¿Qué está ocurriendo en realidad con los despliegues de agentes de IA?

Las organizaciones despliegan agentes de IA más rápido de lo que los gobiernan. En 2026 se prevé que el gasto en software de agentes de IA alcance los 206.000 millones de dólares, un 139 por ciento más que en 2025. Al mismo tiempo, el 88 por ciento de las organizaciones informó de un incidente de seguridad, confirmado o sospechado, con agentes de IA durante el último año, y solo el 14,4 por ciento de los agentes se puso en producción con la aprobación completa de TI y seguridad. La brecha entre la velocidad de despliegue y la madurez de la gobernanza no se está reduciendo. Está creciendo.

Esto no es un fracaso de la tecnología. Los agentes de IA funcionan. El fracaso es de gobernanza: las organizaciones tratan a los agentes de IA como software corriente y los despliegan a gran escala sin cartografiar los accesos que heredan, las decisiones que toman ni los sistemas con los que interactúan.

Por qué fracasa la gobernanza uniforme

Gartner lo dejó claro en mayo de 2026: aplicar una gobernanza uniforme a todos los agentes de IA, con independencia de su nivel de autonomía y de su alcance, conducirá al fracaso de los agentes de IA en la empresa. La razón es estructural. Un agente que lee un calendario no representa el mismo riesgo que un agente capaz de ejecutar transacciones, actualizar registros o enviar mensajes en nombre de un directivo. Tratarlos con controles idénticos significa restringir en exceso a los de bajo riesgo y ahogar la productividad, o restringir demasiado poco a los de alto riesgo y dejar expuesta a la organización. Ninguno de los dos resultados es aceptable.

El modelo adecuado es proporcional. Cada agente pertenece a un nivel de autonomía. Cada nivel tiene un límite de confianza y un requisito de gobernanza que le corresponden: a qué puede acceder, qué decisiones puede tomar de forma autónoma, cuándo escala a una persona y cómo se registran y auditan sus acciones.

¿Cómo es en la práctica una gobernanza disciplinada de los agentes de IA?

Empieza por la visibilidad. Antes de que cualquier marco de gobernanza tenga sentido, una organización necesita conocer todos los agentes que ha desplegado, con qué sistemas interactúan, qué permisos tienen y quién responde por su comportamiento. La mayoría de las organizaciones que han sufrido incidentes no disponía de ese inventario. Tenían agentes funcionando en producción que TI no había aprobado y que no podía ver por completo.

A partir de la visibilidad, el trabajo se convierte en clasificación y control. Los agentes de baja autonomía que solo leen e informan necesitan una supervisión ligera. Los agentes de alta autonomía que escriben, ejecutan o deciden necesitan límites de alcance documentados, vías de escalado y revisiones periódicas. Las organizaciones que hagan este trabajo ahora, mientras los despliegues son manejables, lo tendrán mucho más fácil que aquellas que lleguen a gran escala sin estructura y con un registro de incidentes cada vez mayor.

Leer a continuación: Ya existe una referencia compartida para la seguridad de la IA. Aquí está por qué llega hasta sus compras.  |  Los plazos de la EU AI Act acaban de cambiar. ¿Es una buena noticia o una trampa?