Solo 18% de empresas en LATAM gobierna su IA: claves

La adopción de IA en LATAM corre más rápido que sus reglas internas

Solo el 18% de las empresas de América Latina cuenta con marcos formales de gobernanza de IA y apenas un 17% tiene políticas de uso declaradas para sus colaboradores. El dato sale del estudio AI Readiness in Latin America 2026 de la firma RSM, realizado con más de 400 líderes empresariales, y contrasta con el 40% de organizaciones que ya integró herramientas de IA en sus operaciones y el 68% que proyecta ampliar su uso en los próximos 12 meses.

Para un founder, la lectura es directa: la IA ya entró a la empresa, pero nadie firmó las reglas de la casa. Y cuando no hay reglas, el riesgo no desaparece: se traslada a la operación, al equipo y a los datos.

Shadow AI: el 67% entra con cuenta personal desde un equipo corporativo

El Data Breach Investigations Report (DBIR) 2026 de Verizon pone número al fenómeno: el 67% de los usuarios accede a servicios de IA desde dispositivos corporativos con cuentas personales. El 45% de los empleados los usa con frecuencia regular, frente al 15% registrado en 2025.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Esa brecha es el corazón del problema. La gobernanza formal avanza al ritmo de un comité, mientras el uso real avanza al ritmo de una pestaña nueva en el navegador.

El contexto regional ayuda a dimensionarlo. El informe State of AI in Latin America de Hi Ventures, difundido por El Español, encontró que el 71% de las corporaciones consultadas ya adoptó IA en algún equipo o función, y que el 78% afirma tener un marco formal para la IA o estar desarrollándolo. La diferencia con el 18% de RSM no es una contradicción: es la distancia entre «estamos escribiendo el documento» y «el documento existe, se conoce y se audita».

Código generado y agentes autónomos: los dos frentes sin supervisión

El riesgo se vuelve concreto en dos áreas donde la IA ya toma decisiones.

La Encuesta de Desarrolladores 2026 de Stack Overflow muestra que el 66% de los programadores usa asistentes de código, pero solo el 24% dice que su empresa definió herramientas homologadas o guías de uso formal. Traducción: dos de cada tres desarrolladores escriben con IA y tres de cada cuatro lo hacen sin marco aprobado.

En automatización el hueco es mayor. El Observatorio de Agentic AI 2026 de CIONET y NTT DATA advierte que el 80,8% de las compañías evaluadas carece de mecanismos formales para auditar las decisiones de sus agentes autónomos.

«Los asistentes de programación pueden acelerar la entrega de servicios digitales, pero el código que generan no es seguro por defecto y requiere revisión. Por su parte, los agentes de IA, capaces de consultar bases de datos, enviar correos o modificar configuraciones, pueden comprometer operaciones si cuentan con permisos excesivos y carecen de mecanismos adecuados de supervisión», explicó José Amado, AI Security Manager de la firma SISAP.

¿Por qué la brecha de gobernanza es más grave en LATAM?

Hay tres razones estructurales.

Primero, el costo de la informalidad. Según un informe de ESET citado por Cinco Días, hasta el 20% de las organizaciones ya sufrió brechas vinculadas al uso no autorizado de IA, y ese tipo de incidentes puede elevar el costo medio de una brecha en más de 500.000 euros.

Segundo, el patrón es global y no una rareza local. Una investigación del National Cyber Security Centre del Reino Unido citada por La Vanguardia indica que el 71% de los empleados usa herramientas de IA sin aprobación de su empleador. El informe The Value of AI 2026 de Oxford Economics y SAP va más lejos: solo el 3% afirma no haber usado nunca IA con fines profesionales.

Tercero, el marco regulatorio llega fragmentado. Brasil avanza con el Proyecto de Ley n.º 2.338/2023, aprobado por el Senado y pendiente en la Cámara de Diputados, mientras la ANPD ya fiscaliza con un sandbox regulatorio de IA; México entró en 2026 con su ley de privacidad actualizada y Argentina construye criterios vía tribunales, según un relevamiento publicado por Uantech. Para una startup que opera en varios países, no hay un estándar único: hay que cumplir el más exigente de los mercados donde vende.

Los siete frentes para gobernar la IA en tu empresa

SISAP estructuró una hoja de ruta de siete ejes coordinados, útil como checklist para cualquier equipo:

Gobierno y comités de decisión: comités multidisciplinarios (negocio, tecnología, riesgo y seguridad) que definan niveles de tolerancia al riesgo.
Visibilidad del uso real: inventariar aplicaciones, extensiones de navegador y funciones de IA que usa el equipo.
Cuentas y licencias corporativas: reemplazar accesos personales por credenciales empresariales con autenticación centralizada y control de permisos.
Protección y clasificación de datos: restringir el ingreso de información sensible, financiera, datos personales o código fuente en modelos no autorizados.
Seguridad en desarrollo de software: definir asistentes de programación autorizados y someter el código a pruebas de vulnerabilidad antes de ejecutarlo.
Control operativo sobre agentes de IA: limitar privilegios de ejecución, mantener registros de actividad (logs) y habilitar mecanismos de detención de emergencia.
Capacitación y auditoría continua: formar al personal en riesgos digitales y revisar la infraestructura de forma periódica.

¿Qué significa esto para tu startup?

La buena noticia es que la gobernanza de IA no exige un departamento legal. Exige decisiones concretas y documentadas. Dos que puedes tomar esta semana:

Haz el inventario antes de la política. Antes de redactar un documento, pide a cada área que liste qué herramientas de IA usa hoy, con qué cuenta y qué datos carga en ellas. Ese inventario —incluyendo extensiones de navegador y funciones de IA embebidas en software que ya pagas— es la base de todo lo demás. Sin visibilidad, cualquier política es decorativa.
Empieza por los permisos de los agentes. Si ya tienes automatizaciones o agentes conectados a bases de datos, correos o configuraciones, revisa hoy qué pueden hacer y con qué credenciales. Un agente con permisos de administrador y sin logs es el riesgo más caro y el más rápido de mitigar: limita privilegios, activa registros y define quién puede detenerlo.

Y una tercera, de fondo: trata la gobernanza como producto, no como trámite. Una política de IA que nadie lee no reduce riesgo. Un proceso claro —qué herramienta está aprobada, qué dato no sale de la empresa, quién revisa una decisión automatizada— sí. Ese proceso también te sirve comercialmente: cada vez más clientes corporativos y compradores europeos incluyen preguntas de gobernanza de IA en sus cuestionarios de proveedores antes de firmar.

Conclusión

El 18% de gobernanza formal no es un problema de tecnología: es una decisión postergada. La IA ya está en las operaciones de cuatro de cada diez empresas latinoamericanas y en las cuentas personales de dos de cada tres empleados. La pregunta ya no es si tu equipo usa IA, sino si tú sabes cómo, con qué datos y con qué límites. Las empresas que resuelvan eso primero no solo reducen riesgo: ganan velocidad para escalar sin frenar cada proyecto por miedo al incidente.