Agentes de IA en empresas: llega la hora de la gobernanza

Por qué los agentes de IA cambian las reglas del juego en la empresa

Los agentes de IA ya no redactan respuestas: ejecutan procesos. Pueden consultar una base de datos, abrir un ticket, enviar un correo o disparar una transacción sin intervención humana en cada paso. Esa autonomía multiplica el potencial de productividad, pero también desplaza el centro de gravedad del riesgo desde el output del modelo hacia las acciones que ese modelo es capaz de ejecutar sobre los sistemas corporativos.

La magnitud del cambio la mide Gartner: el 33% de las aplicaciones de software empresarial incorporará capacidades de IA agéntica en 2028, frente a menos del 1% en 2024, y estos sistemas tomarán de forma autónoma al menos el 15% de las decisiones laborales cotidianas. La misma consultora estima que más del 40% de los proyectos de IA agéntica podrían cancelarse antes de finales de 2027 si no se acompañan de una justificación económica clara y de controles de riesgo sólidos, según recogió Yahoo Finance/Trainocate a partir de datos de Gartner.

De los copilotos a los sistemas que actúan solos

La diferencia operativa quedó clara en la jornada «La era de los Agentes IA: competitividad, confianza y gobernanza», organizada el 23 de septiembre en Madrid por DigitalES y CEOE. Un copiloto sugiere; un agente recibe un objetivo, accede a fuentes internas, utiliza herramientas corporativas y encadena pasos hasta cerrar una tarea. En el encuentro se presentaron dos informes: «Agentes de IA: de los copilotos a los sistemas agénticos», de Nae, e «IA y Ciberseguridad 2.0: gobernar el riesgo en la era de los agentes».

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

El informe de Nae recoge estimaciones de reducción de coste por transacción de entre el 40% y el 70% en entornos de alto volumen, tareas que hoy tardan entre tres y cinco días resolverse en dos a cuatro horas, y capacidad para absorber picos de demanda de hasta el 300% sin añadir recursos en la misma proporción. Son cifras orientativas sobre el potencial identificado, no retorno garantizado para cualquier despliegue.

Por qué la gobernanza se vuelve innegociable

Cuando un agente pasa de generar texto a mover datos y sistemas, la pregunta deja de ser «qué sabe» y pasa a ser «qué puede hacer». El riesgo se expande: una instrucción manipulada, un permiso excesivo o un fallo en la cadena de herramientas puede producir efectos fuera de la propia interfaz de IA.

Las medidas que el sector ya considera estándar son el principio de mínimo privilegio (el agente accede solo a lo estrictamente necesario), control de los datos consultables, trazabilidad completa de operaciones y supervisión proporcional a la autonomía y al impacto de cada agente. El World Economic Forum ha publicado un marco específico, el Agent Capability and Authorization Profile, para definir qué puede acceder un agente y bajo qué condiciones, según recogió Analytics Insight.

La gestión de identidades se convierte en pieza crítica de la arquitectura. Si un agente puede modificar registros o activar procesos, la organización necesita saber quién es, qué credenciales tiene, dejar registro de cada acción y poder detenerlo o revisar su comportamiento.

El Plan IA360 llega en el momento exacto

España acaba de activar su propia respuesta regulatoria y de mercado. El Plan IA360, presentado el 21 de septiembre por el presidente Pedro Sánchez, es una hoja de ruta de 12 meses con cuatro ejes: músculo tecnológico (gigafactoría de IA y modelos propios con el Barcelona Supercomputing Center), adopción empresarial, gobernanza y un «Contrato Social por la IA» con agentes sociales, según publicaron Casadomo, MuyCanal y Zona Movilidad.

La pieza más relevante para los founders es el Bono Inteligencia Artificial, dotado con 600 millones de euros según MuyCanal, destinado a financiar soluciones y servicios de IA prestados por empresas tecnológicas europeas. El bono no cubre licencias ni suscripciones: paga desarrollo, integración, conocimiento sectorial, tratamiento de datos y rediseño de procesos. Estará vinculado a la Red Neurona, una red público-privada de centros de demostración y despliegue, con piloto en dos comunidades autónomas y extensión a 10 en 2027.

El plan llega además con dos metas concretas: que más de la mitad de las empresas españolas hayan integrado IA en su actividad en 2030, y reforzar la supervisión sobre los modelos de frontera (los sistemas más avanzados) y el escudo de ciberseguridad asociado a la IA.

El marco europeo ya está en vigor

El contexto regulatorio dejó de ser futuro el 2 de agosto de 2026, cuando el AI Act empezó a aplicarse con carácter general, incluyendo obligaciones de transparencia y facultades de supervisión. Las exigencias específicas para sistemas de alto riesgo se desplegarán en fases posteriores: parte de su aplicación se sitúa en diciembre de 2027 y agosto de 2028.

Para empresas que integran modelos de propósito general en sus productos, el marco europeo refuerza la documentación, la información facilitada a lo largo de la cadena de valor y, en modelos con riesgo sistémico, la evaluación de riesgos y las medidas de ciberseguridad. AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial con sede en A Coruña, es el organismo competente en España.

¿Qué significa esto para tu startup?

Si estás construyendo o vendiendo agentes de IA, el mercado está girando más rápido que la regulación, y eso crea una ventana competitiva enorme para quien llegue con el paquete completo: producto + gobernanza. El estudio de Deloitte citado por ZDNet lo deja claro: solo el 15% de las organizaciones ha alcanzado despliegues orquestados y multi-agente a escala, mientras que el 74% de los líderes espera rediseñar casi la mitad de sus procesos en torno a agentes en cuatro años. La brecha entre ambición y ejecución es el hueco que tu startup puede llenar.

El cuello de botella ya no es el modelo: son los datos y la confianza. Deloitte detecta que el 72% de las organizaciones señala la falta de una base de datos unificada y accesible como freno principal, y el 70% menciona la incapacidad para confiar y gobernar los agentes. Construir un agente sin una capa de identidad, permisos, auditoría y observabilidad equivale, en 2026, a vender sin factura.

Tres acciones concretas que puedes tomar esta semana

Invierte una jornada en mapear permisos y datos. Antes de escribir otra línea de orquestación, haz un inventario: qué puede consultar cada agente, qué puede modificar y bajo qué condiciones. McKinsey estima que casi dos tercios de las empresas ya han probado agentes, pero menos del 10% los ha escalado hasta generar valor tangible, según Analytics Insight. El motivo más repetido son los límites de datos.
Construye la capa de gobernanza como producto, no como proyecto interno. Identidad del agente, logs inmutables, kill switch, control de costes por tarea y límites financieros por acción son características que tu cliente enterprise va a exigir como tabla rasa. Si las tienes nativas, son tu diferencial; si las improvisas después, son tu cuello de botella.
Prepárate para el Bono IA. Si operas en España y trabajas con pymes o autónomos, el Bono IA financia exactamente lo que probablemente ya vendes: integración, desarrollo a medida y rediseño de procesos. Diseña una oferta empaquetada, certifica proveedores europeos en tu stack y alista casos de uso demostrables en la Red Neurona.

Una señal a vigilar

Gartner predice que las empresas Fortune 500 podrían operar más de 150.000 agentes de IA en 2028, frente a menos de 15 en 2025, según Analytics Insight. La explosión ya está en marcha. La diferencia entre las empresas que capturan ese valor y las que se quedan en el piloto no la marcará el modelo de IA: la marcarán los cimientos de datos, gobierno y rediseño de procesos que estén dispuestos a poner antes de desplegar.