En los últimos dos años, la IA generativa ha pasado de ser experimentación a prioridad en las salas de juntas. Los directivos ya no preguntan si deberían adoptar GenAI, sino qué tan rápido pueden desplegarla en toda la organización. Copilotos de atención al cliente, asistentes internos de conocimiento, procesamiento automatizado de documentos, herramientas de productividad para desarrolladores y sistemas de apoyo a la toma de decisiones están apareciendo por todas partes.

Y, sin embargo, a pesar del entusiasmo, estoy viendo un patrón preocupante tanto en empresas de sectores altamente regulados como no regulados.

Las iniciativas GenAI funcionan de maravilla en demostraciones, tienen éxito como pilotos y luego se estancan en cuanto alguien intenta escalarlas de forma segura, sostenible y segura.

Los modelos funcionan, las plataformas en la nube funcionan, y los datos funcionan en su mayoría. El verdadero problema es una brecha de gobernanza: las organizaciones se están precipitando en implementaciones de GenAI sin construir las bases operativas, de seguridad y de gobernanza necesarias para ejecutar la IA a escala empresarial. Lo que sigue es previsible: incidentes de seguridad, hallazgos de cumplimiento, costes no controlados, pérdida de confianza y, finalmente, programas paralizados.

Los números confirman lo que observo en el campo. Según investigaciones de IBM, solo el 24% de las empresas cuentan con marcos sólidos de gobernanza de riesgos de IA. Eso significa que tres de cada cuatro organizaciones están desplegando GenAI sin una supervisión suficiente sobre cómo se comportan los modelos, qué datos consumen o cómo se validan los resultados.

GenAI fracasa no porque sea inmadura, sino porque las organizaciones la tratan como una herramienta y no como un sistema.

De la gobernanza del software a la gobernanza de la IA

Las empresas ya saben cómo gobernar los sistemas informáticos tradicionales. Existen marcos para la gestión del ciclo de vida de las aplicaciones, la seguridad, el riesgo, el cumplimiento normativo y las operaciones. Incluso la gobernanza de la nube, que muchas organizaciones subestimaron al principio, ahora se reconoce como esencial.

GenAI introduce una nueva clase de desafíos para los que los modelos tradicionales de gobernanza nunca fueron diseñados para afrontar. Los sistemas de IA son probabilísticos más que deterministas, evolucionan con el tiempo, aprenden de datos que pueden cambiar, desviarse o degradarse, y generan resultados que pueden influir en las decisiones humanas. Esto altera fundamentalmente el perfil de riesgo.

Sin embargo, muchas organizaciones despliegan sistemas GenAI usando el mismo modelo mental que aplican al software tradicional. Un equipo crea una funcionalidad basada en modelos, integra una API, la despliega detrás de una aplicación y asume que el trabajo está hecho.

No lo es.

En publicaciones anteriores, escribí sobre la desconexión entre los asistentes de código de IA y el desarrollo de software empresarial, y sobre por qué la velocidad sin estructura conduce a la fragilidad operativa. La misma dinámica se repite ahora a una escala mucho mayor con GenAI.

Cómo se ve la brecha de gobernanza de GenAI en la práctica

La brecha de gobernanza rara vez es evidente al principio. Las primeras señales a menudo se confunden con éxito: los equipos lanzan pilotos rápidamente, los usuarios de negocio quedan impresionados, la productividad parece aumentar, el liderazgo celebra la innovación.

Entonces llega la realidad.

En una organización, los sistemas GenAI se desplegaron sin una propiedad clara sobre las fuentes de datos, lo que llevó a que información sensible se expusiera mediante prompts y respuestas. En otro, los equipos integraron servicios públicos de GenAI en flujos de trabajo internos sin entender cómo se registraban, almacenaban o reutilizaban los datos, lo que desencadenó serias preocupaciones de cumplimiento semanas después. En un tercero, varias unidades de negocio desplegaron soluciones GenAI superpuestas, cada una con su propia arquitectura, modelo de seguridad y estructura de costes, creando fragmentación y caos operativo.

Este fenómeno ahora tiene un nombre: «GenAI Sombra». Las investigaciones indican que más del 40% de las herramientas de IA en las empresas se despliegan sin supervisión centralizada. Y Gartner predice que para 2027, más del 40% de las brechas de datos relacionadas con IA se derivarán de un uso inadecuado de GenAI transfronterizo.

Cuando llegan auditores y reguladores, las organizaciones tienen dificultades para responder preguntas básicas: quién aprobó este caso de uso de IA, a qué datos accede, cómo se previenen las alucinaciones en flujos de trabajo críticos, cómo se monitorizan los sesgos y la deriva, y quién es responsable cuando el modelo toma una decisión equivocada.

Cuando el liderazgo no puede responder claramente a estas preguntas, la confianza se erosiona rápidamente.

Por qué la gobernanza de GenAI no frena la innovación

Una de las objeciones más comunes que escucho es que la gobernanza matará la innovación. Esto suele expresarse como una falsa elección entre velocidad y control.

En realidad, ocurre lo contrario.

La falta de gobernanza ralentiza drásticamente a las organizaciones, pero solo después de que la emoción inicial se desvanezca. Los equipos dedican más tiempo a apagar incidentes contra incendios, responder a los hallazgos de auditorías, reescribir arquitecturas y justificar decisiones que deberían haber sido claras desde el principio.

La buena gobernanza no bloquea la innovación. Lo canaliza .

En la transformación en la nube, finalmente aprendimos que la gobernanza crea libertad a través de la estructura. Exploré esto en profundidad en El poder silencioso de la gobernanza de la nube. El mismo principio se aplica a GenAI.

Cuando los equipos saben qué está permitido, cómo se pueden usar los datos, qué controles de seguridad se aplican y cómo se monitorizan los sistemas de IA, pueden avanzar más rápido con confianza.

Los pilares fundamentales de la gobernanza sostenible de la GenAI

Basándome en mi experiencia diseñando y operando sistemas de IA empresariales, la gobernanza sostenible de GenAI se basa en cinco pilares fundamentales.

1. Propiedad clara y rendición de cuentas

Todo sistema GenAI debe tener un propietario claramente definido. No un comité vago, sino un papel responsable de resultados, riesgos y cumplimiento.

Esto incluye la propiedad del comportamiento del modelo, los datos que utiliza, las decisiones empresariales que influye y el rendimiento operativo del sistema.

Sin una responsabilidad clara, los fracasos de la IA se convierten en fallos organizativos. Exploré quién es realmente el dueño de esto en la práctica, y por qué la respuesta es más difícil de lo que parece, en Quién posee la gobernanza de la IA cuando todos piensan que alguien más lo hace.

2. Gobernanza de datos integrada en el diseño de IA

GenAI amplifica los riesgos de los datos. Los datos de entrenamiento, las fuentes de generación aumentadas por recuperación, las entradas rápidas y los resultados generados requieren gobernanza.

Las organizaciones deben definir qué datos pueden utilizarse, cómo se clasifican, cómo se protegen y cómo se audita el acceso.

Esto no es una idea legal secundaria. La gobernanza de datos debe integrarse en la arquitectura de IA desde el primer día.

3. Seguridad y control de acceso por diseño

Los sistemas GenAI amplían la superficie de ataque. La inyección rápida, la fuga de datos, el abuso del modelo y el acceso no autorizado no son riesgos teóricos.

Una gestión de identidad sólida, el acceso con privilegios mínimos, patrones de integración seguros y monitorización continua son obligatorios. El Informe de Supervisión Regulatoria 2026 de FINRA señala explícitamente la gobernanza de GenAI como un riesgo crítico de cumplimiento, recomendando que las empresas refuercen las salvaguardas de pruebas, monitorización y ciberseguridad para los casos de uso de la IA.

Los sistemas de IA deben tratarse como servicios empresariales críticos, no como herramientas experimentales. Escribí sobre cómo integrar la seguridad en el flujo de desarrollo en lugar de aplicarla como una puerta en la Seguridad como una Restricción de Desarrollo, no como una Puerta de Revisión.

4. Supervisión continua y disciplina operativa

Los sistemas de IA nunca terminan. Los modelos se desvían, los cambios de datos y el comportamiento del usuario evolucionan, todo al mismo tiempo y a menudo sin previo aviso.

La gobernanza debe incluir un seguimiento continuo del rendimiento, el sesgo, la precisión, el coste y los patrones de uso.

Esto requiere una madurez operativa similar a la que describí en mis publicaciones sobre la preparación operativa en la nube y las operaciones como código.

Si no puedes observar tus sistemas de IA, no puedes gobernarlos.

5. Principios éticos y responsables de la IA en la práctica

La mayoría de las organizaciones tienen declaraciones de alto nivel sobre IA responsable. Muy pocos traducen esos principios en decisiones concretas de diseño y operaciones.

La gobernanza debe definir cómo se implementan la equidad, la explicabilidad, la transparencia y la supervisión humana en los sistemas reales.

La ética sin aplicación es marketing. La ética en la gobernanza se convierte en confianza.

Por qué fracasan las iniciativas empresariales de GenAI a gran escala

Cuando las iniciativas GenAI fracasan, rara vez fracasan técnicamente. Fracasan organizativamente.

Fracasan porque los equipos avanzan más rápido de lo que la gobernanza puede adaptarse, porque el liderazgo delega responsabilidades sin alineación, porque la gestión de riesgos es reactiva en lugar de proactiva, y porque el éxito se mide por el despliegue más que por la sostenibilidad.

En una empresa con la que trabajé, varios pilotos de GenAI entregaron resultados impresionantes individualmente. Pero cuando la dirección intentó escalarlos en toda la organización, descubrieron arquitecturas incompatibles, controles de seguridad inconsistentes y un modelo de gobernanza compartida.

El resultado fueron meses de reestructuración y pérdida de impulso.

Contrasta esto con las organizaciones que invierten temprano en la gobernanza. Pueden parecer más lentos al principio, pero escalan con mucha menos fricción y mucha más confianza.

El papel del liderazgo en el cierre de la brecha de gobernanza

La gobernanza de GenAI no puede delegarse únicamente a equipos técnicos. Requiere la participación activa del liderazgo ejecutivo.

Los CEOs deben entender que la IA cambia la forma en que se toman las decisiones. Los CIOs y CTOs deben asegurarse de que la IA encaje en la arquitectura empresarial y el modelo operativo. Los CISO deben tratar la IA como parte del perímetro de seguridad. Los jefes de ingeniería deben adaptar las prácticas de desarrollo a los sistemas impulsados por IA.

Lo más importante es que el liderazgo debe alinearse en un principio: la GenAI no es un experimento una vez que toca los sistemas de producción o los datos de clientes. Es una capacidad empresarial que requiere disciplina.

Una última reflexión

Estamos en un punto de inflexión similar al de los primeros días de la adopción de la nube. Las organizaciones que se apresuraron sin gobernar pagaron un precio muy alto. Quienes construyeron bases sólidas desbloquearon un valor a largo plazo.

GenAI seguirá el mismo patrón, pero con apuestas más altas.

Las organizaciones que tengan éxito no serán las que desplieguen más modelos. Serán ellos quienes construyan sistemas de IA fiables, seguros y bien gobernados. El liderazgo, no la tecnología, determinará quién llega ahí.

Ricardo