La IA no es una capa más de productividad, sino una fuerza estructural de la economía. Si bien se está integrando en las operaciones comerciales principales, la gobernanza no avanza al mismo ritmo. El último estudio de ISACA en Europa revela que el 59 % de las organizaciones desconoce la rapidez con la que podrían detener un sistema de inteligencia artificial durante un incidente de seguridad. A medida que adquiere mayor protagonismo en las decisiones, los flujos de trabajo y la interacción con el cliente, el riesgo real ya no reside solo en su funcionamiento, sino en si la organización está preparada para controlarla, rendir cuentas y responder ante sus fallos.
Esta tecnología ya no se limita a pilotos o equipos de innovación, sino que se utiliza en automatización, análisis, creación de contenido y atención al cliente
CHRIS DIMITRIADIS, ISACA
Además, esta tecnología ya no se limita a pilotos o equipos de innovación, sino que se utiliza en automatización, análisis, creación de contenido y atención al cliente. En el caso de los másteres en Derecho especializados, prevemos una alta penetración en sectores como las finanzas, la sanidad, la ciberseguridad y la industria manufacturera, entre otros. Una vez integrada en las operaciones diarias y en la toma de decisiones importantes, los riesgos trascienden la ingeniería y se convierten en cuestiones de gobierno corporativo, resiliencia operativa, exposición regulatoria y confianza.
La verdadera cuestión, entonces, es si las organizaciones cuentan con una estructura clara de supervisión; quién es el responsable, quién valida los resultados, qué controles se aplican, cómo se supervisa el desempeño y cómo se gestionan los incidentes sin que se conviertan en crisis empresariales de mayor envergadura.
Índice de temas
Los riesgos de una adopción acelerada sin gobernanza
Los resultados de la última encuesta AI Pulse de ISACA revelan una tendencia clara; el uso de la IA crece más rápido que la preparación de las organizaciones. Muchos profesionales creen que los empleados la utilizan independientemente de si está formalmente permitida o no, mientras que solo una minoría afirma que su organización cuenta con una política formal e integral, por no hablar de marcos de gobernanza holísticos y de evaluación de la madurez.
Este es el principal desafío. Observamos que las herramientas de IA se utilizan sin trazabilidad, sin estándares de calidad, sin capacitación interfuncional y sin roles claramente definidos. En muchos casos, esto también implica la ausencia de controles efectivos y lo más preocupante no es que se trate de incidentes aislados, sino que la adopción sin control se esté normalizando.
De herramienta a sistema
Los riesgos asociados a la IA se manifiestan simultáneamente en diversas dimensiones, incluyendo riesgos operativos, reputacionales, regulatorios y de seguridad. La propia encuesta pone de relieve las preocupaciones en torno a la privacidad, la ingeniería social, la pérdida de propiedad intelectual y, en particular, la desinformación.
Pero tras estas preocupaciones subyace una cuestión más reveladora; no basta con reconocer el riesgo de esta tecnología más bien, las organizaciones deben priorizarlo. Sin embargo, los resultados sugieren que los riesgos relacionados con la IA no siempre se abordan con la misma urgencia que su propia implementación. Ya hemos visto este patrón con otras tecnologías: primero surge el entusiasmo, luego la dependencia y solo después la presión por el control, a veces cuando ya es demasiado tarde.
Tres áreas clave para la gobernanza del riesgo de la IA
Si queremos que la IA aporte valor sin multiplicar las vulnerabilidades, debemos tratarla como lo que ya es, una capacidad empresarial que requiere una gobernanza a nivel de toda la organización. En ISACA, vemos tres prioridades.
En primer lugar, una gobernanza intencional y medible. No basta con que el equipo de TI implemente una solución; las organizaciones necesitan un marco claro para la toma de decisiones que defina la propiedad, la supervisión y la rendición de cuentas, y que permita medir la madurez y la capacidad de la organización en relación con la IA.
En segundo lugar, la gestión del ciclo de vida. La IA no es un software estático. Depende de datos, modelos, proveedores, actualizaciones y cambios constantes. Por lo tanto, su gestión implica administrar todo su ciclo de vida, incluyendo evaluaciones de impacto, supervisión de datos, monitorización, corrección de errores y su retirada cuando sea necesario.
En tercer lugar, la preparación humana y la coordinación interfuncional. Ningún sistema automatizado puede reemplazar el juicio humano informado durante una crisis. Una gobernanza eficaz de la IA requiere coordinación entre tecnología, riesgos, asuntos legales, cumplimiento normativo y liderazgo empresarial.
La IA está avanzando más rápido que la preparación
En ISACA, observamos esta situación en diversos sectores. La IA se está implementando porque funciona y aporta eficiencia, pero la estructura de control que la rodea se está quedando atrás. No se trata simplemente de una cuestión de intención; su gobernanza requiere nuevas habilidades, nuevos roles y una mayor coordinación en toda la organización.
Por lo tanto, no sorprende que la demanda de habilidades relacionadas con la IA esté creciendo. La misma investigación refleja esta tendencia en las expectativas de contratación y en la creciente importancia que se les otorga a las competencias en inteligencia artificial. Por ello, también existe una creciente demanda de formación y certificaciones especializadas, como la certificación Advanced in AI Risk (AAIR) de ISACA, que se centra en la gobernanza, la evaluación y la gestión del riesgo de la IA a lo largo de todo su ciclo de vida y en toda la empresa.
También existe una creciente demanda de marcos de evaluación de capacidades y madurez integrales, como CMMI AIM, que se centran específicamente en la IA dentro del contexto de una industria o empresa.
Debemos estar preparados para cuando falle
Puede que suene exigente, pero la confianza digital se puede perder en minutos y tardar años en recuperarse. El debate más importante sobre la IA en 2026 ya no gira en torno a si las organizaciones deberían usarla, sino a cómo deberían organizarse para usarla de forma responsable: con funciones claras, evidencia verificable, supervisión efectiva y una preparación genuina.
