Gobernanza de IA: 8 de 10 incidentes llegan al consejo

¿Por qué la gobernanza de IA llega siempre tarde?

El 72% de los altos ejecutivos consultados por EY ya había integrado y escalado IA en la mayoría o en la totalidad de sus iniciativas. Aun así, solo cerca de un tercio disponía de controles para todos los componentes de un modelo de uso responsable, según el informe Responsible AI Pulse, publicado por EY en junio de 2025.

La brecha no es un accidente de calendario. Un estudio de Deloitte de enero de 2025 encontró que el 69% de las empresas encuestadas calculaba que una estrategia de gobernanza completa requeriría más de un año. En esa ventana, la IA se cuela en áreas sensibles —finanzas, contratos, evaluación de personas— sin reglas homogéneas ni responsables definidos.

Para un founder, el costo de ese hueco no es abstracto. Cada proceso que corre con IA sin dueño claro es un proceso donde nadie sabe quién responde cuando el resultado está mal. Y cuando el error sale de la herramienta y llega a un cliente o a una autoridad, la conversación deja de ser técnica.

¿Cuánto cuesta una decisión tomada con datos inexactos?

El reporte The State of AI in 2025 de McKinsey encontró que el 30% de las organizaciones que utilizaban IA había informado al menos una consecuencia negativa vinculada con inexactitudes. La lista incluye decisiones de negocio erradas, costos adicionales, incumplimientos normativos y deterioro de la confianza.

El problema escala cuando la respuesta alimenta decisiones que mueven dinero o derechos: definir una inversión, proyectar ventas, evaluar proveedores o interpretar obligaciones regulatorias. En ese punto, un dato inventado por un modelo ya no es un error de redacción; es un riesgo financiero, legal o reputacional.

De ahí que la revisión humana en los procesos de alto impacto deje de ser un freno y se convierta en el seguro. La IA ordena información, detecta patrones y genera alternativas. El criterio sobre las variables financieras, legales y operativas sigue siendo humano.

¿Qué es el shadow AI y por qué encarece las brechas de datos?

Shadow AI es el uso de aplicaciones de IA que la empresa no aprobó. Un colaborador resume un contrato, prepara una propuesta o analiza una base de datos en una plataforma externa sin conocer las condiciones de privacidad ni el destino de la información que carga.

El Cost of a Data Breach Report 2025 de IBM midió el impacto: el 63% de las organizaciones que sufrió brechas de datos no contaba con políticas de gobernanza de IA o todavía las estaba desarrollando. Y las empresas con altos niveles de shadow AI tuvieron costos promedio de brecha USD 670.000 superiores a los de aquellas con poco o ningún uso no controlado.

Esa cifra es la mejor forma de explicar en un comité por qué habilitar herramientas corporativas seguras no es un gasto de TI, sino una póliza. En España, la firma Itera señaló en una entrevista con Computing que en el 78% de las organizaciones ha proliferado el shadow AI, y citó advertencias de analistas independientes según las cuales cerca del 50% de las empresas sufre fuga de datos sensibles o propiedad intelectual a través del contexto que comparte con la IA.

¿Qué cambia cuando la IA deja de responder y empieza a actuar?

La IA agéntica accede a aplicaciones, procesa datos, activa flujos de trabajo y ejecuta acciones dentro de la organización. Alba San Martín, Senior Director, Latam Partner Org. de Cisco, lo planteó con precisión: el riesgo ya no está solo en una respuesta incorrecta, sino en las acciones que un agente puede realizar a partir de esa información.

EY señaló que el 76% de las compañías consultadas ya utilizaba IA agéntica o planeaba incorporarla en los siguientes 12 meses. Sin embargo, solo el 56% afirmó conocer sus riesgos. Finanzas, recursos humanos, ventas y atención al cliente figuran entre las áreas con mayor exposición, porque trabajan con datos sensibles o toman decisiones que afectan a personas.

La evidencia más reciente confirma el patrón. La encuesta AI Risk and Governance de EY, publicada en septiembre de 2026 sobre 202 ejecutivos senior de IA en empresas de al menos US$1.000 millones de ingresos anuales, encontró que el 91% usa IA agéntica en pilotos o despliegue completo y que el 49% todavía no había actualizado su marco de gobernanza para incluir los riesgos específicos de los agentes. Más incómodo aún: el 85% admitió que al menos algunos de esos sistemas ejecutan acciones sin participación humana en tiempo real, y el 26% no puede detectar agentes de IA no autorizados operando internamente.

El mismo estudio reportó que el 89% de los encuestados se topó con riesgos vinculados a la IA en el último año y que el 36% sufrió un incidente con impacto materialmente negativo, incluidos pérdida de datos, daño financiero, interrupción operativa y daño de marca. Casi la mitad (47%) reconoció haber salteado su propio proceso de gobernanza para hacer un despliegue urgente.

La foto regional no es distinta. Un estudio de IBM publicado en octubre de 2026 entre más de 3.200 ejecutivos de ocho países de Europa y Medio Oriente halló que en 8 de cada 10 organizaciones un incidente relacionado con IA llegó al consejo o a la cúpula en el último año, pero menos de la mitad (40%) cambió su política de gobernanza en respuesta. El 56% decidió avanzar dentro de los límites de riesgo acordados antes que frenar el despliegue.

¿Qué obliga la regulación europea de IA a las empresas?

Para cualquier startup que venda o tenga operación en Europa, la gobernanza dejó de ser voluntaria. Alberto Gago, director de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), explicó a Red Seguridad que desde el 2 de agosto son aplicables nuevas disposiciones del Reglamento Europeo de IA, con foco en transparencia: informar que una persona interactúa con un sistema de IA, explicar para qué se usan sus datos, con qué criterios el sistema recomienda o decide, cuáles son sus limitaciones y ofrecer canales para reclamar o pedir revisión humana de decisiones significativas.

En la misma entrevista, AESIA citó datos del Instituto Nacional de Estadística: una de cada cinco empresas españolas de 10 o más trabajadores ya utiliza IA, una cifra que prácticamente se duplicó en un año. El equipo del regulador tiene 50 personas y prioriza acompañar a pymes sobre sancionar.

El calendario regulatorio explica por qué muchas empresas están invirtiendo ahora: según el estudio de IBM, en la Unión Europea el 41% de los ejecutivos encuestados está acelerando la inversión en gobernanza antes de las obligaciones de alto riesgo del Reglamento, previstas para diciembre de 2027.

Un plan de 90 días para ordenar el uso de la tecnología

San Martín propone un esquema simple de tres tramos que cualquier equipo chico puede ejecutar:

• Primeros 30 días: diagnóstico. Identificar qué herramientas de IA se usan, qué datos se comparten y qué procesos concentran el mayor riesgo.
• Días 30 a 60: reglas básicas. Aprobar lineamientos de uso, definir responsables por proceso y habilitar opciones seguras para los equipos.
• Últimos 30 días: capacitación y medición. Formar a las áreas y elegir dos o tres casos de uso para medir productividad, calidad, reducción de errores y retorno.

El objetivo del plan es vincular la adopción tecnológica con problemas concretos y resultados verificables, no con una declaración de principios.

¿Qué significa esto para tu startup?

La distancia entre adopción y control se cierra con decisiones pequeñas y verificables, no con un manual de 80 páginas.

• Haz el inventario del shadow AI antes de escribir la política. Pregunta al equipo qué herramientas usa hoy, incluidas las gratuitas. La política que ignores en el diagnóstico no se va a cumplir: la gente seguirá usando lo que ya tiene abierto en el navegador.
• Define tres reglas duras y escríbelas. Qué información no puede entrar en ninguna herramienta externa (datos de clientes, contratos, código propietario), qué decisiones requieren validación humana antes de ejecutarse y quién responde si algo sale mal. Sin dueño claro, la gobernanza es decorativa.
• Habilita una alternativa corporativa segura. Si prohíbes sin ofrecer nada, el shadow AI vuelve en dos semanas. Una herramienta aprobada con condiciones de privacidad revisadas es la forma más barata de reducir la exposición.
• Mide en dos o tres casos de uso, no en veinte. Elige procesos de alto impacto, documenta la línea base y compara calidad y errores antes y después. Ese dato es el que te permite defender la inversión y, si el resultado no aparece, cortar a tiempo: la entrevista de Computing con Itera recoge que algunos analistas sitúan entre el 40% y el 50% los proyectos de IA que no cumplen el retorno previsto.
• Si vendes a empresas grandes o en Europa, prepara la evidencia. Trazabilidad de qué modelo se usó, con qué datos y con qué revisión humana pesa cada vez más en auditorías de proveedores y en el marco europeo. Documentarlo desde el inicio cuesta mucho menos que reconstruirlo después.

La velocidad de adopción no va a bajar. Lo que sí puede cambiar es cuánto de ese avance ocurre con reglas conocidas por el equipo. La gobernanza de IA bien entendida no es la que frena: es la que permite escalar sin apostar la empresa en cada respuesta del modelo.

Fuentes

• Infobae: Las empresas adoptan IA más rápido de lo que pueden controlarla
• EY Survey: Autonomous AI Implementation Outpaces Oversight (HPCwire)
• EY US AI Pulse Survey (Yahoo Finance)
• IBM Study: eight in ten EMEA enterprises escalate AI incidents to board or C-suite
• Entrevista a Alberto Gago, director de AESIA (Red Seguridad)
• Frontier by Itera y el gobierno corporativo de la IA (Computing)