Agentes de IA: 97% de empresas los adopta, 21% los gobierna

La adopción de agentes de IA corre más rápido que su gobernanza

El 97% de las organizaciones globales planea adoptar IA agéntica en los próximos dos años. Lo dice una encuesta de Deloitte con 3.235 líderes de negocio y tecnología de 24 países que recoge TI Inside. El problema es el otro número: apenas el 21% dice tener modelos de gobernanza maduros para esos agentes. En Brasil la brecha se repite, con 95% de intención de adopción frente a 27% de gobernanza madura.

La distancia entre ambos datos es la noticia. Mientras la adopción avanza, la mayoría de las empresas todavía no resolvió quién define hasta dónde puede llegar un agente, qué decisiones puede tomar solo y quién responde cuando algo sale mal.

Para un founder, la lectura es directa: la pregunta ya no es si tu startup va a poner agentes a ejecutar tareas, sino quién fija sus límites antes de que toquen producción.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Por qué la autonomía de un agente deja de ser un tema de TI?

Cuando un agente puede acceder a sistemas, mover información y ejecutar tareas en nombre de la empresa, el debate deja de ser técnico y pasa a ser de negocio. El caso típico es cuentas a pagar: un agente consulta el ERP, revisa una factura, cruza el contrato, detecta una divergencia y programa el pago.

La pregunta que sigue no es si puede hacerlo, sino si debería poder modificar los datos bancarios de un proveedor, dar de alta a un nuevo beneficiario o autorizar por sí solo una transacción de alto valor. Ahí entran al mismo tiempo riesgo financiero, continuidad operativa, compliance, experiencia del cliente y reputación.

Ese es el punto donde la gobernanza deja de ser un documento de cumplimiento y se vuelve parte del modelo operativo.

¿Cuánto cuesta no controlar el acceso de los agentes?

El Cost of a Data Breach Report 2026 de IBM, elaborado por el Ponemon Institute con más de 600 organizaciones vulneradas entre marzo de 2025 y febrero de 2026, puso cifras a ese riesgo: el costo promedio de una brecha alcanzó los US$4,99 millones, un récord histórico, según Help Net Security.

El dato más incómodo para quien despliega IA es el cruce: una de cada cinco organizaciones reportó un incidente de seguridad vinculado a un modelo o aplicación de IA, frente a una de cada ocho un año antes. Entre esos casos, el 92% no tenía controles de acceso basados en roles, autenticación multifactor ni mecanismos equivalentes.

A esto se suman dos señales que Help Net Security destacó del mismo informe: las brechas impulsadas por IA costaron cerca de US$1 millón más que el promedio —unos US$6 millones por incidente, según la lectura de TechTimes— y el uso de herramientas de IA no aprobadas por la empresa apareció en el 43% de los incidentes de seguridad, más del doble que el año anterior.

Casi siete de cada diez organizaciones vulneradas reconocieron además no tener políticas de gobernanza para gestionar la IA ni para detectar usos no autorizados.

¿La gobernanza frena la productividad o la habilita?

La respuesta corta es que la habilita. CBYK reporta que, en sus proyectos con Squads AI Native, los equipos produjeron hasta cinco veces más código con una tasa de retrabajo inferior al 5%, y llevaron su time to market hasta tres veces más rápido.

Ese resultado no viene de repartir licencias de IA. Viene de rediseñar el proceso de ingeniería: entrenamiento, guardrails de seguridad, especificaciones adaptadas al contexto, agentes especializados por etapa e integración con herramientas de gestión y con la cadena de CI/CD. La diferencia que plantea el artículo original es clara: usar IA para generar código no es lo mismo que reconstruir el proceso para trabajar con IA.

El contrapunto lo aportó Irfan Khan, President & Chief Product Officer de SAP Data & Analytics, en entrevista con Silicon: sostiene que 2027 será el año de la adopción masiva de la Empresa Autónoma y advierte que ya vio casos de compañías y consultoras que intentaron reemplazar perfiles por agentes y descubrieron que el consumo de tokens duplicaba o triplicaba el costo salarial del empleado sustituido. Sin métricas de costo y de riesgo, la autonomía se factura dos veces.

¿Cómo se gobierna un agente en la práctica?

Identidad y permisos propios. Igual que un empleado recibe credenciales y accesos según su función, cada agente necesita identidad digital y permisos compatibles con su tarea. La lógica es la del menor privilegio: acceso suficiente para cumplir, nunca más.
Supervisión por niveles de riesgo. Consultas de bajo riesgo pueden automatizarse; cambios de datos maestros, movimientos financieros relevantes o decisiones que afecten directamente a clientes deberían exigir validación humana. A mayor impacto, mayor control.
Trazabilidad reconstruible. Si un agente tomó una decisión, la empresa debe poder reconstruir el camino: qué agente actuó, qué información consultó, a qué sistema accedió y si hubo intervención humana.
Telemetría como parte de la gobernanza. Medir uso, ganancias y logs de auditoría permite detectar riesgos de seguridad de la información, propiedad intelectual y datos personales.

Acá el benchmark español es útil como espejo. Un estudio de Red Hat con 1.400 CIOs de 14 países, presentado en Madrid y recogido por Computerworld España y MuyComputerPro, encontró que el 100% de las organizaciones españolas encuestadas ya tiene agentes de IA en producción y que el 85% confía en que operan de forma segura. Pero solo el 30% sabe con precisión dónde se almacenan y procesan los datos, y apenas el 28% evalúa de forma continua el riesgo de sus proveedores de IA más allá de la implementación inicial.

La conclusión de Red Hat es la misma que aplica a una startup de cinco personas: la confianza no reemplaza la visibilidad. Sin capacidad de rastrear flujos de datos, componentes de software y ciclo de vida de los agentes, no hay gobernanza posible.

¿Qué significa esto para tu startup?

No necesitas un comité de ética ni un equipo de compliance para empezar. Necesitas decidir, por escrito, tres cosas y sostenerlas con instrumentación.

Inventario de agentes con permisos explícitos. Antes de sumar un agente nuevo, define su identidad, qué sistemas puede tocar y qué no. Arranca por el proceso con mayor riesgo financiero —cuentas a pagar, facturación, onboarding de clientes— y audita si sus accesos superan lo que la tarea exige.
Matriz de autonomía por impacto. Clasifica decisiones en bajo, medio y alto riesgo, y define para cada nivel qué se automatiza, qué requiere validación humana y quién firma. Este documento es el que evita la conversación incómoda cuando un agente mueve dinero sin que nadie lo haya aprobado.
Logs y telemetría desde el día uno. Si no puedes responder qué agente hizo qué, con qué datos y con qué resultado, no tienes control: tienes una caja negra. Empezar a registrar antes de escalar es mucho más barato que reconstruir el historial después.
Política de uso de IA no aprobada. El shadow AI apareció en el 43% de los incidentes de seguridad del informe de IBM. Un canal claro para pedir y aprobar herramientas, junto con una alternativa interna decente, reduce más riesgo que una prohibición que nadie respeta.

Conclusión

La madurez en IA no se mide por la cantidad de agentes que una empresa libera, sino por su capacidad de conceder autonomía en la medida correcta, medir resultados y ampliar el uso a medida que el negocio aprende. Gobernanza y productividad no son fuerzas opuestas: cuando el diseño es correcto, la gobernanza es justamente lo que permite subir la autonomía sin perder el control. Cuando una máquina empieza a actuar en nombre de tu empresa, gobernar la IA es decidir cómo crece el negocio con ella.