I. Introducción

La incorporación de herramientas de inteligencia artificial (“IA”) a la actividad empresarial está modificando el Compliance. La posibilidad de procesar grandes volúmenes de información, identificar operaciones inusuales, relacionar datos dispersos, clasificar denuncias y detectar patrones de comportamiento mejorará significativamente la prevención en las organizaciones. En estructuras empresariales complejas, estas herramientas permitirán superar algunas de las limitaciones de los sistemas de control basados en revisiones manuales, muestras reducidas o actuaciones extemporáneas frente a una irregularidad.

Sin embargo, la misma tecnología que mejora la capacidad de detección introduce riesgos jurídicos, operativos y reputacionales debido a que un sistema puede producir resultados incorrectos, omitir hechos relevantes, reproducir sesgos contenidos en los datos, procesar información para fines no autorizados o inducir a sus usuarios a aceptar conclusiones automatizadas sin una revisión previa. La apariencia de precisión tecnológica puede ocultar deficiencias en la información utilizada, en la metodología o en los criterios de clasificación. En base a ello nos preguntamos en qué condiciones puede contribuir la IA a mejorar la eficacia del Compliance y cual es el impacto en la responsabilidad de los administradores y órganos de gobierno de una organización.

La División Criminal del Departamento de Justicia de los Estados Unidos (en adelante, “DOJ”) mediante su documento Evaluation of Corporate Compliance Programs (“ECCP”) estableció una guía sobre la utilización de inteligencia artificial y otras tecnologías, tanto con relación a la actividad de las empresas como en sus sistemas de Compliance. El ECCP tiene por finalidad orientar a los fiscales estadounidenses cuando deben evaluar la calidad y efectividad de un Programa de Integridad en el marco de una investigación penal, en la valoración de una imputación, la celebración de un acuerdo, la determinación de una sanción o al establecer mecanismos de supervisión. Su metodología es útil como referencia comparativa, ya que ésta guía permite observar cómo una autoridad de aplicación procura distinguir entre un Programa de Integridad formal y su funcionamiento efectivo.

Podemos considerar que esa misma distinción se encuentra implícita en la Ley 27.401, que exige que los Programas de Integridad resulten adecuados a los riesgos propios de la organización, y contempla su monitoreo y evaluación continua, como analizaremos más adelante.

En efecto, la IA puede contribuir a transformar al Programa de Integridad en un sistema más dinámico, el cual debe ser sometido al gobierno, controles, trazabilidad y responsabilidad humana, pero entendiendo que la tecnología asiste al Compliance, ya que no puede sustituirlo ni convertirse en una fuente autónoma de decisiones sin un responsable que las asuma.

II. El Programa de Integridad como sistema de prevención, detección y corrección

La Ley 27.401 define al Programa de Integridad como el conjunto de acciones, mecanismos y procedimientos internos de promoción de la integridad, supervisión y control orientados a prevenir, detectar y corregir irregularidades y actos ilícitos comprendidos en la norma.

La utilización de los verbos “prevenir”, “detectar” y “corregir” permite advertir que el legislador no concibió al programa como una mera recopilación de políticas y documentos. La prevención es esencial, pero requiere que un sistema adecuado esté en condiciones de identificar aquello que los controles preventivos no lograron evitar, y de promover una respuesta institucional frente a la irregularidad.

En efecto, el artículo 23 de la Ley 27.401 contempla ciertos elementos relevantes para la efectividad del sistema: el análisis periódico de riesgos, la adaptación del programa, los canales internos de denuncia, la protección de denunciantes, las investigaciones internas, la debida diligencia respecto de terceros y el monitoreo y evaluación continua de su efectividad.

Los Lineamientos de Integridad aprobados por la Oficina Anticorrupción mediante la Resolución 27/2018 y sus modificaciones, adoptan una metodología siguiendo ese criterio dinámico, que exige que cada persona jurídica desarrolle un programa de integridad adecuado a su dimensión, capacidad económica, actividad y riesgos específicos.

La adecuación del programa no depende del número de documentos elaborados ni de la sofisticación de sus procedimientos, ya que una organización puede contar con un código de conducta, un canal de denuncias, procedimientos de debida diligencia y protocolos de investigación y, sin embargo, carecer de capacidad real para prevenir o reaccionar frente a una irregularidad. En efecto, el canal de denuncias puede existir y no ser conocido por los empleados, la debida diligencia puede encontrarse formalmente prevista y no ser actualizada durante la relación con el tercero, y la investigación interna puede estar regulada y, al mismo tiempo, carecer de independencia, recursos o mecanismos adecuados de preservación de evidencia. Los controles pueden estar correctamente descriptos y no aplicarse cuando interfieren con intereses comerciales o involucran a personas de elevada jerarquía. Por ello, consideramos que la efectividad se demuestra a través de evidencia objetiva acerca de su funcionamiento.

En ese contexto, el verdadero valor de la IA reside en la posibilidad de ampliar la capacidad de la organización para identificar riesgos, monitorear controles, relacionar información y documentar el modo en que actuó frente a una señal de alerta.

III. La evaluación de la efectividad en el ECCP del DOJ

El ECCP analiza la adecuación y efectividad de un Programa de Integridad tanto al momento de comisión del delito o infracción, como al momento de la decisión judicial, y asimismo evalúa los esfuerzos de la empresa por remediar tal incumplimiento mediante la implementación de un Programa de Integridad adecuado y efectivo, o bien por mejorar el existente. Sin perjuicio de reconocer el que análisis de cada empresa en materia de Compliance debe hacerse en forma individual, adecuada a cada caso, sin prever una fórmula única, esta guia organiza el análisis de los programas corporativos alrededor de tres preguntas fundamentales:i) si el programa se encuentra bien diseñado; ii) si fue implementado efectivamente con recursos y respaldo suficientes; y  iii) si funciona adecuadamente.

La distinción entre estos tres aspectos es relevante, ya que un programa puede ser técnicamente bien diseñado y haber sido deficientemente implementado. Del mismo modo, puede contar con políticas, recursos y procedimientos adecuados y fracasar porque las alertas no son analizadas, la información no llega a quienes toman las decisiones o los incumplimientos no generan consecuencias.

La evaluación según el ECCP debe atender a la dimensión de la compañía, la naturaleza de su actividad, su presencia geográfica, el marco regulatorio aplicable, la estructura organizacional y su perfil particular de riesgos. El principio rector consiste en determinar si la respuesta de la empresa resulta razonable y proporcionada frente a las contingencias relacionadas con su actividad, así como la periodicidad con que se realizan las revisiones a la matriz de riesgos.

Desde esta perspectiva, en la evaluación de riesgos interesa establecer qué metodología utiliza la organización, qué información incorpora, qué áreas participan, cómo se priorizan los riesgos y de qué manera sus conclusiones se traducen en controles, recursos y procedimientos. En efecto, un programa razonable debe evolucionar frente a cambios en la actividad, la apertura de nuevos mercados, la adquisición de sociedades, la contratación de intermediarios, la modificación del marco regulatorio o la adopción de nuevas tecnologías. En este sentido, la guía plantea la necesidad de determinar si la empresa ha detectado y valorado su riesgo frente al uso de las nuevas tecnologías y la IA, si funciona integradamente en la empresa la administración de tales riesgos, si se han valorado las consecuencias negativas de su uso, cómo se manejan sus controles a fin de garantizar confiabilidad y un uso adecuado en cumplimiento con la normativa aplicable y para los fines para los que fue creado, y cómo se controla. También es relevante conocer de qué manera se capacita al personal en el uso de la IA.

En efecto, las políticas y procedimientos deben surgir de los riesgos identificados e integrarse a los procesos operativos, por ello no basta con que se encuentren correctamente redactados. Debe poder determinarse cómo fueron elaborados, quiénes participaron, cómo fueron comunicados, quién es responsable de aplicarlos, cómo se autorizan las excepciones y qué controles permiten verificar su cumplimiento.

El mismo criterio se aplica sobre las capacitaciones, cuya eficacia no se mide exclusivamente por la cantidad de personas asistentes, sino que es necesario determinar si los contenidos fueron adaptados a las funciones y riesgos de quienes los recibieron, si existieron mecanismos de consulta, si se evaluó la comprensión y si la formación produjo modificaciones en la conducta de los miembros de la organización.

El canal de denuncias también debe ser examinado desde una perspectiva funcional. Su existencia formal no permite saber si es accesible, conocido y confiable; si existe protección frente a represalias; si las denuncias son clasificadas según su gravedad; si las investigaciones son independientes y oportunas; o si los resultados producen decisiones y medidas correctivas.

El Programa de Integridad requiere recursos, autoridad y respaldo institucional, ya que el Área de Compliance debe tener acceso a información, presupuesto, personal capacitado y canales de reporte adecuados. La dirección y el órgano de administración deben respaldar sus decisiones aun cuando éstas puedan interferir con intereses comerciales.

El criterio general del ECCP podemos resumirlo en que la eficacia del Compliance debe surgir de la forma en que la organización toma decisiones, distribuye responsabilidades y reacciona frente a los riesgos, y no únicamente del contenido de sus documentos internos.

IV. La Inteligencia Artificial como riesgo y como herramienta de cumplimiento

Consideramos que la IA se vincula con el Programa de Integridad en dos planos diferentes:

En primer lugar, constituye una fuente de nuevos riesgos empresariales, ya que las organizaciones pueden utilizar sistemas automatizados para evaluar clientes, seleccionar proveedores, contratar empleados, fijar precios, procesar datos, elaborar documentos, clasificar operaciones o recomendar decisiones. Cada uno de esos usos puede generar consecuencias jurídicas distintas. Un sistema puede utilizar información inexacta, confidencial o procesada sin una base jurídica suficiente. Puede generar resultados discriminatorios, afectar derechos de terceros, producir recomendaciones incorrectas o ser utilizado para una finalidad distinta de aquella para la cual había sido autorizado.

La primera exigencia de una gobernanza adecuada consiste, entonces, en conocer qué sistemas son utilizados dentro de la organización. Una empresa difícilmente pueda administrar el riesgo tecnológico si no se encuentra en condiciones de identificar qué herramientas utiliza, quién las adquirió o desarrolló, qué datos procesan, qué decisiones apoyan, qué proveedores intervienen, qué áreas resultan responsables y cuál es el grado de intervención humana.

En segundo lugar, la IA puede constituirse en una herramienta del propio Programa de Integridad, ya que puede ser empleada para analizar transacciones, detectar anomalías, identificar relaciones entre proveedores y empleados, clasificar denuncias, efectuar controles sobre terceros, examinar patrones, priorizar operaciones para auditoría o fortalecer el monitoreo de los procedimientos internos.

La posibilidad de procesar información a una escala superior a la capacidad humana puede aumentar sustancialmente la sensibilidad del sistema. Datos que considerados aisladamente carecerían de relevancia pueden, al ser relacionados, revelar un patrón de riesgo. Sin embargo, esta ventaja no elimina las limitaciones de la herramienta tecnológica. Un modelo puede producir falsos positivos, omitir conductas relevantes, amplificar errores contenidos en la información, afectar la privacidad o crear sospechas injustificadas.

Por ello, la IA debe ser concebida como un instrumento de asistencia que puede identificar, ordenar, relacionar y sugerir, pero no debería determinar por sí sola que una persona cometió una irregularidad, ni sustituir la investigación jurídica y profesional de los hechos.

V. La utilización de IA para fortalecer la efectividad del Programa de Integridad

La incorporación responsable de IA puede mejorar el funcionamiento del Programa de Integridad en diversas etapas.

En materia de evaluación de riesgos, puede contribuir a registrar las variaciones en los patrones de contratación, pagos, intermediación, localización geográfica, denuncias, excepciones o reclamos, los cuales pueden modificar el nivel de exposición de una organización. La tecnología puede ayudar a detectar esos cambios y que puedan evaluarse anticipadamente. Ello no implica automatizar la matriz de riesgos ni delegar la valoración jurídica en la IA, sino utilizar información actualizada para que el análisis deje de ser exclusivamente retrospectivo.

En materia de controles, las herramientas analíticas pueden colaborar en la identificación de operaciones realizadas por fuera de los procedimientos previstos en una organización. Entre otros supuestos, podrían advertir contrataciones de proveedores sin debida diligencia, pagos fraccionados por debajo de los umbrales de autorización, excepciones reiteradas, facturas duplicadas, cambios inusuales de datos bancarios, pagos sin documentación suficiente o concentraciones atípicas de decisiones. Ello no sólo permite la detección de una posible irregularidad, sino verificar si los controles formalmente establecidos son efectivamente aplicados en la operación cotidiana de la empresa.

La IA puede asimismo mejorar la gestión de denuncias. En organizaciones que reciben un número elevado de comunicaciones, determinadas herramientas pueden asistir en su clasificación preliminar, detectar reportes relacionados, identificar reiteraciones o advertir patrones que no serían visibles si cada caso fuera tratado de manera aislada. No obstante, la decisión de descartar una comunicación relevante debe quedar sometida al control humano, ser adoptada por una persona competente y estar documentada.

En las investigaciones internas, la tecnología puede asistir en la organización de documentación, identificación de comunicaciones relevantes, reconstrucción de secuencias temporales y búsqueda de relaciones entre personas, operaciones y terceros. Esto puede reducir los tiempos de revisión y permitir que los investigadores concentren su actividad en las hipótesis, contradicciones y decisiones relevantes. Su utilización exige, sin embargo, garantías adicionales en materia de confidencialidad, control de accesos, protección de datos personales, validación de resultados y preservación de evidencia. También debe documentarse qué herramientas fueron empleadas, con qué criterios y para qué finalidades.

Finalmente, la IA puede contribuir al seguimiento de las medidas de remediación. Una de las debilidades frecuentes del Compliance consiste en confundir la adopción de una medida correctiva con la solución efectiva del problema, ya que la modificación de una política o procedimiento no acredita que el control haya mejorado.

Las herramientas analíticas pueden colaborar en la verificación posterior: determinar si disminuyeron las excepciones, si fueron completadas las revisiones pendientes, si mejoró la documentación, si las alertas fueron tratadas o si se redujeron los desvíos que habían originado el incidente. Es decir, la tecnología puede cerrar el ciclo entre detección, corrección y comprobación de la eficacia de la medida implementada.

VI. Supervisión humana y responsabilidad

La utilización de IA dentro del Programa de Integridad debe contar con supervisión humana efectiva.

La expresión human in the loop suele emplearse para describir la intervención de una persona en una decisión automatizada. Sin embargo, la mera presencia formal de un revisor no garantiza una verdadera supervisión. Quien se limita a aceptar de manera sistemática las recomendaciones del sistema implica sólo una validación aparente.

La supervisión debe ser competente, informada y capaz de modificar el resultado. Para ello, quien revisa debe comprender la finalidad de la herramienta, conocer sus principales limitaciones, acceder a la información relevante, contar con autoridad para cuestionar la conclusión y documentar los fundamentos de su decisión. Por ello sostenemos que la automatización de una tarea no automatiza la responsabilidad, ya que siempre debe poder determinarse quién aprobó el sistema, quién definió sus finalidades, quién lo utilizó, quién verificó sus resultados y quién adoptó la decisión final.

VII. El encuadre bajo la Ley 27.401

La Ley 27.401 no contiene una regulación específica sobre IA, pero sus disposiciones poseen amplitud suficiente para comprender los riesgos derivados de la incorporación de nuevas tecnologías. El artículo 22 de la citada ley exige que el Programa de Integridad guarde relación con los riesgos propios de la actividad, la dimensión y la capacidad económica de la persona jurídica, mientras que el artículo 23 contempla el análisis periódico de riesgos, la adaptación del programa, la capacitación, las investigaciones internas y el monitoreo y evaluación continua de su efectividad.

En consecuencia, cuando una empresa incorpora sistemas de IA en sus procesos resulta razonable sostener que debería evaluar si esa utilización modifica sus riesgos de corrupción, fraude, protección de datos, confidencialidad, discriminación, contratación de terceros, investigaciones internas o conservación de evidencia.Por ello, podríamos interpretar bajo tales pautas que quien decide utilizar IA debe gobernarla, y quien la incorpora dentro del Programa de Integridad debe poder demostrar que contribuye a la eficacia del sistema, sin que ello pueda comprometer derechos, confiabilidad ni transparencia.

VIII. Los Lineamientos de la Oficina Anticorrupción y la adaptación al riesgo tecnológico

Los Lineamientos de Integridad de la Oficina Anticorrupción fueron aprobados en 2018, antes de la actual expansión de la IA generativa. Por esa razón, no contienen un desarrollo específico sobre algoritmos o modelos automatizados.  No obstante, consideramos que su metodología conserva plena vigencia, ya que tales Lineamientos parten de un enfoque basado en riesgos y exige que cada organización diseñe una respuesta adecuada a sus características. Desde esa lógica, la política de IA no debería constituir un elemento aislado ni quedar reservada exclusivamente al área de sistemas.

La gobernanza tecnológica debe integrarse con la matriz de riesgos, el Código de Conducta, las políticas de protección de datos y seguridad de la información, los procedimientos de debida diligencia, las investigaciones internas y el régimen de responsabilidades. En efecto, la IA pasa a constituir, de ese modo, una cuestión transversal del Programa de Integridad.

IX. La Guía de Controles de Inteligencia Artificial de SIGEN

La Sindicatura General de la Nación aprobó en 2026 una Guía de Controles de Inteligencia Artificial aplicable al Sector Público Nacional (la “Guía de SIGEN”). El documento adopta un enfoque basado en riesgos y procura vincular las iniciativas de IA con los objetivos institucionales, el cumplimiento normativo y los principios de integridad, transparencia y responsabilidad.

Su ámbito de aplicación se encuentra limitado al sector público, por lo que no es obligatoria para las empresas privadas, no obstante, ofrece una referencia interesante a seguir, porque incorpora a la IA dentro del sistema de control interno y la somete a exigencias de gobernanza, identificación de responsabilidades, evaluación, trazabilidad, supervisión y rendición de cuentas. En esta Guía se pone énfasis en la supervisión humana de la IA en todos los procesos.

Sin efectuar una comparación del ECCP con la Guía de SIGEN, dado que ambos documentos parten de ámbitos institucionales diferentes: el ECCP se ocupa de la evaluación de Programas de Integridad corporativos dentro del enforcement penal estadounidense, mientras que la Guía de SIGEN se orienta al control interno del Sector Público Nacional, podemos considerar que ambos coinciden en que la tecnología no puede ser considerada confiable por sus características técnicas abstractas, ya que debe encontrarse integrada dentro de un sistema de riesgos, controles y responsabilidades humanas.

X. Estándares internacionales

La Recomendación Antisoborno de la OCDE de 2021 establece que los programas de controles internos, ética y compliance deben desarrollarse sobre la base de una evaluación de riesgos vinculada con las circunstancias particulares de cada empresa. Esos riesgos deben ser monitoreados y reevaluados periódicamente para garantizar la eficacia continua del sistema.

En materia específica de IA, el Artificial Intelligence Risk Management Framework del National Institute of Standards and Technology (“NIST”) propone una metodología organizada alrededor de cuatro funciones: gobernar, mapear, medir y gestionar. Se trata de un marco voluntario, adaptable y orientado a incorporar criterios de confiabilidad durante todo el ciclo de vida de los sistemas. El NIST ha publicado un perfil específico para IA generativa destinado a identificar y gestionar sus riesgos particulares.

Estos documentos no resultan obligatorios, para una empresa argentina pero pueden funcionar como referencias técnicas para operacionalizar las exigencias generales de evaluación de riesgos, monitoreo y mejora continua contenidas en la Ley 27.401.

XI. Criterios para incorporar Inteligencia Artificial al Programa de Integridad

En base a lo analizado, podemos proponer algunos criterios para examinar la incorporación de IA al Programa de Integridad, como una metodología orientativa destinada a determinar si la tecnología contribuye realmente a la eficacia del sistema.

En primer término, la herramienta de IA debería responder a un riesgo concreto y previamente identificado en la empresa luego de haber identificado todos los riesgos de la misma, analizado las mitigaciones y evaluado la gravedad de aquellos. La incorporación de tecnología por motivos exclusivamente reputacionales o comerciales genera por su parte riesgos adicionales, al no haberse efectuado un mapeo previo.

La organización debería mantener un inventario actualizado de los sistemas de IA utilizados, sus proveedores, finalidades, datos procesados y procesos en los que intervienen; y deben definirse los usos permitidos y prohibidos de dicho sistema.

Por su parte la información utilizada debe ser adecuada, segura, previo análisis jurídico de su utilización, ello implica que la herramienta de IA debería ser probada para conocer sus limitaciones, tasas de error y posibles sesgos. Asimismo, la organización debería poder explicar razonablemente cómo se producen los resultados de su aplicación.

Debe existir una supervisión humana efectiva, ejercida por personas competentes y con autoridad para revisar o modificar las conclusiones que se obtengan de las aplicaciones de la herramienta de IA. También debe estar establecido quién aprueba, utiliza, controla y responde por el sistema tecnológico.

La trazabilidad constituye otro elemento esencial. Los datos utilizados, alertas generadas, revisiones realizadas y decisiones adoptadas deberían quedar suficientemente documentados.

Finalmente, el sistema debe ser objeto de monitoreo continuo y contar con procedimientos para gestionar incidentes, suspender su utilización cuando resulte necesario, preservar evidencia y corregir sus deficiencias.

Estos criterios pueden sintetizarse en tres aspectos: relevancia, confiabilidad y responsabilidad. La herramienta de IA debe ser relevante para el riesgo que procura administrar; suficientemente confiable para la función que se le asigna; y encontrarse siempre bajo la responsabilidad de una persona o de un órgano identificable.

XII. El órgano de administración frente al riesgo tecnológico

La incorporación de IA no debería ser considerada exclusivamente una decisión técnica. Cuando la tecnología interviene en procesos relevantes, modifica el perfil de riesgo de la organización y puede comprometer cuestiones vinculadas con datos personales, relaciones laborales, terceros, investigaciones internas, decisiones comerciales y cumplimiento normativo.

En esas circunstancias, el órgano de administración debería recibir información suficiente para comprender dónde se utiliza IA, qué riesgos significativos presenta, qué controles existen, quién es responsable, qué incidentes se han producido y qué medidas fueron adoptadas. En tal sentido los administradores deben asegurarse de que la organización dispone de un sistema adecuado para identificarlas, evaluarlas, controlarlas y supervisar las herramientas de IA.

En el derecho societario, estas responsabilidades encuentran fundamento en los deberes generales de diligencia y lealtad establecidos en el artículo 59 de la Ley General de Sociedades N° 19.550, que exige a los administradores actuar con la diligencia de un buen hombre de negocios, así como en el régimen de responsabilidad previsto en el artículo 274 de dicha ley para los directores de sociedades anónimas, por el mal desempeño de sus funciones, la violación de la ley, el estatuto o el reglamento y los daños ocasionados en las condiciones allí previstas. Aunque estas disposiciones no regulan específicamente la utilización de IA, sus principios resultan aplicables a las decisiones relativas a su implementación y supervisión. En consecuencia, la delegación de funciones técnicas o la contratación de proveedores externos no excluyen los deberes de  diligencia y supervisión que corresponden al órgano de administración, cuyo alcance deberá evaluarse según las características y riesgos de cada organización.

En el caso de las sociedades sujetas al régimen de oferta pública, la Ley de Mercado de Capitales N° 26.831 establece obligaciones adicionales que también pueden resultar relevantes para la utilización de estas tecnologías. En particular, el artículo 78 contempla deberes específicos de lealtad de los directores de sociedades que hacen oferta pública de sus acciones, incluyendo la protección de la información confidencial, la prevención de conflictos de intereses y el ejercicio de sus facultades en interés de la sociedad. Asimismo, el artículo 99 establece obligaciones de información y transparencia respecto de hechos o situaciones que, por su importancia, puedan afectar sustancialmente la colocación o negociación de valores negociables o el desenvolvimiento de la actividad de los sujetos alcanzados. En este marco, la utilización de sistemas de IA en procesos relevantes debería estar comprendida en los mecanismos de gestión y supervisión de riesgos de la organización, sin que ello implique que su mera implementación constituya un hecho relevante o genere automáticamente responsabilidad para los administradores.

XIII. Conclusión

La IA puede contribuir de manera significativa a la construcción de un Programa de Integridad más dinámico y adecuado, ya que puede procesar información que los controles manuales no alcanzan a analizar, identificar anomalías, relacionar hechos, priorizar riesgos y mejorar el seguimiento de las medidas correctivas, y contribuir a demostrar que determinados controles fueron efectivamente aplicados.

Pero la tecnología no puede sustituir los elementos esenciales del Compliance que son el juicio profesional, la cultura de integridad, la independencia de las investigaciones, la responsabilidad de la alta dirección, la supervisión del órgano de administración y el cumplimiento de la normativa aplicable. Por eso consideramos que la organización que incorpora IA no delega su responsabilidad en la herramienta tecnológica, sino que asume la responsabilidad de comprender, controlar y explicar la tecnología que decidió utilizar. Ello podemos inferirlo interpretando las exigencias de adecuación al riesgo, adaptación, monitoreo y evaluación continua del Programa de Integridad que hace la Ley 24.701.

El ECCP del DOJ nos señala que el Programa de Integridad debe gobernar también los riesgos derivados de las nuevas tecnologías y encontrarse en condiciones de demostrar que éstas son utilizadas de manera legal, confiable y responsable, capacitando debidamente sobre su uso y control. 

Por ello, consideramos que al revisar un Programa de Integridad no basta con saber si una organización utiliza IA dentro de su sistema de Compliance, sino que se tendrá que determinar si se conocía qué hacía la herramienta utilizada, si se habían evaluado sus riesgos, se controlaban sus resultados, se documentaban sus decisiones y podía identificarse a las personas responsables de su utilización. Sólo bajo esas condiciones la IA será una verdadera herramienta de Integridad.

Bibliografía

i)Ley 27.401 de Responsabilidad Penal de las Personas Jurídicas, arts. 8, 9 y 16 a 23.

ii)Oficina Anticorrupción, Resolución 27/2018, Lineamientos de Integridad para el mejor cumplimiento de lo establecido en los artículos 22 y 23 de la Ley 27.401.

iii)U.S. Department of Justice, Criminal Division, Evaluation of Corporate Compliance Programs, actualización de Septiembre de 2024.

iv)Sindicatura General de la Nación, Resolución 197/2026, Guía de Controles de Inteligencia Artificial.

v)OECD, Recommendation of the Council for Further Combating Bribery of Foreign Public Officials in International Business Transactions, 2021, Anexo II, Good Practice Guidance on Internal Controls, Ethics, and Compliance.

vi)NIST, Tabassi, Elham, Artificial Intelligence Risk Management Framework —AI RMF 1.0—, NIST AI 100-1, 2023.