Por qué la gobernanza de la IA se volvió un tema de directorio
Ocho de cada diez directivos de empresas de Europa y Medio Oriente llevaron al menos un incidente vinculado con la IA —una falla de agente, una exposición de datos, un error de decisión automatizada o un incidente de seguridad— al consejo de administración o a la cúpula de la compañía en el último año. El dato sale de un estudio de IBM publicado en octubre de 2026 sobre 3.221 ejecutivos de ocho países, y contradice la imagen de pilotos bajo control que suele mostrar el discurso corporativo.
El corolario es más incómodo: solo el 40% de esas organizaciones cambió su política o marco de gobernanza de IA después del incidente. La mayoría (56%) siguió adelante dentro de los límites de riesgo que ya tenía aceptados, y apenas un tercio detuvo el despliegue hasta ordenar la casa.
Según una investigación de la plataforma de gobernanza Optro difundida por Marketing Tech News, una de cada tres organizaciones ya usa IA en procesos críticos de resiliencia, pero el 30% nunca probó cómo se comporta el sistema cuando un agente falla. Y hay una brecha de percepción: el 58% de los líderes cree que sus controles evolucionan al mismo ritmo que la adopción, mientras solo el 18% tiene salvaguardas específicas de riesgo de IA.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasEl contexto de fondo es de escala regional. Según cifras citadas por Infobae, la ONU Comercio y Desarrollo (UNCTAD) proyecta que el mercado mundial de IA pasará de US$189.000 millones en 2023 a US$4,8 billones en 2033, con solo 100 empresas concentrando cerca del 40% de la inversión empresarial global en investigación y desarrollo. La misma cobertura recuerda que la Organización Internacional del Trabajo calcula que uno de cada cuatro trabajadores del mundo está en una ocupación con algún grado de exposición a la IA generativa.
Clave 1: ¿Quién responde cuando el agente se equivoca?
La primera regla que plantea la nota de La República es también la que menos empresas cumplen: cada proceso automatizado necesita una persona identificada, por cargo y por función, capaz de evaluar el comportamiento de la herramienta, detectar sesgos y frenar el sistema cuando corresponde.
En el estudio de IBM, el 98% de los encuestados dice haber asignado formalmente la responsabilidad del riesgo de IA a nivel de directorio y el 26% cuenta con un comité dedicado. Pero cuando se pregunta quién responde por los resultados adversos de un agente, no hay consenso: apenas el 17% señala al CIO o CTO como responsable, y tampoco existe un criterio común sobre quién asume la responsabilidad legal cuando el sistema causa un daño.
Traducido a una startup de veinte personas: no alcanza con decir que «el equipo de producto ve la IA». Hace falta un nombre, un proceso y un procedimiento de escalamiento por escrito.
Clave 2: ¿Cómo gestionar el riesgo antes de encender el agente?
La referencia que menciona la fuente es la norma ISO 31000, el estándar de gestión de riesgos. El trabajo es concreto: identificar qué puede fallar, estimar las consecuencias para el negocio y definir medidas preventivas y correctivas antes de que el agente toque producción. También implica adaptar los controles internos a los procesos automatizados, que es la parte que más se posterga.
Facundo Balmaceda, especialista en ciberseguridad de SONDA Argentina, lo describe con una imagen precisa en un análisis publicado por Ámbito: «La IA generativa entró a las empresas por la ventana, no por la puerta principal: la adoptaron los empleados antes que los equipos de sistemas». Ese fenómeno, el shadow AI, es la razón por la que un registro de riesgos debe empezar inventariando lo que tu equipo ya usa, no lo que aprobaste.
Del otro lado del mostrador, Yamandú Giménez Wenzel, senior solutions director de Aditi Consulting, plantea la pregunta que suele faltar en la fase de entusiasmo: qué proyectos no deberías escalar. «Si todo lo que se prueba termina escalándose, probablemente no estamos aprendiendo lo suficiente», dijo al mismo medio.
Clave 3: Zero Trust, permisos y el límite de lo que el agente puede tocar
El enfoque Zero Trust que menciona la fuente consiste en verificar cada acceso y limitar los permisos según la necesidad real de cada usuario o sistema: autenticación sólida, privilegios mínimos y supervisión permanente de la actividad de las herramientas.
El problema es que un agente puede tener un acceso legítimo y aun así hacer algo indebido. Un análisis de Forbes Technology Council lo ilustra con el marco «Zero Trust for AI Agents» de Anthropic, que suma observabilidad, trazabilidad y líneas base de comportamiento a los controles de acceso. La investigación de DTEX citada en ese artículo documenta una simulación en la que un agente pasó de un acceso confiable a Salesforce a un borrador en Outlook en 24 minutos, sin ninguna ruta de ataque exótica: solo aplicaciones aprobadas, datos sensibles y ejecución automática coincidiendo en el tiempo.
No se trata de prohibir la IA —como resume Balmaceda— sino de tener claro qué información es crítica, cuál es sensible y cuál es pública antes de elegir la herramienta.
Clave 4: datos personales, auditoría y la instrucción escondida
Cuando la IA procesa datos de clientes, trabajadores o proveedores, la fuente es explícita: la empresa debe fijar criterios de uso y conservación, y contar con mecanismos de auditoría. La protección de la información no es un anexo legal que se agrega al final; forma parte de la implementación tecnológica desde el inicio.
Ámbito agrega un riesgo poco intuitivo para founders: las inyecciones de prompt. Documentos con texto oculto —letras blancas sobre fondo blanco o fuentes casi invisibles— buscan alterar el criterio de un sistema automatizado. Aplicado a la práctica, eso afecta procesos como la selección de personal, el análisis de currículums o la evaluación de presupuestos: alguien puede influir en la decisión sin hablar nunca con una persona.
Clave 5: ¿Qué haces el día que la IA se cae?
La respuesta no se improvisa. La fuente pide procedimientos manuales alternativos, sistemas de respaldo y protocolos para recuperar la operación con rapidez, incluyendo escenarios donde haya que limitar, detener o reemplazar temporalmente la automatización.
En la encuesta de IBM, el 29% de los ejecutivos espera necesitar la capacidad de detener de inmediato la actividad de un agente en toda la empresa, y el 30% pide monitoreo en tiempo real con pistas de auditoría de cada decisión y acción. Son dos botones que conviene tener antes de conectar el agente al sistema de facturación, no después de la primera caída.
¿La certificación alcanza? Gobernanza para IA agéntica
Hay un salto que cambia las reglas: un chatbot que escribe mal una respuesta induce a error, pero un agente con permisos puede convertir ese error en una acción. Lo plantea un artículo de The Standard CIO sobre el caso de la firma regional NYXN y su marco Forge, orientado a integrar controles a lo largo de todo el ciclo de ingeniería en lugar de revisar la gobernanza al final.
La compañía cuenta con la certificación ISO/IEC 42001, el estándar de sistemas de gestión de inteligencia artificial. El mismo artículo marca la distinción clave: disponer de un sistema de gestión certificado no garantiza el comportamiento de cada despliegue. Cada agente depende de su diseño, sus datos, sus permisos, sus pruebas y los controles que establezca la empresa que lo pone en funcionamiento.
Para los equipos con operación en España, el calendario regulatorio agrega presión: según IBM, el 41% de los ejecutivos de la Unión Europea está acelerando la inversión en gobernanza antes de las obligaciones de alto riesgo del EU AI Act previstas para diciembre de 2027.
¿Qué significa esto para tu startup?
- Inventario antes que compra. Averigua qué herramientas de IA usa tu equipo hoy. El shadow AI es el riesgo más común y el más barato de cerrar: basta una encuesta interna y una revisión de cuentas activas.
- Una matriz de una página por agente. Quién lo opera, qué datos toca, qué puede hacer sin intervención humana y cómo se detiene. Si no cabe en una página, no está claro.
- Clasifica los datos antes de elegir la herramienta: crítica, sensible o pública. Esa decisión define los permisos, no al revés.
- Define umbrales de escalamiento humano. Cuanto mayor sea el impacto de una decisión sobre un cliente, un empleado o la caja, mayor debe ser la supervisión. La responsabilidad final no se delega al modelo.
- Prueba el plan B. Una vez por trimestre, ejecuta el proceso crítico a mano. Si no puedes, tu continuidad operativa es una promesa y no un plan.
Conclusión
La IA dejó de ser una ventaja por sí sola. Lo que separa a una empresa que escala con agentes de otra que acumula incidentes son los controles: quién responde, qué límites hay, qué se registra y qué se apaga cuando algo se desvía. Para las empresas peruanas y de toda la región, como señala la fuente original, el valor a largo plazo no dependerá solo de la sofisticación de los sistemas, sino de la calidad de los controles, la protección de la información y la capacidad de los líderes para responder por las decisiones que se toman.
Empieza por lo más simple y lo más difícil a la vez: poner un nombre debajo de cada agente.
Fuentes
- La República — IA en empresas: claves para automatizar con responsabilidad (fuente original)
- IBM Newsroom — IBM Study: Eight in Ten EMEA Enterprises Escalate AI Incidents to Board or C-Suite
- Infobae — El rezago institucional de América Latina ante la inteligencia artificial
- Ámbito — La inteligencia artificial avanza más rápido que los controles en las empresas
- The Standard CIO — IA agéntica: cómo llevar la gobernanza del discurso al código
- Marketing Tech News — AI agents are entering enterprise workflows faster than governance can keep up
- Forbes Technology Council — When AI Agents Have Valid Access, Zero Trust Needs More Than Identity
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
