Empresas LATAM: 40% usa IA y solo 18% la gobierna

Solo el 18% de las empresas de América Latina que usan IA tiene un marco de gobernanza

El 40% de las organizaciones de la región ya implementó inteligencia artificial, pero apenas el 18% cuenta con marcos formales de gobernanza y solo el 17% dispone de políticas de uso para sus colaboradores. La brecha la midió el informe AI Readiness in Latin America 2026 de RSM, basado en una encuesta a más de 400 líderes empresariales de la región.

Para un founder, el dato se traduce en una pregunta incómoda: si tu equipo ya usa IA —y casi con certeza lo hace— ¿sabes con qué cuentas, desde qué dispositivos y con qué información? La mayoría de las empresas no lo sabe, y ese desconocimiento es el riesgo real.

El mismo informe señala que, entre las organizaciones que ya usan IA, el 68% planea ampliar su uso en los próximos 12 meses. Es decir: la adopción va a crecer sobre una base de control que todavía es frágil.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Por qué el riesgo de la IA no es solo compartir información confidencial?

La unidad de AI Security de SISAP conversó con organizaciones de los sectores bancario, gubernamental y otras industrias en al menos 10 países de Centroamérica, Panamá, República Dominicana y Colombia. Su conclusión: las buenas prácticas de ciberseguridad siguen siendo las mismas, pero la IA obliga a aplicarlas mucho más rápido y a reforzar la supervisión del uso interno.

El primer problema es de visibilidad. El acceso a modelos de IA puede ocurrir por cuentas personales, extensiones de navegador, funciones ya integradas en aplicaciones corporativas o dispositivos móviles, sin que la empresa lo detecte.

Las cifras lo confirman. El Data Breach Investigations Report (DBIR) 2026 de Verizon, informe en el que SISAP participa como contribuidor, señala que el 67% de los usuarios accede a servicios de IA desde dispositivos corporativos con cuentas no corporativas. Además, el 45% de los empleados usa estas herramientas de forma regular, frente al 15% del año anterior.

Ese patrón de uso no autorizado —conocido como shadow AI— escaló rápido. Según TechTimes, el DBIR 2026 de Verizon ubicó al shadow AI como la tercera acción de insider no maliciosa más común detectada en entornos empresariales, con un crecimiento de cuatro veces respecto del año previo. Y una encuesta de PagerDuty realizada por Wakefield Research entre 1.250 profesionales de oficina en empresas con ingresos superiores a US$500 millones encontró que el 66% había usado herramientas de IA en el trabajo creyendo que estaban prohibidas.

El costo no es teórico. De acuerdo con TechTimes, que cita un análisis de IBM, los incidentes que involucran uso no autorizado de IA agregan en promedio US$670.000 al costo de una brecha de datos.

¿Qué tan grande es la brecha entre lo que la empresa cree y lo que pasa?

Un estudio de Vanson Bourne para Dell Technologies de 2026, con 200 tomadores de decisiones de negocio y tecnología de América Latina, encontró que el 59% reporta que sus empleados usan herramientas de IA no aprobadas en dispositivos corporativos y que el 77% señala que los colaboradores acceden a herramientas de IA con fines laborales desde dispositivos personales. Lo llamativo: el 95% dice usar un conjunto estandarizado de herramientas aprobadas por TI. Ambas cosas conviven.

En España el fenómeno tiene la misma forma. Un estudio de Red Hat con 1.400 CIO de 14 países, difundido por MuyComputerPro, indica que el 85% de los CIO españoles confía en que sus agentes de IA operan de forma segura, pero solo el 30% conoce con precisión los flujos de datos de su organización.

La conclusión es incómoda pero clara: la confianza declarada no equivale a evidencia auditable. Y en un equipo chico, esa diferencia se puede cerrar en una semana o se puede ignorar durante un año.

Asistentes de código y agentes: el frente que más rápido crece

El riesgo se mueve hacia donde las startups tienen más superficie expuesta. El 66% de los desarrolladores usa asistentes o agentes de código, según la Encuesta de Desarrolladores 2026 de Stack Overflow, pero solo el 24% indica que su empleador estableció herramientas aprobadas o lineamientos formales.

José Amado, AI Security Manager de SISAP, lo resume: los asistentes de programación aceleran la entrega, pero el código que generan no es seguro por defecto y requiere revisión. Y los agentes de IA —capaces de consultar bases de datos, enviar correos o modificar configuraciones— pueden comprometer operaciones si tienen permisos excesivos y carecen de supervisión.

El dato que cierra el argumento: el Observatorio de Agentic AI 2026 de CIONET y NTT DATA reporta que el 80,8% de las empresas evaluadas carece de mecanismos formales para controlar las decisiones de sus agentes de IA.

¿Cómo se gobierna la IA en la práctica? Los siete ejes

La experiencia de SISAP en la región muestra que gobernar IA no depende de comprar una herramienta ni de lanzar un proyecto aislado. Son ejes que avanzan juntos:

Gobierno y responsables: definir quién decide sobre la adopción, con un comité que incluya negocio, tecnología, riesgo y seguridad, y dejar por escrito qué riesgos se aceptan a cambio del beneficio esperado.
Visibilidad del uso real: inventariar qué herramientas se usan, desde qué cuentas y dispositivos, incluidas extensiones de navegador y funciones de IA embebidas en software existente.
Cuentas corporativas: reemplazar cuentas personales por licencias empresariales con administración de usuarios, autenticación segura y permisos por rol.
Protección de la información: definir qué datos pueden procesarse en cada plataforma y restringir credenciales, datos personales, información financiera y documentos internos en servicios no aprobados.
Desarrollo de software: fijar asistentes autorizados y someter el código generado a revisión y pruebas de seguridad antes de producción.
Control de agentes: limitar permisos a las tareas que realmente ejecutan, registrar sus acciones y tener mecanismos para detenerlos.
Capacitación y supervisión continua: formar al equipo y revisar el uso de forma periódica para detectar aplicaciones no autorizadas.

¿Qué significa esto para tu startup?

Una startup tiene una ventaja estructural en este tema: puede diseñar sus procesos con los agentes adentro en lugar de adaptar décadas de software heredado. De hecho, según el informe State of AI in Latin America de Hi Ventures, difundido por El Español, el 53% de las startups encuestadas ya usa agentes en producción, frente al 30% de las corporaciones.

Pero la ventaja se pierde si nadie escribe las reglas. Acciones concretas que puedes ejecutar esta semana:

Haz un inventario real en 48 horas. Pregunta al equipo, sin tono acusatorio, qué herramientas de IA usa cada uno, con qué cuenta y para qué. Los datos de PagerDuty muestran que casi la mitad de los empleados prefiere no decir que usa IA antes que arriesgarse a que se lo prohíban: si preguntas con incentivo punitivo, obtendrás silencio, no información.
Sustituye cuentas personales por licencias corporativas. Es la intervención con mejor retorno: habilita administración de usuarios, SSO y control de retención. Donde no ofreces una alternativa funcional, la gente encuentra una insegura.
Escribe una política de una página, no de cuarenta. Define qué datos nunca se pegan en un prompt —credenciales, datos de clientes, contratos, información financiera no publicada—, qué herramientas están aprobadas y qué salidas requieren revisión humana.
Aplica permisos mínimos a los agentes. Si un agente solo necesita leer un CRM, no le des permiso de escritura ni de envío de correos. Registra sus acciones y define cómo detenerlo.
Mete el código generado en el pipeline de revisión. Trátalo como código de un tercero: pasa por tests y revisión de seguridad antes de producción.

Conclusión

El objetivo no es frenar la adopción. Es decidir con información sobre qué riesgos se están asumiendo. La diferencia entre una empresa que escala IA con gobernanza y otra que la escala a ciegas no se nota en el trimestre, pero sí aparece cuando se investiga el incidente o cuando un cliente pide garantías sobre el tratamiento de sus datos.

Con 40% de adopción y 18% de gobernanza formal, la ventaja competitiva para una startup no está en usar más IA que el resto, sino en poder demostrar cómo la usa.