Riesgos de la inteligencia artificial para contadores: confidencialidad, alucinaciones y responsabilidad profesional

TL;DR: Los riesgos de la IA que de verdad tocan la práctica contable no son los de las películas. Son cinco: la fuga de información confidencial de los clientes, las alucinaciones (respuestas falsas con apariencia correcta, sobre todo en normas y cifras), la dilución de una responsabilidad que la Ley 43 de 1990 mantiene íntegra en cabeza del contador, el fraude potenciado por suplantaciones y phishing, y la dependencia que atrofia el criterio. Los cinco se pueden mitigar con lo que la profesión sabe hacer hace décadas: clasificar información, verificar contra la fuente, documentar la revisión y conservar el escepticismo.

Llevo años enseñando a contadores, auditores y financieros a usar IA, y por eso mismo escribo este artículo. Los riesgos de la inteligencia artificial son el tema que casi nadie desarrolla porque no vende, y quien le entrega la herramienta sin explicarle dónde se rompe no lo está formando: lo está mercadeando. Mi posición, como contador público, auditor y docente, es la misma en el aula y ante un comité de auditoría: esta tecnología es la mejor inversión de productividad que usted puede hacer en su carrera, y también puede ser el peor error de su ejercicio profesional si la usa sin controles. Las dos afirmaciones son ciertas a la vez. Veamos cómo quedarse con la primera.

Una aclaración de alcance antes de empezar. No voy a hablar de riesgos existenciales, de armas autónomas ni de si la inteligencia general superará a la inteligencia humana. Ese debate existe y es legítimo, pero no es el que le va a costar a usted la tarjeta profesional. Aquí hablamos de los riesgos de la IA que aparecen un martes cualquiera en su despacho, con un cliente real y una declaración por firmar.

¿Cuáles son los riesgos de la inteligencia artificial que afectan a un contador?

Cuando alguien pregunta cuáles son los riesgos de la IA, la respuesta genérica —sesgo, privacidad, desinformación, empleo— es correcta pero inútil, porque no dice qué hacer el lunes. Prefiero ordenar los principales riesgos según dónde se materializan en el flujo de trabajo contable: al cargar información, al recibir una respuesta, al firmar, al operar la firma y al formar al equipo. Esta es la tabla que uso con mis equipos y con mis alumnos:

Fíjese en la última columna: ninguno de los controles es tecnológico. Son controles de proceso, y casi todos ya existían en un buen sistema de control interno antes de que apareciera el primer modelo generativo. Eso es la buena noticia de este artículo.

¿Qué es lo más peligroso de la inteligencia artificial en el trabajo contable?

Si tengo que escoger uno, no es la alucinación: es el sesgo de automatización, la tendencia a favorecer lo que produce la máquina aunque haya información contradictoria a la vista. El Código Internacional de Ética del IESBA lo nombra de forma expresa entre las amenazas al juicio profesional, y sus revisiones relacionadas con tecnología, vigentes desde el 15 de diciembre de 2024, refuerzan el deber de aplicar criterio antes de usar lo que produce la herramienta. Y tiene sentido: una alucinación aislada se detecta con una verificación; la confianza automática es lo que hace que usted deje de verificar.

Lo veo en la práctica con una frecuencia incómoda. Un profesional experimentado recibe un análisis de indicadores bien redactado, con tablas limpias y conclusiones seguras, y la calidad de la presentación desactiva el escepticismo que aplicaría a un borrador de su auxiliar. El peligro no es que la IA se equivoque —los humanos también—, es que se equivoca sin dudar. Un auxiliar inseguro le pregunta; un modelo alucinando le responde con aplomo de doctor.

Por eso mi regla número uno no es «desconfíe de la IA» sino «trate cada salida como el borrador de alguien brillante, rápido y sin responsabilidad». Es la misma actitud que usted aplica al trabajo de un practicante, y funciona.

¿Cómo se filtra la información confidencial de sus clientes?

Empecemos por lo jurídico, porque aquí el riesgo tiene nombre y artículo. El artículo 63 de la Ley 43 de 1990 obliga al contador público a guardar la reserva profesional sobre todo lo que conozca en razón de su ejercicio, y el artículo 64 declara que las evidencias de su trabajo son documentos privados sometidos a reserva. A eso se suma la Ley 1581 de 2012, que regula el tratamiento de datos personales, y la Circular Externa 002 del 21 de agosto de 2024 de la Superintendencia de Industria y Comercio, que fijó lineamientos para el tratamiento de datos personales en sistemas de inteligencia artificial bajo criterios de idoneidad, necesidad, razonabilidad y proporcionalidad. Conviene subrayar lo obvio: la IA no crea una excepción al régimen de datos personales, crea un escenario más de aplicación.

Cargar información identificable de un cliente a una herramienta de IA es, en la práctica, entregar datos a un tercero. La pregunta obligatoria es bajo qué condiciones ese tercero los trata, y la respuesta cambia radicalmente según el plan contratado:

• Cuentas gratuitas o personales: en varias plataformas las conversaciones pueden emplearse para entrenar modelos, según la configuración y las políticas del proveedor. Lea la política de datos y revise las opciones de privacidad antes de usarlas con información real.
• Planes empresariales: suelen incluir compromisos de no entrenamiento con sus datos, retención limitada y controles de acceso. Es el mínimo razonable para trabajar con información de clientes.
• Herramientas incorporadas en el ERP o la suite ofimática que ya usa: la vía de menor fricción y la que mejor resuelve la privacidad de los datos, siempre que el contrato con el proveedor lo respalde.

Mi protocolo, el que enseño y aplico, cabe en cuatro pasos:

1. Clasifique antes de cargar. Tres niveles: público (normas, plantillas), interno (procesos sin datos de terceros) y confidencial (todo lo identificable de clientes y empleados).
2. Anonimice lo confidencial. Reemplace razones sociales por «Cliente A», NIT por códigos y nombres por consecutivos. Para la mayoría de los análisis, el modelo no necesita saber quién es quién.
3. Use planes empresariales para lo que no pueda anonimizar. Y aun así, cargue solo lo necesario: los conjuntos de datos completos rara vez son indispensables.
4. Pacte con el cliente. Una cláusula en la carta de encargo sobre el uso de herramientas de procesamiento con revisión profesional protege a las dos partes.

Si su firma maneja volúmenes grandes de información financiera, el problema deja de ser individual y pasa a ser de gobierno de datos: quién accede a qué, con qué herramienta y bajo qué registro. Lo desarrollé con detalle en la guía sobre gobernanza de datos financieros para proyectos de IA, que es el paso previo que casi todos se saltan.

¿Qué son las alucinaciones y por qué son tan peligrosas en contabilidad?

Una alucinación es una respuesta generada por un modelo de IA que es incorrecta o inventada, pero presentada con la misma fluidez que una respuesta correcta. Los modelos de lenguaje no consultan una base de datos normativa: predicen la secuencia de palabras más probable, y una cita con formato de norma es una secuencia muy probable aunque el contenido sea falso. En el ámbito contable y tributario, las alucinaciones más frecuentes son cuatro:

1. Números de artículos y normas. El artículo existe, pero dice otra cosa; o directamente no existe. He visto citar resoluciones de la DIAN que nunca se expidieron.
2. Valores que cambian cada año. UVT, salario mínimo, sanción mínima, topes de exógena: entréguelos usted en el prompt, nunca los asuma.
3. Jurisprudencia y conceptos. Sentencias y oficios inventados suenan perfectamente reales, con número, fecha y magistrado ponente.
4. Cálculos largos. Los modelos pueden fallar en aritmética de varios pasos; pida siempre el procedimiento y recalcule lo importante en hoja de cálculo.

Los controles antialucinación, en orden de eficacia: verificación contra la fuente oficial de toda cita normativa; prompts con permiso de duda («si no está seguro, dígalo en lugar de completar»); recálculo cruzado de cualquier cifra relevante; y la regla de la firma, que no admite excepciones: nada que lleve su nombre sale sin verificación línea por línea. Para consultas recurrentes sobre normas y conceptos, trabajar con las fuentes cargadas por usted reduce mucho el riesgo, como expliqué en la guía de NotebookLM para analizar normas y conceptos de la DIAN: la respuesta cita el documento exacto que usted subió, no lo que el modelo recuerda.

Prompt 1 — Instrucción antialucinación de base (úsela en toda conversación técnica):

Instrucciones permanentes para esta conversación. Soy contador público en Colombia.
1) Cuando cite normas, artículos, conceptos o sentencias, indique su nivel de certeza y adviértame que debo verificar en la fuente oficial.
2) Nunca invente números de artículos, resoluciones, sentencias ni conceptos; si no lo sabe con certeza, dígalo de forma explícita.
3) Los valores tributarios anuales (UVT, salario mínimo, topes, tarifas) no los asuma: pídamelos antes de calcular.
4) En todo cálculo, muestre el procedimiento paso a paso y los supuestos usados.
5) Al final de cada respuesta técnica, liste los puntos que requieren mi verificación profesional antes de usarse.

¿Quién responde si la IA se equivoca?

Usted. Este es el punto que zanja todas las discusiones. El artículo 10 de la Ley 43 de 1990 establece que la atestación o firma del contador público hace presumir que el acto se ajusta a los requisitos legales: la fe pública está en su firma, no en la herramienta. El artículo 45 le prohíbe exponer al usuario de sus servicios a riesgos injustificados, y el artículo 23 faculta a la Junta Central de Contadores para imponer amonestaciones, multas, suspensión y cancelación de la inscripción. Ninguno de esos artículos tiene una excepción tecnológica.

El Consejo Técnico de la Contaduría Pública lo confirmó en el concepto 2026-0209 del 30 de julio de 2026, al responder a un revisor fiscal: no existe una norma que prohíba ni que autorice expresamente el uso de inteligencia artificial en el ejercicio profesional, y su empleo no sustituye el juicio profesional ni traslada a la herramienta la responsabilidad que las normas atribuyen al contador. Analicé ese pronunciamiento, concepto por concepto, en qué dice la norma colombiana sobre la inteligencia artificial en la contabilidad. La conclusión práctica es una sola: «lo calculó la IA» tiene exactamente el mismo valor de defensa que «lo calculó mi practicante». Ninguno.

Esto no es una razón para renunciar al beneficio de la IA. Es la razón para usarla como usa a su equipo: delegando ejecución, nunca delegando revisión ni responsabilidad. Y hay una forma de convertir ese principio en un control concreto: usar la IA en su contra antes de que alguien más lo haga.

Prompt 2 — Revisión adversarial de su propio trabajo:

Actúe como un revisor fiscal escéptico y minucioso, con experiencia en fiscalizaciones de la DIAN.
Le entrego [este documento / este cálculo / esta declaración en borrador].
Su única misión es encontrar errores, inconsistencias, omisiones y riesgos: cifras que no cruzan,
criterios discutibles, ausencias de soporte, posibles incumplimientos normativos.
No me felicite ni suavice: liste todo lo cuestionable, ordenado por severidad,
con la pregunta exacta que me haría un fiscalizador sobre cada punto y la evidencia que debería tener lista.

Ese prompt es mi favorito de todo el artículo. Es control de calidad adversarial, gratis y disponible a las once de la noche del día antes de la presentación.

¿Qué riesgos de ciberseguridad trae la IA a una firma contable?

Este bloque no estaba en la conversación hace tres años y hoy es obligatorio. La IA no solo produce riesgos cuando usted la usa: también los produce cuando la usa el delincuente. Los ciberataques contra firmas contables y áreas financieras han cambiado de calidad, no de cantidad:

• Phishing sin errores de ortografía. El correo del «proveedor» que cambia la cuenta bancaria ya no se detecta por la redacción torpe. Está escrito con IA, en el tono exacto del remitente real.
• Deepfakes de voz y video. Una llamada con la voz clonada del gerente pidiendo una transferencia urgente es hoy técnicamente trivial. La desinformación dirigida a una sola persona —usted, el tesorero— es más rentable que la desinformación masiva.
• Fuga por herramientas no autorizadas. El empleado que instala una extensión «gratuita» de IA en el navegador que lee todo lo que aparece en pantalla, incluido el portal bancario.
• Sistemas de IA vulnerables. Los propios sistemas de IA pueden ser manipulados con instrucciones ocultas en un documento (una factura PDF con texto invisible que le dice al agente qué hacer). Si usted ya usa agentes de IA para tareas contables, este riesgo es suyo, no teórico.

Las medidas de seguridad que funcionan son las de siempre, aplicadas con más disciplina: doble aprobación para cambios de cuentas bancarias y pagos fuera de lo habitual, verificación por un canal distinto de cualquier instrucción de pago urgente (usted llama al número que ya tenía, no al que aparece en el correo), inventario de herramientas de IA autorizadas y bloqueo del resto, y capacitación con ejemplos reales. Para mitigar el riesgo de fraude no hace falta tecnología sofisticada: un deepfake no vence a un procedimiento que exige dos firmas.

¿Cuáles son los riesgos éticos: sesgo, opacidad y dependencia?

Hay riesgos que no producen una sanción inmediata pero erosionan la calidad del ejercicio. Los tres que más me preocupan:

Sesgo del algoritmo

Un modelo de aprendizaje automático entrenado con el histórico de la empresa reproduce lo que ese histórico contenía: si durante años se clasificó mal una partida, el algoritmo aprenderá a clasificarla mal con eficiencia. Y si un modelo de riesgo crediticio castiga a cierto tipo de cliente por variables que nadie revisó, el error tiene consecuencias comerciales y legales. La regla es simple: si no puede explicar por qué el sistema decidió algo, no puede sustentar esa decisión ante un tercero. Quien deba dar aseguramiento sobre estos sistemas encontrará un método en cómo auditar sistemas de inteligencia artificial.

Opacidad y trazabilidad

Un papel de trabajo que dice «análisis realizado con IA» sin la instrucción, la población procesada y la verificación aplicada no es evidencia, por bien redactado que esté. Las normas de aseguramiento exigen documentación que permita a un auditor experimentado sin conexión previa con el encargo entender lo que se hizo; una salida de IA sin contexto no supera esa prueba.

Dependencia y atrofia del criterio

Si un profesional junior nunca hace una conciliación a mano, ¿cómo sabrá detectar cuándo la herramienta la hace mal? La supervisión requiere saber hacer lo que se supervisa. Mi postura como docente: la IA acelera al que sabe y desnuda al que no. Por eso en la formación de equipos aplico la regla «primero a mano, luego con IA»: el concepto se aprende manualmente una vez; la ejecución se automatiza después. El orden importa.

¿La IA reemplazará al contador? El riesgo para el empleo, sin dramatismo

La pregunta está mal planteada, pero el riesgo detrás de ella es real. Lo que está ocurriendo no es la desaparición del contador sino el desplazamiento del valor: el mercado deja de pagar por digitar, cruzar y transcribir, y empieza a pagar por interpretar, asegurar y concluir. Quien factura por registrar tiene un problema de modelo de negocio; quien factura por criterio tiene una oportunidad.

El riesgo para el empleo, entonces, no es genérico: es individual y depende de dónde esté usted parado. El profesional que domina la automatización de lo repetitivo y conserva el criterio para lo que no se automatiza es más valioso que hace cinco años. El que compite en precio por tareas que un flujo automatizado hace en minutos, no. Y hay un argumento normativo, no solo de mercado: mientras la responsabilidad recaiga en una persona con tarjeta profesional, siempre habrá alguien que deba responder con su nombre, y ese alguien no puede ser un modelo estadístico.

¿Qué marco regulatorio existe para la IA en Colombia y en el mundo?

La regulación de la IA avanza por dos vías: normas generales que ya aplican a nuestro trabajo aunque no mencionen la palabra «algoritmo», y marcos voluntarios que sirven para organizar la gestión de riesgos. Esta es la foto a septiembre de 2026, sin proyectos ni promesas:

Dos advertencias. Primera: en Colombia no hay hoy una ley específica de inteligencia artificial vigente; los proyectos en el Congreso no crean obligaciones mientras no sean ley, y citarlos como si lo fueran es un error que he visto en más de una presentación. Segunda: el estándar ISO/IEC 42001 es una referencia excelente para estructurar la gobernanza, pero una firma de tres personas no necesita certificarse; necesita una política de una página y cumplirla.

¿Cómo hacer una evaluación de riesgos de IA en su práctica?

La gestión de riesgos de IA no exige un comité ni un consultor. Exige que usted aplique a la herramienta el mismo método que aplica a cualquier otro riesgo de control interno: identificar, valorar, tratar, documentar y revisar. Mi versión mínima, pensada para una firma pequeña o un departamento contable, tiene cinco pasos:

1. Inventario. Liste las herramientas de IA que su equipo usa de verdad, incluidas las gratuitas que nadie autorizó. Suele ser el paso más revelador.
2. Mapa de datos. Para cada herramienta, qué información entra, de quién es y bajo qué contrato se trata.
3. Valoración. Probabilidad e impacto de cada uno de los diez riesgos de la primera tabla, en su contexto concreto. No es lo mismo un despacho tributario que un área de tesorería.
4. Controles. Un control por riesgo alto, asignado a una persona, con evidencia de que se ejecuta.
5. Revisión periódica. Cada semestre, porque las herramientas y sus términos cambian más rápido que su política.

Si su firma automatiza flujos completos, el inventario debe incluir cada automatización: un flujo que mueve datos entre el correo, la hoja de cálculo y el ERP es también un sistema de IA a efectos de este análisis, como muestro en la guía para automatizar procesos contables sin programar.

Todo lo anterior cabe en una política escrita de una página. Estos dos prompts la producen en minutos; su trabajo es corregirla y firmarla.

Prompt 3 — Genere su política de uso de IA:

Ayúdeme a redactar la política de uso de inteligencia artificial de mi práctica contable en Colombia (máximo una página).
Debe cubrir: 1) herramientas autorizadas y tipo de plan requerido; 2) clasificación de la información en pública, interna y confidencial, y qué puede cargarse en cada nivel;
3) regla de anonimización de datos de clientes y empleados; 4) verificación obligatoria: citas normativas contra fuente oficial y cálculos con procedimiento visible;
5) regla de responsabilidad: toda salida de IA es borrador hasta la revisión del profesional responsable; 6) registro: prompts y salidas relevantes se archivan como papeles de trabajo;
7) seguridad: doble aprobación para pagos y cambios de cuentas bancarias, y verificación por canal distinto ante instrucciones urgentes.
Contexto: [tamaño del equipo, tipo de clientes, herramientas actuales]. Redacte en lenguaje claro, sin jerga tecnológica.

Prompt 4 — Cláusula para la carta de encargo:

Redacte una cláusula profesional para incluir en mis cartas de encargo o contratos de servicios contables en Colombia,
informando al cliente que utilizo herramientas de inteligencia artificial como apoyo en el procesamiento y análisis de información,
en entornos con garantías contractuales de confidencialidad, con revisión profesional de todos los resultados
y manteniendo íntegramente mi responsabilidad profesional conforme a la Ley 43 de 1990.
Tono: transparente y generador de confianza, no defensivo. Máximo 120 palabras. Aclare que debe ser validada por un abogado.

Preguntas frecuentes sobre los riesgos de la IA en contabilidad

¿Cuáles son las desventajas de la inteligencia artificial frente a un profesional?

Tres, y ninguna se resuelve con un modelo más grande: no responde con su nombre, no sabe cuándo no sabe y no conoce el contexto que no le dieron. Las ventajas —velocidad, volumen, disponibilidad— son reales, pero se aprovechan solo cuando alguien con criterio supervisa el resultado.

¿Debo contarles a mis clientes que uso IA en su contabilidad?

Mi posición: sí, mediante una cláusula en la carta de encargo. Primero, porque el tratamiento de sus datos con herramientas de terceros le concierne. Segundo, porque un cliente informado que aceptó las condiciones no puede alegar después desconocimiento. Tercero, porque comunicado correctamente —«procesos automatizados con revisión profesional»— el uso de IA es señal de método, no de descuido. Lo que daña la confianza no es usar IA: es que el cliente lo descubra por un error.

¿Existe alguna norma que prohíba a los contadores usar IA en Colombia?

No. Lo que existe es el marco de siempre aplicado a una herramienta nueva: la Ley 43 de 1990, la Ley 1581 de 2012, el Código de Ética del IESBA y las normas de aseguramiento cuando actúa como revisor fiscal o auditor. La IA es lícita como apoyo; la responsabilidad por el producto final es indelegable.

¿Cómo verifico rápido si una cita normativa de la IA es real?

Protocolo de sesenta segundos: tome el número de artículo o de concepto y búsquelo en la fuente oficial (la DIAN para conceptos tributarios, el CTCP para conceptos contables, el sitio de la Secretaría del Senado para leyes). Lea el texto completo, no confirme solo que existe: el error más frecuente no es el artículo inventado sino el artículo real citado para algo que no dice.

¿Puedo usar IA para preparar una declaración tributaria?

Puede usarla para apoyar el cálculo, el cruce de información y el diligenciamiento. La declaración la firma un contador público que responde por ella, así que el recálculo de las cifras relevantes y la verificación de los parámetros del año son obligatorios, no opcionales.

¿Qué hago si ya cometí un error por confiar en la IA sin verificar?

Lo mismo que con cualquier error profesional, porque eso es: determine el alcance, corrija por los canales formales (declaración de corrección, reexpedición del documento, comunicación al cliente), documente la causa y ajuste el control que falló. Justificarlo con la herramienta agrava el escenario disciplinario. Y convierta el error en una regla nueva de su política: así construyen control interno las firmas serias, con las cicatrices bien archivadas.

¿Vale la pena certificarse en ISO/IEC 42001 siendo una firma pequeña?

Como certificación, casi nunca. Como lista de verificación para diseñar su gobernanza, sí: el estándar cubre inventario de sistemas, evaluación de impacto, gestión de proveedores y ciclo de vida, que son exactamente los frentes donde una firma pequeña improvisa.

Lo que hay que llevarse de todo esto

Los riesgos de la IA no se gestionan absteniéndose de usarla —eso solo garantiza quedarse atrás—, se gestionan con lo que siempre nos ha definido como profesión: control interno, escepticismo y evidencia. La confidencialidad se protege clasificando y anonimizando; las alucinaciones se neutralizan verificando contra la fuente; la responsabilidad se honra revisando y documentando; el fraude se frena con dos firmas y una llamada; la dependencia se evita formando primero y automatizando después. Resulta que las competencias del buen contador son exactamente las competencias del buen usuario de IA. No es coincidencia: es ventaja competitiva.

Casi todos estos riesgos se administran con método, y el método se aprende. Si va a invertir en formación, revise primero que el programa enseñe a verificar lo que la IA responde: es el criterio número uno de la rúbrica para elegir un curso de IA para contadores que publiqué aquí.

Los profesionales que dominan estas herramientas ahorran más de 10 horas semanales

No se trata de reemplazar su criterio profesional, sino de potenciarlo con método, controles y evidencia documentada. En el Programa Ejecutivo en IA para la Contaduría enseño paso a paso cómo integrar la IA en el flujo de trabajo diario con resultados medibles.

👉 Ver programa completo · Conozca también los tres programas ejecutivos de IA Contable.

📲 Escríbame por WhatsApp y le cuento cómo funciona.

Autor: Francisco Moreno Díaz — CP · MBA · MBAN · CAIO
Publicado en: IA Contable