#IAGenerativa

L’aprovació del Reglament (UE) 2026/1744, conegut com el “Digital Omnibus sobre IA”, constitueix la primera gran reforma del Reglament (UE) 2024/1689 sobre Intel·ligència Artificial (Llei d’IA). El seu objectiu principal no és alterar els fonaments del model europeu per a la regulació de la intel·ligència artificial, sinó facilitar la seva aplicació pràctica mitjançant mesures de simplificació administrativa, aclariment legal i reforç de la coherència reguladora.

La Comissió Europea parteix d’un problema: l’experiència inicial en l’aplicació de la Llei d’IA ha revelat retards en el desenvolupament d’estàndards harmonitzats, dificultats derivades de la coexistència amb regulacions sectorials i càrregues de compliment especialment importants per a les petites i mitjanes empreses (PIME). En resposta, el Reglament Omnibus pretén reduir la duplicació i els costos reguladors sense disminuir els nivells de protecció de la salut, la seguretat i els drets fonamentals.

Un dels eixos centrals de la reforma és la millora de la coordinació entre la Llei d’IA i la legislació sectorial europea. El nou article 2.13 permet limitar certes obligacions aplicables als sistemes d’IA d’alt risc quan altres legislacions sectorials garanteixen un nivell equivalent de protecció. Aquesta mesura és especialment rellevant per a sectors ja subjectes a procediments exigents d’avaluació de la conformitat, com ara dispositius mèdics, aviació o maquinària.

La reforma també redefineix el concepte de “component de seguretat“, restringint-lo a aquells sistemes la finalitat dels quals és prevenir o mitigar riscos per a la salut o la seguretat. Això evita la classificació automàtica de moltes aplicacions d’IA com a sistemes d’alt risc destinats només a funcions d’assistència, automatització, eficiència o control de qualitat.

La simplificació també s’estén a les pimes i a noves categories de mitjanes societats. El Reglament ofereix diverses mesures de suport a aquests operadors, incloent-hi la possibilitat d’utilitzar documentació tècnica simplificada i mecanismes més flexibles per als sistemes de gestió de la qualitat. L’objectiu és evitar que les obligacions reguladores dificultin el desenvolupament d’aquestes start-ups.

Juntament amb les mesures de simplificació, el Reglament introdueix una de les seves novetats més significatives pel que fa a la protecció dels drets fonamentals. S’incorporen noves pràctiques prohibides relacionades amb l’ús de sistemes d’IA destinats a generar o manipular imatges, vídeos o àudios íntims de persones identificables sense el seu consentiment, així com aquells capaços de produir material d’abús sexual infantil.

La reforma respon al creixement d’aplicacions de “nudificació” i altres tecnologies generatives capaces de crear contingut fals de naturalesa íntima. El legislador europeu considera que aquests sistemes suposen riscos especialment greus per a la dignitat humana, la privacitat, l’autonomia personal i els drets de les víctimes. Per tant, tant la seva posada al mercat com el seu ús en determinades circumstàncies estan prohibits, tot i que els usos il·legals es distingeixen acuradament de les aplicacions legítimes per a ús mèdic, científic o basat en el consentiment exprés de la persona implicada.

Un altre dels aspectes més rellevants del Reglament Omnibus és l’enfortiment institucional de l’Oficina Europea d’Intel·ligència Artificial. La reforma atorga a aquest organisme poders exclusius de supervisió respecte a certs sistemes basats en models d’IA d’ús general i aquells integrats en plataformes digitals molt grans.

Per garantir una supervisió efectiva, a l’Oficina d’IA se li atorguen amplis poders d’investigació, inspecció i sancions, similars als que tenen les autoritats de vigilància de mercat. A més, pot imposar multes i mesures coercitives, coordinar accions amb les autoritats nacionals i assumir funcions directes d’avaluació de la conformitat en determinats casos. La reforma, per tant, reflecteix una centralització progressiva de la supervisió dels sistemes d’IA amb el major impacte transfronterer.

Finalment, el Reglament modifica el calendari per a la implementació de les obligacions relatives als sistemes d’alt risc. Les obligacions previstes per als sistemes inclosos a l’Annex III es retarden fins al 2 de desembre de 2027, mentre que les vinculades als sistemes integrats en productes regulats per regulacions sectorials europees seran exigibles a partir del 2 d’agost de 2028.

Aquesta pròrroga dels terminis pretén permetre temps suficient per al desenvolupament d’estàndards tècnics, directrius i mecanismes de governança necessaris per a una aplicació homogènia de la Llei d’IA a tota la Unió Europea.

El Reglament (UE) 2026/1744 no canvia els principis bàsics de la Llei d’IA, sinó que pretén facilitar-ne l’aplicació pràctica. Amb aquest objectiu, redueix les càrregues administratives, aclareix diverses obligacions per a les empreses i millora la coordinació amb altres estàndards europeus. Al mateix temps, reforça la protecció contra nous riscos associats a la IA generativa i reforça el paper de l’Oficina Europea d’IA com a autoritat supervisora. En resum, aquesta reforma representa un pas cap a un marc regulador més senzill, eficient i coherent, mantenint la protecció dels drets fonamentals com un dels pilars del model europeu.

La intel·ligència artificial (IA) ja no és una tecnologia de futur. La seva incorporació als processos de les administracions públiques és una realitat i, previsiblement, ho serà cada vegada més. Aquesta evolució planteja una doble qüestió per a l’auditoria pública: com podem utilitzar la IA per millorar els nostres treballs i com hem d’auditar els processos en què la IA ja intervé?

La resposta a aquesta doble pregunta comença a prendre forma. La recent Instrucció ONA 1/2026 sobre l’ús responsable de la intel·ligència artificial en l’auditoria i el control financer i la GPF-ICEX 5381, Guia d’auditoria de processos de gestió que integren IA Generativa, ofereixen un marc especialment interessant per entendre cap a on evoluciona l’auditoria pública.

Auditar amb IA

La primera dimensió és la més intuïtiva: utilitzar la IA com a eina de suport a l’auditor.

En aquest àmbit, les possibilitats són àmplies. La IA pot ajudar a tractar i organitzar grans volums d’informació, resumir expedients i documents, extreure dades rellevants i comparar textos o versions. També pot identificar patrons, tendències o anomalies i donar suport a les proves de detall i a la preparació dels papers de treball.

En l’auditoria pública sovint treballem amb molts expedients, contractes, factures, bases de dades i normativa. Aquesta capacitat d’anàlisi pot representar un canvi important. La IA pot ajudar a identificar, dins del conjunt de les dades, els elements que mereixen una atenció específica, més enllà de la revisió d’una mostra limitada.

Però aquí apareix una idea essencial: la IA és una eina de suport, no un substitut del judici professional de l’auditor. Els resultats generats per una eina d’IA poden ser útils per orientar, analitzar o preparar el treball, però han de ser revisats i validats. Entre els riscos identificats hi ha la manca de qualitat o contextualització de les dades, la variabilitat dels resultats, els problemes d’explicabilitat i, especialment, l’acceptació acrítica de resultats que no hagin estat contrastats.

Això obliga a mantenir, i fins i tot reforçar, principis tan propis de l’auditoria com l’escepticisme professional, la revisió humana i la necessitat d’obtenir evidència suficient i adequada.

I si la IA forma part del procés que auditem?

Aquí apareix el segon repte, probablement el més nou.

L’auditor pot trobar-se amb una administració que utilitza IA per classificar expedients, detectar riscos, tramitar subvencions, prendre decisions o generar informació que posteriorment forma part dels registres administratius o financers.

En aquests casos ja no n’hi ha prou amb utilitzar la IA com a eina d’auditoria. Cal entendre i, si escau, auditar el sistema d’IA que forma part del procés de gestió.

La GPF-ICEX 5381 planteja precisament aquest enfocament. L’auditor ha de comprendre el procés, identificar el tipus d’IA que s’utilitza, com està desplegada, quines dades empra i quins controls s’han establert. A partir d’aquí, ha d’identificar i valorar els riscos específics associats a la IA, com ara els biaixos, les inexactituds, les “al·lucinacions” o la manca de traçabilitat. També ha de revisar els controls destinats a mitigar-los.

Això comporta una evolució del mateix concepte d’auditoria. No es tracta de determinar si una tecnologia és “bona” o “dolenta”, sinó de comprovar si els riscos que genera estan identificats, gestionats i controlats adequadament. També cal valorar quin impacte tenen sobre l’àmbit objecte de fiscalització.

Una nova manera d’entendre els equips d’auditoria

Aquest nou escenari també tindrà conseqüències sobre les competències necessàries en els equips d’auditoria.

Comprendre els processos basats en IA pot requerir coneixements en tecnologies de la informació, dades, seguretat i funcionament dels models. En alguns casos, també caldran coneixements específics d’intel·ligència artificial. La mateixa GPF-ICEX 5381 assenyala que, quan els riscos associats a la IA són rellevants, la participació d’especialistes en TI i IA pot contribuir a obtenir una evidència d’auditoria més sòlida.

Per tant, l’auditor del futur probablement haurà de combinar cada vegada més coneixements financers, de control, jurídics i tecnològics.

Més tecnologia, però també més control

La incorporació de la IA no significa que l’auditoria pública perdi els seus principis tradicionals. Més aviat els reforça.

Cal garantir la qualitat de les dades, la traçabilitat dels processos, la supervisió humana, la seguretat de la informació i la fiabilitat dels resultats. Això fa que alguns principis essencials de l’auditoria adquireixin una nova dimensió.

Les proves poden incloure, per exemple, la verificació de les regles i validacions del sistema, proves d’entrada i sortida amb dades de referència, anàlisi dels resultats produïts per la IA o revisió de la documentació tècnica i dels mecanismes de monitorització.

En definitiva, la IA pot fer que l’auditoria sigui més eficient, però també pot fer-la més exigent.

El repte no és només incorporar la intel·ligència artificial a les eines de treball. Cal entendre com aquesta tecnologia transforma els processos que auditem i adaptar-hi les metodologies, els controls i les competències dels equips.

En aquesta nova etapa, l’auditoria pública haurà d’aprendre a fer dues coses alhora: auditar amb intel·ligència artificial i auditar la intel·ligència artificial.