En los últimos dos años, la IA generativa ha pasado de ser experimentación a prioridad en las salas de juntas. Los directivos ya no preguntan si deberían adoptar GenAI, sino qué tan rápido pueden desplegarla en toda la organización. Copilotos de atención al cliente, asistentes internos de conocimiento, procesamiento automatizado de documentos, herramientas de productividad para desarrolladores y sistemas de apoyo a la toma de decisiones están apareciendo por todas partes.

Y, sin embargo, a pesar del entusiasmo, estoy viendo un patrón preocupante tanto en empresas de sectores altamente regulados como no regulados.

• Muchas iniciativas de GenAI funcionan de maravilla en demostraciones.
• Varios logran ser pilotos.
• Muy pocos escalan de forma segura, sostenible y segura.

La razón no son los modelos. No son las plataformas en la nube. Ni siquiera son los datos.

El verdadero problema es una brecha de gobernanza.

Las organizaciones se están precipitando en implementaciones de GenAI sin construir las bases operativas, de seguridad y de gobernanza necesarias para ejecutar la IA a escala empresarial. Lo que sigue es previsible: incidentes de seguridad, hallazgos de cumplimiento, costes no controlados, pérdida de confianza y, finalmente, programas paralizados.

Los números confirman lo que observo en el campo. Según investigaciones de IBM, solo el 24% de las empresas cuentan con marcos sólidos de gobernanza de riesgos de IA. Eso significa que tres de cada cuatro organizaciones están desplegando GenAI sin una supervisión suficiente sobre cómo se comportan los modelos, qué datos consumen o cómo se validan los resultados.

GenAI no fracasa por ser inmaduro.
GenAI fracasa porque las organizaciones la tratan como una herramienta, no como un sistema.

De la gobernanza del software a la gobernanza de la IA

Las empresas ya saben cómo gobernar los sistemas informáticos tradicionales. Existen marcos para la gestión del ciclo de vida de las aplicaciones, la seguridad, el riesgo, el cumplimiento normativo y las operaciones. Incluso la gobernanza de la nube, que muchas organizaciones subestimaron al principio, ahora se reconoce como esencial.

GenAI introduce una nueva clase de desafíos para los que los modelos tradicionales de gobernanza nunca fueron diseñados para afrontar.

Los sistemas de IA son probabilísticos, no deterministas. Evolucionan con el tiempo. Aprenden de datos que pueden cambiar, derivarse o degradarse. Generan resultados que pueden influir en las decisiones humanas.

Esto altera fundamentalmente el perfil de riesgo.

Sin embargo, muchas organizaciones despliegan sistemas GenAI usando el mismo modelo mental que aplican al software tradicional. Un equipo crea una funcionalidad basada en modelos, integra una API, la despliega detrás de una aplicación y asume que el trabajo está hecho.

No lo es.

En publicaciones anteriores, escribí sobre la desconexión entre los asistentes de código de IA y el desarrollo de software empresarial, y sobre por qué la velocidad sin estructura conduce a la fragilidad operativa. El mismo patrón se repite ahora a una escala mucho mayor con GenAI.

Cómo se presenta la brecha de gobernanza de GenAI en la práctica

La brecha de gobernanza rara vez es evidente al principio. Las señales tempranas a menudo se confunden con éxito.

Los equipos lanzan pilotos rápidamente. Los usuarios de negocio quedan impresionados. La productividad parece aumentar. El liderazgo celebra la innovación.

Entonces llega la realidad.

• He visto sistemas GenAI desplegados sin una propiedad clara de las fuentes de datos, lo que ha llevado a que información sensible se exponga mediante prompts y respuestas.
• He visto equipos integrar servicios públicos de GenAI en flujos de trabajo internos sin entender cómo se registran, almacenan o reutilizan los datos, lo que ha desencadenado serias preocupaciones de cumplimiento semanas después.
• He visto a varias unidades de negocio desplegar soluciones GenAI superpuestas, cada una con su propia arquitectura, modelo de seguridad y estructura de costes, creando fragmentación y caos operativo.

Este fenómeno ahora tiene un nombre: «GenAI Sombra». Las investigaciones indican que más del 40% de las herramientas de IA en las empresas se despliegan sin supervisión centralizada. Y Gartner predice que para 2027, más del 40% de las brechas de datos relacionadas con la IA se derivarán de un uso inadecuado de GenAI transfronterizo.

Cuando llegan auditores y reguladores, las organizaciones tienen dificultades para responder preguntas muy básicas:

• ¿Quién aprobó este caso de uso de IA?
• ¿A qué datos accede?
• ¿Cómo se evitan las alucinaciones en flujos de trabajo críticos?
• ¿Cómo se monitoriza el sesgo y la deriva?
• ¿Quién es responsable cuando el modelo toma una decisión equivocada?

Cuando el liderazgo no puede responder claramente a estas preguntas, la confianza se erosiona rápidamente.

Por qué la gobernanza de GenAI no trata de frenar la innovación

Una de las objeciones más comunes que escucho es que la gobernanza matará la innovación. Esto suele expresarse como una falsa elección entre velocidad y control.

En realidad, ocurre lo contrario.

La falta de gobernanza ralentiza drásticamente a las organizaciones, pero solo después de que la emoción inicial se desvanezca. Los equipos dedican más tiempo a apagar incidentes contra incendios, responder a los hallazgos de auditorías, reescribir arquitecturas y justificar decisiones que deberían haber sido claras desde el principio.

La buena gobernanza no bloquea la innovación.
Lo canaliza.

En la transformación en la nube, finalmente aprendimos que la gobernanza crea libertad a través de la estructura. Exploré esto en profundidad en El poder silencioso de la gobernanza de la nube. El mismo principio se aplica a GenAI.

Cuando los equipos saben qué está permitido, cómo se pueden usar los datos, qué controles de seguridad se aplican y cómo se monitorizan los sistemas de IA, pueden avanzar más rápido con confianza.

Los pilares fundamentales de la gobernanza sostenible de GenAI

Basándome en mi experiencia diseñando y operando sistemas de IA empresariales, la gobernanza sostenible de GenAI se basa en cinco pilares fundamentales.

1. Propiedad y responsabilidad claras

Todo sistema GenAI debe tener un propietario claramente definido. No un comité vago, sino un papel responsable de resultados, riesgos y cumplimiento.

Esto incluye la propiedad del comportamiento del modelo, los datos que utiliza, las decisiones empresariales que influye y el rendimiento operativo del sistema.

Sin una responsabilidad clara, los fracasos de la IA se convierten en fallos organizativos.

2. Gobernanza de Datos Integrada en el Diseño de IA

GenAI amplifica los riesgos de los datos. Los datos de entrenamiento, la recuperación de fuentes de generación aumentada, las entradas de prompt y los resultados generados requieren gobernanza.

Las organizaciones deben definir qué datos pueden utilizarse, cómo se clasifican, cómo se protegen y cómo se audita el acceso.

Esto no es una idea legal secundaria. La gobernanza de datos debe integrarse en la arquitectura de IA desde el primer día.

3. Seguridad y control de acceso desde el diseño

Los sistemas GenAI amplían la superficie de ataque. La inyección rápida, la fuga de datos, el abuso del modelo y el acceso no autorizado no son riesgos teóricos.

Una gestión de identidad sólida, el acceso mínimo de privilegios, patrones de integración seguros y monitorización continua son obligatorios. El Informe de Supervisión Regulatoria 2026 de FINRA señala explícitamente la gobernanza de GenAI como un riesgo crítico de cumplimiento, recomendando que las empresas refuercen las salvaguardas de pruebas, monitorización y ciberseguridad para los casos de uso de la IA.

Los sistemas de IA deben tratarse como servicios empresariales críticos, no como herramientas experimentales.

4. Monitorización continua y disciplina operativa

Los sistemas de IA nunca terminan. Los modelos se desvían. Cambios en los datos. El comportamiento del usuario evoluciona.

La gobernanza debe incluir un seguimiento continuo del rendimiento, el sesgo, la precisión, el coste y los patrones de uso.

Esto requiere una madurez operativa similar a la que describí en mis publicaciones sobre la preparación operativa en la nube y las operaciones como código.

Si no puedes observar tus sistemas de IA, no puedes gobernarlos.

5. Principios éticos y responsables de la IA en la práctica

La mayoría de las organizaciones tienen declaraciones de alto nivel sobre IA responsable. Muy pocos traducen esos principios en decisiones concretas de diseño y operaciones.

La gobernanza debe definir cómo se implementan la equidad, la explicabilidad, la transparencia y la supervisión humana en los sistemas reales.

La ética sin aplicación es marketing.
La ética en la gobernanza se convierte en confianza.

Por qué fracasan las iniciativas empresariales de GenAI a gran escala

Cuando las iniciativas GenAI fracasan, rara vez fracasan técnicamente. Fracasan organizativamente.

• Fracasan porque los equipos avanzan más rápido de lo que la gobernanza puede adaptarse.
• Fracasan porque el liderazgo delega responsabilidades sin alineación.
• Fracasan porque la gestión de riesgos es reactiva, no proactiva.
• Fracasan porque el éxito se mide por el despliegue, no por la sostenibilidad.

En una empresa con la que trabajé, varios pilotos de GenAI entregaron resultados impresionantes individualmente. Pero cuando la dirección intentó escalarlos en toda la organización, descubrieron arquitecturas incompatibles, controles de seguridad inconsistentes y un modelo de gobernanza compartida.

El resultado fueron meses de reestructuración y pérdida de impulso.

Contrasta esto con las organizaciones que invierten temprano en la gobernanza. Pueden parecer más lentos al principio, pero escalan con mucha menos fricción y mucha más confianza.

El papel del liderazgo en el cierre de la brecha de gobernanza

La gobernanza de GenAI no puede delegarse únicamente a equipos técnicos. Requiere la participación activa del liderazgo ejecutivo.

• Los CEOs deben entender que la IA cambia la forma en que se toman las decisiones.
• Los CIOs y CTOs deben asegurarse de que la IA encaje en la arquitectura empresarial y el modelo operativo.
• Los CISO deben tratar la IA como parte del perímetro de seguridad.
• Los jefes de ingeniería deben adaptar las prácticas de desarrollo a los sistemas impulsados por IA.

Lo más importante es que el liderazgo debe alinearse en un principio:

GenAI no es un experimento una vez que toca sistemas de producción o datos de clientes.
Es una capacidad empresarial que requiere disciplina.

Una reflexión final

Estamos en un punto de inflexión similar al de los primeros días de la adopción de la nube. Las organizaciones que se apresuraron sin gobernar pagaron un precio muy alto. Quienes construyeron bases sólidas desbloquearon valor a largo plazo.

GenAI seguirá el mismo patrón, pero con apuestas más altas.

Las organizaciones que tengan éxito no serán las que desplieguen más modelos. Serán ellos quienes construyan sistemas de IA fiables, seguros y bien gobernados.

La brecha de gobernanza de GenAI es real.
Cerrarla no es opcional.
Y el liderazgo, no la tecnología, determinará quién tiene éxito.

Ricardo González