La AICPA, asociación profesional estadounidense de auditores de cuentas, publicó el 28 de octubre de 2026 un borrador de los Trust Services Criteria revisados. Estos criterios son la base de todo informe SOC 2. El borrador reorganiza los criterios y añade puntos de enfoque sobre inteligencia artificial. Pueden presentarse observaciones hasta el 15 de enero de 2027. Si se aprueban, los criterios se aplicarán a las auditorías cuyo periodo comience el 31 de diciembre de 2027 o después.
Qué es SOC 2
Un informe SOC 2 es el resultado de una auditoría realizada por un auditor independiente. Confirma cómo un proveedor de servicios protege la seguridad y disponibilidad de sus sistemas, así como la confidencialidad e integridad de los datos tratados. En el tipo 1 se evalúa el diseño de los controles en una fecha concreta; en el tipo 2, además, su eficacia durante un periodo.
SOC 2 procede de Estados Unidos, pero hace tiempo que también se demanda en Europa. Sobre todo a los proveedores de software y servicios cloud que venden a empresas estadounidenses se les pide en licitaciones y evaluaciones de proveedores. No existe un certificado en el sentido de las normas ISO, sino un informe que el cliente recibe bajo confidencialidad.
Qué va a cambiar
Los criterios actuales datan de 2017; los puntos de enfoque explicativos se revisaron en 2022. El nuevo borrador mantiene las cinco áreas conocidas: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y protección de datos. Sin embargo, dentro de ellas introduce cambios notables. Según la AICPA, se fusionan criterios que se solapan, se eliminan algunos, se añaden otros para aclarar y se reformulan los existentes para que su finalidad sea más fácil de reconocer. El objetivo es que los informes SOC 2 resulten más comprensibles y útiles para sus lectores.
Quien ya tenga un informe SOC 2 debe contar, por tanto, con que cambie la asignación de sus controles a los criterios. Esto afecta sobre todo a la documentación, no necesariamente a las medidas en sí.
Nuevos puntos de enfoque sobre IA
Como novedad se incluyen puntos de enfoque sobre inteligencia artificial y otras tecnologías emergentes. El borrador menciona, entre otros:
- la gobernanza y la responsabilidad sobre los sistemas de IA en la empresa,
- la supervisión continua de los modelos,
- la protección frente a entradas manipuladas,
- la protección frente a datos de entrenamiento envenenados,
- la trazabilidad de los resultados generados por una IA,
- la gestión de los datos de entrenamiento,
- los riesgos de las decisiones automatizadas.
Los puntos de enfoque no son criterios obligatorios adicionales. Ayudan a empresas y auditores a valorar si se cumple un criterio. No obstante, quien utilice IA en su producto o en procesos internos tendrá que explicar estos temas en la auditoría.
Calendario
| Paso | Fecha |
|---|---|
| Publicación del borrador | 28 de octubre de 2026 |
| Fin del plazo de comentarios | 15 de enero de 2027 |
| Vigencia tras la aprobación | Auditorías desde el 31 de diciembre de 2027 |
Según el borrador, se permite aplicar los nuevos criterios de forma anticipada. Hasta su aprobación siguen siendo determinantes los criterios de 2017 con los puntos de enfoque de 2022. Está por ver si el contenido o las fechas cambiarán tras el periodo de comentarios.
Relación con ISO 42001 y el EU AI Act
Los nuevos puntos de enfoque sobre IA coinciden en gran medida en sus temas con lo que exige ISO 42001 para un sistema de gestión de inteligencia artificial: responsabilidades, evaluación de riesgos, gestión de datos y supervisión en operación. Quien implante un sistema de gestión de IA según ISO 42001 o se prepare para las obligaciones del EU AI Act genera evidencias que también sirven para la auditoría SOC 2. A la inversa, un informe SOC 2 no sustituye ni una certificación ISO 42001 ni el cumplimiento de obligaciones legales.
Qué significa para usted
Por ahora nada cambia en las auditorías SOC 2 en curso. Sin embargo, si planifica su periodo de auditoría para 2028, debería tener ya en cuenta los nuevos criterios:
- Lea el borrador y compárelo con su asignación actual de controles a criterios.
- Registre dónde utiliza IA, tanto en su producto como en procesos internos, y quién es responsable.
- Defina cómo supervisa los modelos y gestiona los datos de entrenamiento, y documéntelo.
- Hable pronto con su auditor sobre si conviene una aplicación anticipada.
- Aproveche el plazo de comentarios si algunos puntos no están claros para su modelo de negocio.
Sightadel le guía control a control por SOC 2 en una evaluación guiada, registra las tareas en planes de acción y guarda las evidencias en la Biblioteca de evidencias, a la que su auditor puede acceder en modo lectura. Más información en la página sobre SOC 2 y la página sobre ISO 42001. Puede probar la plataforma gratis durante 14 días.
Revisado a: 5 de noviembre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
