Red Hat: 85% confía en sus agentes de IA, solo 30% ve datos

El 85% confía en sus agentes de IA, pero solo el 30% sabe dónde van los datos

El 85% de los responsables tecnológicos españoles confía en la seguridad y el cumplimiento normativo de sus agentes de IA, pero apenas el 30% conoce con precisión dónde se almacenan y procesan los datos que esos sistemas manejan. La brecha la recoge un estudio de Red Hat, elaborado por Censuswide entre 1.400 CIO de 14 países, incluida España.

Para un founder, la lectura es directa: la confianza en los agentes de IA está creciendo más rápido que la capacidad de auditarlos. Y en un entorno regulado como el europeo, esa diferencia se termina pagando.

¿Qué revela el estudio de Red Hat sobre los agentes de IA en España?

El informe sitúa la presencia de agentes autónomos de IA en el 100% de las organizaciones españolas participantes. No es adopción experimental: los agentes ya están dentro de la operación.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El problema es la visibilidad. El 47% reconoce deficiencias en la visibilidad de sus flujos de información y un 22% admite haber implantado funcionalidades de IA sin comprender completamente cómo circulan sus datos. Dicho de otro modo: hay sistemas en producción cuyo recorrido de datos nadie puede reconstruir.

Julia Bernal, directora general de Red Hat para España y Portugal, lo resume sin rodeos: "Para gobernar la IA con eficacia, lo primero es tener visibilidad total. Las organizaciones deben rastrear los flujos de datos, los componentes de software y el ciclo de vida de los agentes antes de escalar".

La cadena de suministro de software: el eslabón más flojo

El 79% de las empresas consultadas asegura poder corregir vulnerabilidades críticas en menos de 24 horas. Suena bien hasta que se cruza con el otro dato: solo el 22% dispone de un inventario completo y actualizado de los componentes de código abierto que utiliza, incluidos sus orígenes y sus dependencias directas e indirectas. La media internacional se sitúa ligeramente por debajo del 33%.

Sin inventario no hay detección. Si no sabes qué dependencias arrastra tu stack, no puedes saber si una vulnerabilidad recién publicada te afecta. La velocidad de respuesta se convierte en una promesa sin respaldo técnico.

La supervisión de proveedores externos, en mínimos

Solo el 28% de las compañías españolas cuenta con mecanismos de evaluación continua de los riesgos asociados a sus suministradores de IA, frente al 51% de Italia. Un 34% realiza comprobaciones antes de implantar estas tecnologías pero reconoce dificultades para mantenerlas después, y otro 32% se limita exclusivamente a la evaluación inicial.

El patrón se repite en los tres casos: se revisa una vez, al entrar, y no se vuelve a mirar. Con agentes que cambian de modelo, de permisos y de herramientas cada pocas semanas, esa foto fija caduca rápido.

¿Es un problema solo español? La gobernanza de agentes se rompe en todas partes

El hueco entre adopción y control no es exclusivo de España. Una encuesta de Dataiku y Harris Poll a 685 CIO globales, presentada en septiembre de 2026, encontró que el 81% no tiene visibilidad completa de los agentes creados fuera de los canales formales y que el 84% admite que los empleados crean agentes más rápido de lo que TI puede gobernarlos. El 90% dice tener seguimiento completo de sus agentes, pero el 72% no puede confirmar de forma consistente que esos agentes entreguen los resultados para los que se construyeron.

La razón técnica la explica David Baum, CEO de la plataforma de gobernanza Roval, en TechTarget: los agentes no son servidores, no son aplicaciones y no son usuarios. No tienen dirección IP, no aparecen como filas en el inventario de infraestructura y no se comportan como un usuario humano en el sistema de identidades. Una sola aplicación SaaS puede esconder tres, cinco o diez funciones de IA, cada una actuando como agente independiente con su propio patrón de acceso a datos. Las herramientas de monitoreo tradicionales simplemente no los ven.

El resultado es que nadie sabe cuántos agentes corren dentro de la empresa hasta que alguien del consejo pregunta. Y la respuesta habitual, según Baum, es "no lo sé".

El contexto de mercado no ayuda a relativizarlo. Gartner proyectó en junio de 2025 que más del 40% de los proyectos de IA agéntica serán cancelados para finales de 2027, citando costos crecientes, valor de negocio poco claro y controles de riesgo inadecuados. Y AWS señala que casi el 90% de los prototipos tempranos de agentes nunca llegaron a producción, según recoge The Next Web.

El calendario del AI Act: qué exige y para cuándo

Aquí está la parte que convierte la gobernanza en una decisión de negocio. Según elDiario.es, el Reglamento europeo de IA (UE 2024/1689) entró en vigor en agosto de 2024 y se aplica por fases: las prácticas prohibidas y la obligación de formar al personal que usa IA rigen desde febrero de 2025, y las normas para modelos de uso general desde agosto de 2025.

Las exigencias para sistemas de alto riesgo estaban previstas para agosto de 2026, pero el paquete Digital Omnibus las retrasó hasta el 2 de diciembre de 2027 para los sistemas del anexo III (selección de personal, evaluación de solvencia, educación) y hasta agosto de 2028 para los integrados en productos regulados. Las empresas de menos de 750 empleados tendrán requisitos de documentación técnica simplificados.

Dos matices que importan: el retraso no equivale a una moratoria general —lo que ya es aplicable sigue siéndolo— y las sanciones por incumplir las prohibiciones llegan a 35 millones de euros o al 7% de la facturación mundial, según cuál sea mayor. En España, la vigilancia corresponde a la AESIA, con sede en A Coruña.

¿Qué significa esto para tu startup?

La buena noticia es que el tiempo ganado sirve para hacer el trabajo previo con calma. La mala es que la mayoría de las startups hispanohablantes todavía no lo está usando.

Haz el inventario de agentes, no solo de herramientas. Lista cada agente que corre en tu empresa, incluidos los que vienen embebidos en el SaaS que ya pagas y los que un developer montó como side project. Para cada uno, anota dueño, permisos y a qué sistemas accede. Un agente sin responsable nombrado es un agente que nadie va a apagar cuando esa persona cambie de rol.
Nombra un responsable y define el protocolo de respuesta. El estudio de Red Hat apunta a perfiles con experiencia en gobernanza de datos y seguridad (CISO, cumplimiento o gobierno de datos) como quienes pueden implementar trazabilidad, inventarios y evaluación continua de proveedores. En una startup de 20 personas eso suele ser una persona con el sombrero puesto, no un departamento.
Pide documentación a tus proveedores de IA antes de renovar. Quien usa un sistema de IA en su actividad, aunque no lo haya creado, tiene obligaciones como responsable del despliegue. Un contrato bien redactado ayuda, pero no te libra de lo que ocurre dentro de tu empresa.
Automatiza el inventario de dependencias. Si solo el 22% de las empresas españolas tiene un inventario completo de código abierto, la mayoría está corriendo a ciegas. Las herramientas de análisis de composición de software resuelven buena parte de esto en días, no en trimestres.

Conclusión

El dato que debería inquietar a un founder no es el 85% de confianza: es el 30% de visibilidad. La confianza sin trazabilidad no es una postura de seguridad, es una apuesta. Y con el AI Act aplicándose por fases y sanciones que se miden en porcentaje de facturación global, esa apuesta tiene un precio concreto.

El trabajo de gobernanza no es glamoroso y no aparece en el pitch deck. Pero es exactamente el tipo de infraestructura aburrida que decide si puedes escalar tus agentes de IA o si tienes que frenarlos cuando llegue la primera auditoría.