicabilidad, ese tipo de transparencia no es un lujo. Comience gratis y vea cómo un libro contable completamente auditable encaja en una firma que se toma en serio la documentación.