Gobernanza de IA
Fase: OperarLas reglas de quién puede desplegar qué, con qué controles y quién responde.
La gobernanza define las reglas del juego: qué se puede automatizar, quién aprueba un despliegue, qué controles son obligatorios y quién responde cuando algo sale mal. Es lo que permite escalar la IA sin que cada equipo haga la guerra por su cuenta.
Qué incluye
- Política de qué procesos pueden usar IA y con qué nivel de supervisión.
- Proceso de aprobación y registro de despliegues (quién, qué y cuándo).
- Roles y responsabilidades: dueño de cada agente y cadena de escalado.
- Alineación con regulación aplicable (p. ej. el Reglamento de IA de la UE).
Cuándo la necesitas
- Varios equipos despliegan IA sin criterio común ni registro de qué hay en producción.
- Nadie sabe quién responde si un agente toma una decisión equivocada.
- Legal o dirección frenan la IA porque no hay controles que enseñar.
Cómo se mide
- Porcentaje de agentes en producción con dueño y controles documentados.
- Tiempo de aprobación de un despliegue (que la gobernanza no sea un tapón).
- Incidencias por falta de control vs. total de despliegues.
Errores comunes
- Gobernanza de comité que tarda semanas en aprobar y frena todo el avance.
- Cero gobernanza: cada equipo despliega lo que quiere y nadie sabe qué hay vivo.
- Políticas escritas que nadie aplica porque no están en el flujo de despliegue.
Preguntas frecuentes
- ¿La gobernanza no frena la innovación?
- La mala gobernanza sí; la buena la acelera. Un proceso claro de aprobación y unos controles por defecto permiten desplegar rápido con confianza. El objetivo es reducir el riesgo sin convertirse en un comité que dice que no.
- ¿Necesito gobernanza si solo tengo un agente?
- Poca. La gobernanza escala con el número de agentes y el riesgo. Con uno basta un dueño y un control; con veinte hace falta un marco para no perder el control del conjunto.
Capacidades relacionadas
Señales recientes
Tendencias, prácticas, herramientas, casos y datos de mercado para esta capacidad, con fuente. Se amplía cada semana.
Tendencias
La autorización de agentes en tiempo de ejecución se vuelve requisito de base en gobierno de identidades
Omada compra EmpowerID (24-sep-2026) para añadir autorización en tiempo de ejecución a su gobierno de agentes. Un analista de KuppingerCole sostiene que gobernar agentes a posteriori no basta y que compradores esperarán descubrimiento, propiedad y certificación ahora y control en tiempo real con el tiempo. Es opinión de analista; la integración está por demostrar.
KuppingerCole · 2026-09-25 · E3El aplazamiento del AI Act mueve la fecha, no el trabajo de gobierno
Con el Anexo III en dic-2027 y el Anexo I en ago-2028, el gancho de la multa inminente desaparece. El requisito del art. 14 —poder ignorar, anular o revertir la salida y parar el sistema— sigue intacto y sigue exigiendo construirlo.
DLA Piper — Digital AI Omnibus deferral · 2026-09-21 · E2La CSA publica una especificación de registro de agentes y nombra el desfase de raíz
La Cloud Security Alliance publicó el 2 de abril de 2026 (revisada el 20 de mayo) su Agent Registry Specification, un intento de estandarizar el censo de agentes en la empresa. Su premisa de partida, textual en el resumen ejecutivo, es que el despliegue empresarial de agentes de IA ha avanzado sustancialmente más rápido que la infraestructura de gobernanza necesaria para gestionarlos con seguridad. Señal de madurez del mercado: el registro deja de ser una buena práctica sugerida por proveedores y empieza a tener forma de especificación de organismo sectorial.
Cloud Security Alliance · 2026-04-02 · E2Gartner estima que solo unos 130 de los miles de proveedores que se venden como agénticos lo son de verdad («agent washing»)
En el aviso donde predice que más del 40% de los proyectos de IA agéntica se cancelarán antes de que acabe 2027 —por costes crecientes, valor de negocio poco claro o controles de riesgo insuficientes— Gartner nombra el «agent washing»: reetiquetar asistentes, RPA y chatbots como agentes sin capacidad agéntica sustancial. Su estimación es que solo alrededor de 130 de los miles de proveedores agénticos del mercado lo son realmente. Traducción a gobernanza: la verificación de capacidad agéntica es un control de compra, no un detalle de marketing.
Gartner · 2025-06-25 · E3El mercado de plataformas de gobernanza de IA crece a un 15,8% CAGR: de 2,2 B$ (2025) a 11 B$ (2036)
El mercado de gobernanza y compliance de IA empresarial se valora en 2.200 M$ en 2025 y se proyecta en 11.050 M$ para 2036 (15,8% CAGR 2026-2036), empujado por la adopción de IA y marcos regulatorios como el EU AI Act. Credo AI y Holistic AI figuran entre los líderes reconocidos.
Future Market Insights · 2026-06-01 · E3Prácticas
OWASP adopta el Agent Control Standard: los agentes deben ser inspeccionables, trazables e instrumentables
El ACS, ya bajo el paraguas del OWASP GenAI Security Project, parte de la premisa de que las empresas no pueden apoyarse en agentes de caja negra operando entre cloud, SaaS, on-premise y endpoint. Define cómo las plataformas de agentes exponen hooks de middleware y cómo se aplican políticas de seguridad a través de ellos, para conseguir controles declarativos portables entre frameworks y aplicados en tiempo de ejecución. Es decir: visibilidad sobre qué es el agente, a qué puede acceder, qué hizo y por qué, más capacidad de intervenir su comportamiento en caliente.
OWASP GenAI Security Project — Agent Control Standard (ACS) · 2026-09-01 · E2El 94 % tiene un dueno del agente con nombre y autoridad presupuestaria
La fuente situa en el 94 % los despliegues con exito que tienen un dueno del agente nombrado, con presupuesto y un objetivo medible. El 81 % acota el agente a un unico workflow con criterio de exito binario.
CT Labs — AI Agents Business Results & ROI 2026 · 2026-09-21 · E3Cuatro niveles de autonomía como esqueleto de gobernanza proporcional de agentes
Gartner propone clasificar los agentes en cuatro niveles, cada uno con su frontera de confianza y sus controles. Nivel 1 Observar: solo lectura sobre fuentes definidas, salida visible únicamente para quien pregunta; controles ligeros de acceso, autenticación, log de uso y pruebas funcionales y de seguridad básicas. Nivel 2 Aconsejar: genera recomendaciones o borradores que un humano ejecuta a mano; añade pruebas de precisión y alucinación, evaluaciones de calidad por dominio y formación del usuario sobre cuánto fiarse, por el sesgo de automatización.
Gartner · 2026-05-26 · E2La gobernanza centralizada de MCP separa a las empresas con control agéntico de las atrapadas en el caos
Estudio de Forrester Consulting para Boomi: el 46% de las organizaciones con "control agéntico" ya ha establecido gobernanza centralizada de MCP —el estándar para conectar agentes con sistemas empresariales— frente al 32% de las menos preparadas. La misma brecha aparece en integración: 46% de adopción de iPaaS entre las mejor preparadas frente al 25% de las que siguen en "caos agéntico", y el 86% de las de control agéntico considera fundamentales las capacidades de iPaaS y gestión de API frente al 58% del resto. La palanca de gobierno no es el comité: es la capa de integración.
IT User (estudio Forrester Consulting para Boomi) · 2026-08-06 · E2Datos
En la UE se contratan unos 7 perfiles que construyen IA por cada uno que la gobierna
Estudio de Axipro sobre 3.519 ofertas de empleo de IA en ocho países de la UE: Suecia 16 a 1, Francia 11 a 1, Irlanda 3,5 a 1. Menos de tres de cada diez ofertas de gobernanza mencionan el Reglamento de IA. Estudio de una consultora de cumplimiento; periodo de recogida no indicado.
Axipro (GlobeNewswire) · 2026-07-13 · E3ISO/IEC 42001 es la única norma de sistema de gestión de IA certificable, y lleva publicada desde diciembre de 2023
Publicada el 18 de diciembre de 2023 por el comité ISO/IEC JTC 1/SC 42, edición 1, 51 páginas. Especifica requisitos para establecer, implantar, mantener y mejorar de forma continua un sistema de gestión de IA (AIMS) en cualquier organización que provea o use productos o servicios basados en IA, con metodología Plan-Do-Check-Act. No entra en el detalle de aplicaciones concretas: fija políticas y procedimientos de gobierno. ISO la vende suelta (225 CHF) o empaquetada con ISO/IEC 27001 y con ISO/IEC 42005 (evaluación de impacto).
ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Manag... · 2023-12-18 · E2Gartner: en 2027 el 40 % de las empresas degradará o retirará agentes autónomos por fallos de gobernanza
Gartner predice que para 2027 el 40 % de las empresas degradará o desmantelará agentes de IA autónomos por brechas de gobernanza detectadas solo después de un incidente en producción. El diagnóstico de fondo, según Shiva Varma (Senior Director Analyst), es que las organizaciones tratan la gobernanza de agentes como algo binario —o cerrado a cal y canto o de confianza total— y eso produce dos modos de fallo: sobre-restringir agentes simples, lo que ralentiza la entrega y empuja al desarrollo en la sombra, o infra-restringir los más autónomos, lo que dispara el riesgo operativo, de seguridad y de cumplimiento.
Gartner · 2026-05-26 · E2Gartner: la Fortune 500 media tendrá más de 150.000 agentes en uso en 2028 y solo el 13% cree tener el gobierno adecuado
Recogido por SAP News Center a partir de estimaciones de Gartner: la empresa media de la Fortune 500 global pasará de menos de 15 agentes en 2025 a más de 150.000 en uso en 2028, mientras solo el 13% de las organizaciones cree tener hoy el gobierno adecuado para gestionarlos. Max Goss, director analista de Gartner, describe el problema como una "proliferación ingobernada" de agentes. La brecha entre la curva de despliegue y la de gobierno es el hueco de trabajo: agentes que no interoperan, no se auditan igual y acumulan deuda técnica más rápido de lo que generan valor.
SAP News Center · 2026-08-03 · E3Los incidentes de IA documentados suben a 362 en 2025 frente a 233 en 2024, mientras el reporte de benchmarks de IA responsable sigue siendo irregular
El AI Index 2026 constata que la IA responsable no va al ritmo de la capacidad: casi todos los desarrolladores de modelos frontera publican resultados en benchmarks de capacidad, pero el reporte en benchmarks de IA responsable sigue siendo desigual. Los incidentes documentados pasaron de 233 en 2024 a 362 en 2025. El informe añade un matiz que complica la gobernanza: investigación reciente encuentra que mejorar una dimensión de IA responsable, como seguridad, puede degradar otra, como precisión.
Stanford HAI — AI Index 2026 · 2026-04-14 · E2El 60% de las empresas escala IA pero solo el 4% tiene una gobernanza lo bastante madura
El 60% de las empresas está escalando IA, pero solo el 4% tiene una gobernanza lo bastante madura para acompañar ese ritmo. Entre los proveedores, las plataformas con mayor cobertura del EU AI Act en 2026 son Modulos, Credo AI, Holistic AI y Trustible.
Modulos — AI Governance Buyer's Guide 2026 · 2026-06-01 · E3¿Te falta cubrir alguna de estas?
Empieza por un assessment: qué capacidades tienes, cuáles te faltan y por dónde da más retorno empezar.
Hablar con nosotros →