Los riesgos de la inteligencia artificial ya forman parte de las decisiones de la alta dirección, según un estudio encargado por IBM a Censuswide, el 82% de los directivos consultados en España afirma que un incidente relacionado con esta tecnología llegó al consejo de administración o al comité ejecutivo durante el último año. Sin embargo, solo el 36% señala que modificó su política o marco de gobernanza como respuesta.
Los despliegues avanzan mientras se ajustan los controles
La diferencia entre adopción y supervisión aparece en la forma de gestionar los proyectos, cuando la implantación de IA supera la preparación de los mecanismos de gobernanza y cumplimiento, el 65% de los directivos españoles encuestados opta por continuar dentro de los límites de riesgo acordados mientras adapta esos mecanismos.
Otro 30% prefiere retrasar el despliegue hasta disponer de los controles adecuados, son dos respuestas distintas a una misma tensión, aprovechar las capacidades de la tecnología y determinar en qué condiciones puede utilizarse. Continuar un proyecto dentro de un riesgo aceptado requiere que ese límite se haya definido, mientras que detenerlo traslada la prioridad a completar antes los instrumentos de supervisión.
La llegada de agentes añade una nueva dimensión, a diferencia de una herramienta utilizada únicamente para obtener una respuesta, estos sistemas pueden intervenir en la ejecución de tareas y adquirir distintos grados de autonomía. En la muestra española, el 25% de los encuestados afirma que ya utiliza IA agéntica en producción.
Las expectativas apuntan a una expansión rápida, el 73% prevé que los agentes dispongan de algún grado de autonomía en la toma de decisiones para 2027. Frente a esa previsión, solo el 34% considera que su marco actual está preparado para ampliar esos despliegues, la distancia refleja una necesidad de adaptación reconocida por los propios participantes.
El consejo asume el riesgo, pero la responsabilidad sigue dispersa
La asignación formal de responsabilidades está muy extendida, el 99% de los directivos españoles consultados indica que el consejo tiene atribuida la responsabilidad sobre el riesgo de IA, y un 27% cuenta con un comité específico en ese nivel. Sin embargo, esa atribución no se traduce en un criterio compartido sobre quién debe responder por los resultados adversos de los agentes.
El director de sistemas o el director de tecnología, identificados como CIO y CTO, constituyen la función mencionada con mayor frecuencia, pero solo por el 12% de los encuestados. El resultado apunta a una distribución de opiniones, más que a un responsable claramente aceptado por la mayoría.
También hay diferencias sobre el reparto de responsabilidad cuando un sistema ocasiona daños significativos, el 19% considera que debería distribuirse proporcionalmente entre la organización que utiliza la IA y su proveedor; el 18% plantea la necesidad de un marco regulatorio más adecuado, y el 14% la atribuiría al proveedor de IA o tecnología. Estas respuestas expresan preferencias de los participantes, no una descripción de cómo se determina legalmente esa responsabilidad.
Ana Paula Assis, vicepresidenta sénior de IBM y presidenta para EMEA y APAC, vincula el valor empresarial de los agentes con la capacidad de desplegarlos de forma responsable. Su planteamiento pasa por incorporar la gobernanza a su funcionamiento, con límites de actuación, responsabilidades definidas y controles en tiempo real, las medidas que los directivos consideran necesarias permiten concretar esa supervisión. Un 33% señala los marcos legales o contractuales que definan la responsabilidad de los proveedores ante fallos de los agentes, mientras que un 31% destaca la necesidad de umbrales claros para solicitar intervención humana.
El 30% considera necesaria la posibilidad de detener inmediatamente la actividad de los agentes en toda la organización, otro 29% apunta a la supervisión en tiempo real y a los registros que permitan auditar sus decisiones y acciones. Cada medida cubre una parte diferente del proceso, establecer condiciones, detectar situaciones que exigen revisión, reconstruir lo sucedido y frenar una actuación.
La forma de organizar los riesgos tampoco es uniforme, el 53% gestiona la IA generativa y los sistemas agénticos como categorías diferentes, con marcos separados. Otro 40% utiliza un marco común al que añade controles específicos para los agentes, ambas aproximaciones reconocen que el grado de autonomía introduce necesidades adicionales.
Los proveedores amplían el perímetro de supervisión
El control se complica cuando la IA se incorpora a través de terceros, el 49% de los participantes en España reconoce carencias o limitaciones en la cobertura de los sistemas y modelos utilizados por proveedores, socios tecnológicos y otros integrantes de la cadena de suministro. Solo un 20% afirma que supervisa de manera continua el riesgo de IA de terceros, y un 12% aplica requisitos independientes de garantía o certificación. La investigación identifica así un espacio de supervisión que va más allá de las herramientas desplegadas directamente por la organización.
También queda recorrido para traducir las carencias de gobernanza a una dimensión económica, únicamente el 32% dispone de una cuantificación formal del riesgo financiero asociado a esas deficiencias que haya sido revisada por el consejo de administración. El estudio de IBM sitúa la siguiente etapa de adopción en ese trabajo operativo: concretar quién responde, hasta dónde puede actuar un agente y cómo se controla su actividad, incluidos los sistemas de los proveedores.
Si (
No(
