Una captura, un acta, un audio o un video pueden conservar apariencia documental sin conservar procedencia confiable. El AI Incident Database mantiene un catálogo público de daños reportados vinculados con sistemas de IA, incluidos casos de suplantación y contenido sintético. El catálogo demuestra existencia y permite estudiar casos; no mide prevalencia. Para el auditor, la consecuencia es concreta: el contenido inicia la revisión y la procedencia decide cuánto peso puede cargar.
El alcance de la alerta
El marco es el Criterio 14 —integridad de la evidencia— y su raíz, el Criterio 02. Actor, fecha, criterio, alcance y vigencia pueden constar en un registro fabricado; por eso la revisión visual no basta. Los casos siguientes prueban el riesgo y su consecuencia institucional. No autorizan a estimar frecuencia de mercado ni a presumir que una evidencia concreta sea sintética.
El expediente. La patología precede a la tecnología
El riesgo precede a la IA generativa
APAS determinó incumplimientos profesionales en las auditorías de Wirecard de 2016 a 2018. La resolución se apoyó en papeles de trabajo, comunicaciones, testimonios e información de terceros y sancionó a la firma y a cinco auditores. El expediente oficial no autoriza a reducir todo el caso a una clase de documento; sí prueba que la corroboración y los papeles de trabajo son parte del problema antes de cualquier deepfake.
La revisión documental tuvo un límite explícito
En 2024, Umweltbundesamt rechazó certificados para ocho proyectos UER en China por irregularidades. Siete solicitudes fueron retiradas después de objeciones legales y técnicas y de la posibilidad de una revisión en sitio. La autoridad dejó una conclusión directa: la evaluación remota con imágenes satelitales o la revisión en papel de informes presentados no siempre basta para detectar y probar abuso. Ese límite es trasladable al método; los detalles del caso no se generalizan.
El contenido sintético ya forma parte del universo de incidentes
AI Incident Database cataloga incidentes reportados que incluyen suplantación, audio, imagen y video sintéticos. Su base cambia con nuevas incorporaciones y depende de cobertura pública; por eso este informe no congela un recuento ni atribuye al registro una clasificación producida por terceros. El dato defendible es cualitativo: el auditor ya debe contemplar evidencia sintética dentro de su modelo de riesgo.
Riesgo de fabricación y control de procedencia
La tabla no asigna minutos ni costos universales. Ordena el riesgo de alteración y el control de procedencia que corresponde a cada soporte.
| Tipo de evidencia | Riesgo relevante | Qué establece su procedencia |
|---|---|---|
| Captura de pantalla o extracto | Edición, selección parcial o generación fuera del sistema de origen | Acceso directo del verificador a la fuente y registro de la consulta |
| PDF con membrete y firma | Alteración del contenido, firma o metadatos | Verificación con el emisor o el registro público; sellado de tiempo cuando el riesgo lo justifica |
| Logs y registros de sistema | Extracción selectiva, modificación o generación posterior al hecho | Custodia técnica, controles de acceso, integridad y correlación con una fuente independiente |
| Audio y video | Suplantación, edición o generación sintética | Canal controlado por el verificador, captura propia y cadena de custodia del material recibido |
La constante está en la tercera columna. Acceso al sistema de origen, captura propia y corroboración independiente sostienen el valor probatorio cuando la apariencia del contenido ya no alcanza.
La respuesta del oficio
El Criterio 14 incorpora procedencia, integridad y custodia al hallazgo. En operación exige clasificar la evidencia como capturada por el verificador, corroborada contra fuente independiente o provista por la parte interesada. Después se revisan metadatos y controles de custodia según el riesgo. La diferencia entre la fecha de creación y la fecha declarada es una señal; necesita contexto antes de convertirse en hallazgo.
Queda el movimiento que cambia los informes. La evidencia clave que solo se sostiene en la palabra del auditado deja de fundar el hallazgo y queda pendiente de corroboración — y el informe lo declara con esas palabras. El Criterio 02 cierra el marco. Lo que se afirma se demuestra, y la demostración alcanza ahora al soporte que la trae.
Antes de su próxima auditoría — interna o externa —, agregue una columna a su matriz de evidencia · procedencia. Para cada evidencia que cargue peso en un hallazgo, registre quién la produjo, en qué sistema, qué camino hizo hasta la mesa y qué protección tuvo contra alteración. Defina por adelantado qué tipos de evidencia exigen captura directa del verificador — extractos de sistema, material audiovisual de identidad — y cuáles aceptan provisión con corroboración. El grado de corroboración se declara en el informe, evidencia por evidencia.
La síntesis es operativa: el registro provisto sin corroboración carga menos peso que el capturado o contrastado por el verificador. El informe debe declarar esa diferencia antes de fundar una conclusión.