La transformación de la IA es un problema de gobernanza

Última actualización: 15 de octubre, 2026

¿Por qué la transformación de la IA es un problema de gobernanza? Porque los modelos ya no son el cuello de botella. La mayoría de las organizaciones puede comprar o construir una IA potente en pocas semanas, pero le cuesta decidir quién es responsable de cada sistema, qué puede hacer y cómo demostrar que se comportó como debía. La gobernanza de la transformación con IA es ahora el límite para escalar: según IBM y Oxford Economics (2026), el 77 % de los directivos afirma que la adopción de IA avanza más rápido que su capacidad de gobernanza.

Resumen: ideas clave

• La brecha se amplía. El 77 % de los directivos dice que la adopción supera a la gobernanza y solo el 11 % se siente totalmente preparado para el despliegue de agentes de IA previsto en el próximo año, según IBM y Oxford Economics (2026).
• Hay políticas, pero no se aplican. El 98 % de las grandes empresas tiene políticas formales de gobernanza de la IA, y aun así el 47 % se saltó el proceso en despliegues urgentes, según EY (2026).
• Los agentes actúan solos. El 85 % de los usuarios de IA agéntica dice que algunos de sus sistemas actúan sin intervención humana en tiempo real, y el 26 % no puede detectar agentes no autorizados (EY, 2026).
• La madurez es escasa. Solo el 21 % de las organizaciones declara tener un modelo de gobernanza maduro para la IA agéntica, según el informe State of AI in the Enterprise 2026 de Deloitte.
• Los controles integrados compensan. Las organizaciones que incorporan controles en sus sistemas de IA registran un 25 % menos de incidentes que las que dependen de la gobernanza manual (IBM, 2026).
• El aplazamiento de la UE cambia la fecha, no la obligación. Las obligaciones de alto riesgo del Anexo III se aplican ahora desde el 2 de diciembre de 2027, según el resumen de Usercentrics del Reglamento (UE) 2026/1744.

La brecha de gobernanza de la IA en cifras

Cómo leemos estas encuestas

Los estudios difieren en muestra, geografía y formulación. EY encuestó a 202 responsables de decisiones de IA de empresas con al menos 1000 millones de dólares de ingresos (margen de error de ±7 puntos), IBM a 2000 directivos de 33 geografías, Deloitte a 3235 líderes de 24 países y Schellman a más de 500 líderes empresariales de EE. UU. Trata las cifras como señales orientativas que apuntan en la misma dirección, no como un único conjunto de datos.

¿Qué es la brecha de gobernanza de la IA?

La brecha de gobernanza de la IA es la distancia entre la velocidad a la que una organización despliega IA y la velocidad a la que puede asignar responsables, aplicar límites, monitorizar el comportamiento y aportar pruebas. Crece cuando las políticas existen en papel, pero nada las hace cumplir en tiempo de ejecución. Las encuestas de EY, IBM y Deloitte de 2026 muestran que la brecha aumenta a medida que los agentes llegan a producción.

Para una introducción a los conceptos básicos, consulta qué implica la gobernanza de la IA.

Tecnología, gestión y gobernanza son tres trabajos distintos

Con frecuencia se mezclan tres funciones. La tecnología construye el sistema: modelos, infraestructura y ciencia de datos. La gestión lo opera día a día y vigila su rendimiento inmediato. La gobernanza fija las reglas, las estructuras y las responsabilidades: quién puede actuar, quién supervisa, quién interviene y quién responde de las consecuencias.

Cuando los agentes empiezan a actuar de forma autónoma, los límites entre estos trabajos se difuminan y aparece un vacío de responsabilidad. La decisión se toma a velocidad de máquina y la responsabilidad se reparte entre equipos de datos, responsables de producto, responsables de cumplimiento y líderes de negocio sin un propietario claro.

Política no es aplicación

Los datos de EY muestran el patrón con claridad. Casi todas las grandes empresas tienen una política, pero casi la mitad admite que se saltó el proceso de gobernanza cuando un despliegue era urgente. El proceso falló bajo presión porque estaba fuera de los sistemas que debía controlar. Una gobernanza que depende de que alguien recuerde seguir una lista de comprobación perderá frente a cualquier fecha límite.

Confianza no es evidencia

La encuesta de Schellman, recogida por la Cloud Security Alliance, concluyó que el 74 % de los líderes cree que superaría hoy una auditoría de cumplimiento de IA, mientras que solo el 27 % describe sus programas de gobernanza como plenamente maduros. Solo el 44 % tiene procedimientos documentados de respuesta a incidentes específicos de IA. Una auditoría pide registros, decisiones y pruebas, y la mayoría de los programas todavía no puede producirlos a demanda.

Por qué la transformación de la IA se atasca sin gobernanza

La transformación de la IA se atasca cuando nadie sabe decir quién responde de las decisiones de un sistema, qué datos toca y qué tiene permitido hacer. Los modelos potentes hacen fáciles las pruebas de concepto. Escalarlos deja al descubierto la falta de derechos de decisión, y los proyectos se detienen en la primera revisión de riesgos que nadie sabe responder.

El estudio de IBM apunta a una causa estructural. Cerca de dos tercios de los CIO y CTO encuestados son responsables de sistemas de IA que no controlan por completo, y el 70 % afirma que los equipos de negocio despliegan tecnología más rápido de lo que TI puede seguirla. La responsabilidad y el control están en sitios distintos.

La gobernanza también acelera a los equipos cuando está bien construida. Schellman halló que las organizaciones con gobernanza madura ejecutan agentes en producción en un 78 %, frente al 22 % de las que aún construyen sus programas. Una encuesta no prueba la causalidad, pero la dirección es coherente: los equipos que conocen las reglas lanzan más.

Los algoritmos como tomadores de decisiones: por qué la IA agéntica sube las apuestas

La IA agéntica sube las apuestas porque los agentes realizan acciones, no solo producen texto. Llaman a herramientas, modifican registros, mueven datos y activan a otros agentes. Cada acción es una decisión tomada por un algoritmo, y cada decisión necesita un responsable, un límite y un registro.

La escala es lo que convierte esto en una crisis y no en una molestia. Una regla defectuosa en un sistema de TI estático puede afectar a decenas de decisiones. Un modelo defectuoso o un agente con demasiados permisos puede afectar a millones de decisiones en minutos, de modo que el radio de explosión de un fallo de gobernanza es mucho mayor que antes. La IA en la sombra lo amplía aún más, porque los empleados que adoptan herramientas por su cuenta sacan los derechos de decisión y los datos de la empresa de cualquier revisión.

Las cifras muestran hasta dónde se ha llegado. Según EY (2026), el 91 % de las organizaciones encuestadas usa IA agéntica en pilotos o en despliegue completo, el 85 % de esos usuarios tiene sistemas que actúan sin intervención humana en tiempo real y el 26 % no puede detectar agentes de IA no autorizados que operan dentro de su organización. IBM (2026) prevé que el número de agentes desplegados crezca un 38 % de aquí a 2027.

Gobernanza basada en políticas frente a gobernanza aplicada en tiempo de ejecución

Ninguna capa sustituye a la otra. La política fija la intención y la aplicación en tiempo de ejecución la hace real. El dato de EY de que el 47 % se saltó el proceso en despliegues urgentes es lo que ocurre cuando solo existe la primera capa.

Los tres pilares de una estrategia de IA con gobernanza como prioridad

Una estrategia con la gobernanza como prioridad se apoya en tres pilares: control sobre los datos que toca la IA, supervisión de cada modelo a lo largo de su ciclo de vida y puntos de decisión humana colocados donde el riesgo es mayor. Cada pilar necesita un responsable y un control medible; de lo contrario, se queda en una diapositiva de la presentación al consejo.

Soberanía e integridad de los datos

Sabe qué datos puede leer cada sistema, dónde se procesan y quién puede modificarlos. EY halló que al 72 % de los líderes encuestados le preocupa no poder rastrear el linaje de los datos, y los problemas de calidad de datos fueron lo más frecuente en las revisiones de aseguramiento (57 %). Entre los controles prácticos están clasificar los datos antes de conectarlos, elegir dónde se procesan y dar a cada agente acceso con privilegios mínimos.

Supervisión del ciclo de vida del modelo

Trata cada modelo y cada agente como un producto con ciclo de vida: aprobación, pruebas, monitorización, control de cambios y retirada. Las revisiones de aseguramiento de EY detectaron deriva del modelo en el 48 % de los casos y, entre las organizaciones que las hicieron, el 29 % pausó al menos una cuarta parte de sus sistemas de IA. Un registro de modelos, versiones y responsables es el punto de partida. Las pruebas continuas, incluidas las adversarias, convierten ese registro en supervisión.

Arquitectura con el humano en el bucle

La revisión humana funciona cuando se reserva para acciones de alto impacto y difíciles de revertir. Falla cuando cada acción necesita aprobación, porque los revisores dejan de leer. Define niveles de acción: automática para los pasos de bajo riesgo, registrada para los de riesgo medio y aprobada por una persona para las acciones que mueven dinero, borran datos o cambian permisos. Después, aplica esos niveles en el sistema, no en un PDF de políticas.

El nuevo deber fiduciario de la sala de juntas

Los consejos de administración tienen ahora el deber fiduciario de supervisar el riesgo de la IA igual que supervisan el riesgo financiero y el de ciberseguridad. Eso significa pedir pruebas, no tranquilidad. Según la encuesta de Schellman, solo el 36 % de los consejos debate con regularidad el riesgo de IA de terceros, y el 42 % deja las decisiones de compra y adopción de IA en manos de un único directivo.

La investigación de Deloitte sobre la IA en el consejo describe avances a nivel de consejo, con margen para acelerar. Por separado, Deloitte (2026) indica que solo el 21 % de las organizaciones tiene un modelo de gobernanza agéntica maduro, mientras que el 74 % espera usar agentes al menos de forma moderada en 2027. Un consejo que ve ambas cifras debería exigir un plan para cerrar esa distancia.

Cinco preguntas ofrecen un buen punto de partida para un consejo:

• ¿Qué agentes de IA funcionan hoy en producción y quién es responsable de cada uno?
• ¿A qué puede acceder y qué puede cambiar cada agente, y quién aprobó esos permisos?
• ¿Cómo detectamos un agente que no hemos aprobado?
• ¿Qué pasó en nuestro último incidente de IA y cuánto tardamos en contenerlo?
• ¿Podríamos aportar evidencia de auditoría de nuestro sistema de mayor riesgo esta semana?

IBM halló que las organizaciones sufrieron de media 54 incidentes con agentes de IA el año pasado y que el 17 % fue de gravedad alta y tardó más de cuatro horas en contenerse. Esas cifras merecen un lugar en el registro de riesgos del consejo, junto a los incidentes de ciberseguridad que ya sigue.

Qué significa el aplazamiento de la Ley de IA de la UE para la gobernanza de la IA

El Digital Omnibus de la UE aplazó los plazos de alto riesgo de la Ley de IA, pero no eliminó las obligaciones. Para las organizaciones que despliegan IA en Europa, el aplazamiento es tiempo para construir evidencias, no un motivo para parar. Según Travers Smith, el acuerdo político se alcanzó el 7 de mayo de 2026, y Usercentrics indica que el Reglamento (UE) 2026/1744 entró en vigor el 27 de julio de 2026.

Las fechas reflejan los resúmenes de los despachos de abogados y de las empresas de cumplimiento enlazados arriba. Confírmalas con el texto del Diario Oficial junto a tu equipo legal antes de basar en ellas tu planificación de cumplimiento. Según Schellman vía CSA (2026), solo el 29 % de las organizaciones se ha preparado para la Ley de IA de la UE, así que los meses extra son una oportunidad para el 71 % restante.

Seguridad y gobernanza: cerrar la brecha en tiempo de ejecución

La gobernanza de la IA falla en la práctica cuando faltan controles de seguridad en tiempo de ejecución. Los riesgos para la empresa son concretos: prompt injection que redirige a un agente, fuga de datos a través de prompts y salidas de herramientas, y uso indebido de herramientas cuando un agente tiene más permisos de los que necesita su tarea. La gobernanza define quién puede hacer qué, y la seguridad lo aplica en cada llamada.

Los datos de incidentes de IBM muestran lo que está en juego. Entre los incidentes graves con agentes de IA, el 37 % provocó exposición de datos o brechas de seguridad, el 33 % causó fallos en cascada del sistema y el 17 % desencadenó problemas de cumplimiento. EY añade que la ciberseguridad (52 %) y la IA en la sombra (46 %) figuraron entre los riesgos de IA más frecuentes que las organizaciones encontraron en el último año.

NeuralTrust, una empresa de seguridad para agentes de IA con sede en Barcelona, aborda estos riesgos con el Runtime Security Mesh. Agent Gateway (TrustGate) aplica permisos y límites por agente a cada petición y conecta los agentes con más de 200 servidores MCP preconfigurados por un único camino controlado. Agent Runtime Security (TrustGuard) inspecciona prompts y respuestas en tiempo de ejecución, y Agent Posture Management (TrustLens) da a los equipos un inventario de los agentes y herramientas en uso. AI Red Teaming (TrustTest) prueba esos controles antes de que lo hagan los atacantes. El trabajo de NeuralTrust en defensa en tiempo de ejecución para IA ha sido reconocido en cuatro Gartner Hype Cycle en 2026, y la plataforma se despliega en tu propia infraestructura, on-premises o como servicio gestionado en la UE o en EE. UU.

Para la capa de protocolo, consulta nuestras guías sobre servidores MCP y autenticación MCP.

Un plan de 90 días para cerrar la brecha de gobernanza de la IA

Un plan de 90 días bien enfocado puede llevar un programa de los documentos de políticas a los controles aplicados. La secuencia siguiente empieza por la visibilidad, porque no se puede gobernar lo que no se ve.

1. Inventaría cada sistema y agente de IA (días 1 a 30). Lista modelos, agentes, herramientas, fuentes de datos y responsables, incluida la IA en la sombra. EY halló que el 26 % de los usuarios de IA agéntica no puede detectar agentes no autorizados, así que da por hecho que el primer inventario estará incompleto.
2. Asigna derechos de decisión (días 1 a 30). Nombra a un responsable por sistema y define quién aprueba nuevos agentes, nuevas herramientas y nuevas conexiones de datos.
3. Define niveles de acción (días 31 a 60). Clasifica las acciones como automáticas, registradas o aprobadas por una persona, y escribe esos niveles en las reglas de acceso de cada agente.
4. Aplica controles en tiempo de ejecución (días 31 a 60). Dirige el tráfico de los agentes por un gateway que aplique permisos, límites de uso y comprobaciones de contenido, y registra cada acción.
5. Prueba los controles (días 61 a 90). Ejecuta red teaming contra prompt injection, fuga de datos y uso indebido de herramientas, y corrige lo que falle.
6. Informa al consejo (días 61 a 90). Presenta en una sola página el inventario, las métricas de incidentes y la preparación de evidencias de auditoría, y repítelo cada trimestre.

¿Qué enfoque de gobernanza deberías elegir?

El mejor punto de partida depende de cuántos agentes ejecutas y de lo regulados que estén tus datos. Usa esta tabla para elegir el primer paso que encaje con tu situación.

Conclusión

La transformación de la IA es un problema de gobernanza porque la velocidad de despliegue supera ya a la velocidad con la que se asignan responsables, controles y evidencias. Las encuestas de 2026 coinciden: las políticas son habituales, su aplicación es rara y los agentes ya actúan por su cuenta. Las organizaciones que incorporan controles en sus sistemas, eligen con criterio sus herramientas de gobernanza de IA, ejecutan la IA de forma segura en producción, dan al consejo evidencias reales y aprovechan el aplazamiento de la UE para estar listas para una auditoría escalarán la IA más rápido y con menos incidentes que las que gobiernan con documentos.

Protege tus agentes de IA en producción con NeuralTrust

Reserva una demo para ver cómo NeuralTrust coloca permisos, límites y registros delante de tus primeros agentes.

Artículos relacionados

• Guía de Gobernanza de la IA 2026: Marcos, Políticas y Mejores Prácticas
• Guía de Implementación NIST AI RMF 1.0 para Empresas 2026
• Guía de Cumplimiento de la Ley de IA de la UE para Empresas 2026
• Marcos de Gobernanza de IA Comparados: NIST vs ISO 42001 vs Ley de IA de la UE
• Gestión del Riesgo de IA para Empresas: Identificación, Evaluación y Mitigación
• Monitorización de la Gobernanza de la IA: Auditoría Continua para Sistemas de IA
• Auditoría de Gobernanza de IA: Prepárate para tu Primera Auditoría
• ¿Qué es el Shadow AI? Guía de Riesgos, Detección y Prevención para 2026
• Gobernanza de IA Agéntica: Un Marco de Políticas para Agentes de IA Autónomos
• Qué es un servidor MCP y por qué importa
• Buenas prácticas de seguridad en la nube: 25 controles
• Autenticación MCP: OAuth 2.1 bien hecho para agentes de IA

Preguntas frecuentes sobre la gobernanza de la transformación con IA

1. ¿Por qué la transformación de la IA es un problema de gobernanza?

La transformación de la IA se atasca porque las organizaciones no saben responder quién es responsable de cada sistema, qué puede hacer y cómo demostrar que se comportó bien. El estudio de IBM de 2026 halló que el 77 % de los directivos dice que la adopción supera a la gobernanza. La tecnología funciona, pero faltan responsables, límites y evidencias.

2. ¿Qué es la gobernanza de la IA?

La gobernanza de la IA es el conjunto de roles, políticas y controles técnicos que deciden cómo se aprueban, usan, monitorizan y retiran los sistemas de IA. Abarca responsabilidad, tratamiento de datos, gestión de riesgos y evidencias regulatorias. Los programas eficaces combinan una política escrita con controles aplicados dentro de los propios sistemas.

3. ¿Cómo cambia la IA agéntica los requisitos de gobernanza?

La IA agéntica actúa por su cuenta, así que la gobernanza debe cubrir acciones y no solo resultados. EY halló que el 85 % de los usuarios de IA agéntica tiene sistemas que actúan sin intervención humana en tiempo real. Cada agente necesita un responsable, permisos acotados, niveles de acción y un registro continuo.

4. ¿Qué es la brecha de gobernanza de la IA?

La brecha de gobernanza de la IA es la distancia entre la velocidad a la que las organizaciones despliegan IA y la velocidad a la que pueden asignar responsables, aplicar límites y aportar evidencias. Las encuestas de EY, IBM y Deloitte de 2026 muestran que se amplía, y que solo el 21 % declara una gobernanza agéntica madura.

5. ¿Quién es responsable de la gobernanza de la IA en una empresa?

La responsabilidad debe ser compartida, pero no difusa. Un directivo concreto lidera el programa, cada sistema de IA tiene un responsable y el consejo supervisa el riesgo. Schellman halló que el 42 % de las organizaciones deja las decisiones de IA en manos de un único directivo, y solo el 36 % de los consejos debate con regularidad el riesgo de IA de terceros.

6. ¿Qué implica para las empresas el aplazamiento de la Ley de IA de la UE?

El Digital Omnibus trasladó las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027 y las del Anexo I al 2 de agosto de 2028, según resúmenes jurídicos publicados. Las obligaciones siguen en pie. Aprovecha el tiempo extra para construir registros, inventarios y documentación de riesgos, y confirma las fechas con tu asesor legal.

7. ¿Cómo se mide la madurez de la gobernanza de la IA?

Mídela con evidencias, no con autoevaluaciones. Algunos indicadores útiles son el porcentaje de sistemas de IA con responsable asignado, el porcentaje de tráfico de agentes que pasa por controles aplicados, el tiempo de contención de incidentes y si puedes aportar evidencia de auditoría a demanda. Schellman halló que el 74 % se siente listo para una auditoría, pero solo el 27 % considera su programa plenamente maduro.

8. ¿Por dónde debería empezar una empresa con la gobernanza de la IA?

Empieza por un inventario de cada sistema y agente de IA, incluida la IA en la sombra, y asigna después un responsable a cada uno. A continuación, añade controles en tiempo de ejecución como permisos, límites y registros. Un plan de 90 días que siga este orden lleva un programa de la política a la aplicación.

Sobre el autor

Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLMs. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta en LinkedIn.

NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, destacada en cuatro informes Gartner Hype Cycle de 2026 y presente en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Sede en Barcelona, con oficinas en Londres y Nueva York. Certificada ISO 27001.

Fuentes

1. IBM Institute for Business Value y Oxford Economics, "New IBM Study Finds CIOs and CTOs Face Growing AI Control Gap" (8 de junio de 2026)
2. EY, "Autonomous AI implementation outpaces oversight, yielding an AI governance gap" (15 de septiembre de 2026)
3. GRC Report, cobertura de State of AI in the Enterprise 2026 de Deloitte (11 de mayo de 2026)
4. Cloud Security Alliance, cobertura del 2026 State of AI Governance Report de Schellman (16 de septiembre de 2026)
5. Travers Smith, "EU agrees to delay key AI Act compliance deadlines" (mayo de 2026)
6. Usercentrics, "EU AI Act Deal: Digital Omnibus Now in Force" (2026)
7. Deloitte, "Progress on AI in the boardroom, but room to accelerate" (2026)