Imagina a una CTO de servicios financieros patrocinando un agente de IA para automatizar la verificación de documentos Conoce a tu Cliente (KYC). Los detalles son compuestos, pero la secuencia es una que he visto repetirse más de una vez. El piloto fue idea suya, ella aseguró el presupuesto, estuvo presente en cada obstáculo. Cuando cumplimiento dijo que el agente no podía acceder a los datos de producción, ella cogió el teléfono y anuló la objeción esa misma tarde.

A las ocho semanas, el piloto trabajaba de maravilla, con datos sintéticos. La demo a la junta salió perfecta, el presupuesto se confirmó y todos estuvieron de acuerdo: esto iba a ir a producción.

Cinco meses después, el agente seguía funcionando con datos sintéticos en un entorno de staging. Nadie lo había matado. Nadie lo había escalado. La CTO había centrado su atención en una migración a la nube que estaba perdiendo presupuesto, la aprobación de cumplimiento que había omitido personalmente ahora requería que alguien presentara una solicitud formal a través del proceso estándar (once semanas), y los dos ingenieros que construyeron el piloto habían sido llamados de vuelta a sus equipos originales porque nadie había formalizado nunca el recuento.

Ese agente se unió a la mayoría.

Los datos convergen desde todas las direcciones

La investigación conjunta de Forrester y Anaconda de 2026 sobre la adopción de la IA empresarial sitúa la cifra en un 88%: menos de uno de cada ocho pilotos de agentes de IA llega con éxito a producción. IDC, citado por separado por CIO.com, llega al mismo número con una metodología diferente: por cada 33 pruebas de concepto de IA que lanza una empresa, solo cuatro llegan a la producción. El estudio de RAND de 2024 sitúa la tasa general de fallo de la IA por encima del 80%, aproximadamente el doble de proyectos de TI comparables. El Proyecto NANDA del MIT encontró que el 95% de los pilotos de IA generativa no producen un retorno medible en la cuenta de resultados.

Estos estudios miden diferentes factores: conversión de piloto a producción, abandono de prueba de concepto, fracaso generalizado de proyectos de IA y retorno financiero. Comparten una dirección: el entusiasmo inicia el trabajo, la producción requiere decisiones organizativas que el equipo piloto nunca tuvo que asegurar.

Una encuesta Sinch separada muestra lo que ocurre al otro lado del despliegue. Entre 2.527 altos responsables de la toma de decisiones en diez países, el 74% de las empresas ya había revertido o apagado un agente de IA en activo tras su llegada a producción. Casi un tercio citó la exposición a datos de clientes como el principal desencadenante, el 22% señaló alucinaciones o riesgos de marca, y el 16% citó la incapacidad de diagnosticar qué había fallado en absoluto.

El modelo superó su piloto. La organización nunca había construido las condiciones necesarias para operarlo.

Cómo es la semana veinte

La historia del KYC no es inusual. Sigue un patrón que he visto repetirse en servicios financieros, tecnología sanitaria y SaaS empresarial:

De la primera a la cuatro, el patrocinador ejecutivo está presente. Elimina bloqueadores más rápido de lo que el equipo puede generarlos. Seguridad no concede acceso a datos de producción, ella los anula. El departamento legal quiere una revisión de seis meses, ella la termina en una semana. El equipo avanza rápido porque cada obstáculo organizativo tiene un nombre asociado a su resolución.

De la quinta a la ocho, el piloto funciona. El equipo lo demuestra con datos sintéticos, la junta lo ve y todos coinciden en que esto es real.

De las semanas nueve a doce, la CTO cambia su atención. Una migración a la nube que heredó está perdiendo presupuesto, y ahora tiene que estar en esa sala. El equipo de KYC necesita que el acceso a los datos de producción sea aprobado mediante el proceso formal de cumplimiento. Sin la presencia de la CTO, cumplimiento lo encamina por el canal estándar. Plazo estimado: once semanas.

De las semanas trece a dieciséis, los dos ingenieros que construyeron el piloto habían sido llamados de vuelta a sus equipos originales porque nadie había formalizado nunca la plantilla. Su mánager quiere que vuelvan. Nadie se opone porque nadie tuvo nunca autoridad permanente sobre esta iniciativa.

Entre las semanas diecisiete y veinte, el piloto entra en modo mantenimiento. El entorno de staging sigue funcionando. La factura mensual de cómputo es lo suficientemente pequeña como para que nadie se dé cuenta. La iniciativa aparece en un informe trimestral como «en curso». Se quedará ahí hasta que alguien nuevo pregunte por qué no se ha enviado, y para entonces el contexto ya no existe.

Por qué muere el patrocinio

El 56 por ciento de los proyectos de IA fallidos pierden patrocinio de alto nivel en seis meses, según Pertama Partners. La consecuencia es medible: las iniciativas con patrocinio ejecutivo sostenido alcanzan una tasa de éxito del 68%, mientras que las que lo pierden bajan al 11%.

El instinto es culpar a los ejecutivos ocupados, pero el fracaso va más allá. Cuando las organizaciones dirigen iniciativas de agentes de IA a través de un Centro de Excelencia (CoE), Gregor Hohpe identifica tres modos de fallo recurrentes. La IA añade un cuarto.

El primero es el modelo misionero: el CoE evangeliza la adopción de la IA frente a los incentivos existentes, y la organización lo trata como un discurso de venta de un proveedor que nadie pidió. La segunda es la gobernanza prescriptiva: el CoE dificulta la forma antigua sin facilitar la nueva, así que los equipos lo rodean. El tercero es el cuello de botella del éxito: las primeras victorias del CoE generan una demanda que no puede absorber, y cada nuevo proyecto espera en una cola que crece más rápido que el equipo. La cuarta, específica de la IA, es el aislamiento de la corriente de valor: el CoE desarrolla directrices técnicamente correctas que nadie sigue porque fueron diseñadas sin la participación de quienes realizan el trabajo.

Un CoE tiene experiencia sin autoridad: puede recomendar prácticas, elaborar marcos de trabajo, dirigir talleres. Lo que no puede hacer es proteger una iniciativa de la resistencia organizativa cuando la atención del patrocinador se desplaza a otro lugar. Esa protección requiere que alguien con autoridad para anular una objeción de cumplimiento, reasignar plantilla o informar a un vicepresidente de que los ingenieros prestados no van a volver.

Cuando el patrocinador se va, nadie hereda esa autoridad. La iniciativa queda políticamente huérfana, lo que significa que no sobrevivirá al próximo ciclo presupuestario.

Los agentes que llegan a producción llegan sin control

La producción supone una segunda desventaja, ya que los controles temporales del piloto suelen convertirse en el modelo operativo. El 12% que sí llega a producción a menudo llega sin la gobernanza necesaria para permanecer allí.

La investigación de Entro Security sitúa la proporción de identidades no humanas respecto a identidades humanas en 144:1 en entornos empresariales nativos en la nube, frente a 92:1 a principios de 2024. Por otro lado, Axis Intelligence informa que los agentes de IA representan ahora aproximadamente tres cuartas partes de todas las identidades de las máquinas, y las empresas esperan que las identidades de los agentes de IA crezcan específicamente un 85% en los próximos doce meses.

Gravitee encuestó a 919 organizaciones a principios de 2026 y descubrió que el 86% de los agentes de IA habían sido desplegados sin aprobación de seguridad. La Cloud Security Alliance presentó datos en RSAC que muestran que solo el 26% de las organizaciones cuentan con políticas de gobernanza de IA. Mientras tanto, PwC informa que el 79% de las organizaciones ya utilizan agentes de IA.

Lo que esto significa en la práctica: si las credenciales del piloto se convierten en el modelo de acceso de producción, un atajo temporal se convierte en una postura de seguridad permanente. El agente funciona con tokens de larga duración, permisos amplios, sin rotación, sin rastro de auditoría, sin identidad distinta del humano que lo creó.

Esta es la falla de patrocinio expresada como una postura de seguridad. El CTO presente habría preguntado: «¿Qué identidad tiene este agente? ¿A qué puede acceder? ¿Quién revisa sus permisos?» Cuando el CTO se va, nadie hace esas preguntas. El agente llega a producción llevando la deuda de seguridad del piloto, y esa deuda se acumula silenciosamente hasta que un incidente la hace visible.

El equipo Entra de Microsoft anunció la gestión de identidad de agentes en RSAC 2026. Cisco dedicó toda su presencia en RSAC a la gobernanza de agentes: identidad, acceso, pruebas, inventario y respuesta. La infraestructura para gobernar correctamente a los agentes está llegando, pero la cifra de la CSA sugiere que la mayoría de las organizaciones aún carecen de un marco político que indique a los equipos cuándo y cómo utilizarla.

Lo que comparte la minoría exitosa

He visto cada una de estas ausencias causar, de forma aislada, el tipo de deterioro que describe la historia del KYC, y he visto cada una de ellas presente en las iniciativas que sí llegaron a producción.

Un delegado nombrado con autoridad. La CTO no tiene que estar en todas las reuniones diarias. Necesita a alguien en la sala que pueda anular una objeción de cumplimiento, proteger el número de empleados y escalar la situación solo cuando el bloqueador exceda su autoridad. El alcance del delegado es explícito y está escrito antes de que comience el piloto.

El acceso a la producción se negoció antes del piloto, no después de la demo. La conversación sobre el cumplimiento ocurre en la semana cero, cuando la atención del CTO está disponible y las apuestas son claras. Los equipos que esperan hasta después de una demo exitosa para solicitar acceso a producción ya han entrado en la cola de once semanas.

Criterios de éxito predefinidos con un aprobador nombrado y una fecha límite. Una página explicando qué significa «listo para producción», qué métricas lo demostrarán, qué ejecutivo aprueba la transición y para cuándo. Fija una fecha de producción antes de que empiece el piloto. En esa fecha, el aprobador nombrado autoriza la producción según los criterios o cancela la iniciativa y registra el motivo. Pertama Partners descubrió que las organizaciones con criterios de éxito predefinidos alcanzan una tasa de éxito del 54% frente al 12% sin ellos. El documento no necesita ser sofisticado. Debe existir y estar firmada antes de que se escriba la primera línea del código del agente.

Un equipo permanente, no ingenieros prestados. Si las personas que construyen el agente tienen otro responsable que pueda llamarles, la iniciativa no tiene equipo. Tiene un préstamo con una fecha de vencimiento no especificada. Formalizar el número de empleados es una señal de compromiso que la organización interpreta correctamente: si nadie fue asignado de forma permanente, la iniciativa es un piloto y todos la tratan en consecuencia.

Una cadencia de revisión mensual. Treinta minutos, evaluando al agente según los criterios predefinidos. La investigación de Sinch revela un hallazgo contraintuitivo: las organizaciones con los marcos de gobernanza más maduros revirtieron agentes a una tasa más alta, un 81% frente al 74% en total. Una mejor gobernanza produce una detección más temprana, no menos problemas. La gobernanza no hace viable un caso de uso débil; hace visible antes la decisión de parar. Las organizaciones con una monitorización más débil pueden estar experimentando los mismos fallos sin detectarlos. Una frecuencia de revisión mensual es la forma de convertirte en la organización que detecta problemas en la semana cuatro en lugar de descubrirlos en el mes once.

Estas disciplinas no salvarán un caso de uso débil. Un agente basado en datos inadecuados, una economía débil o tasas de error inaceptables debería fallar, y debería fallar en la semana doce en lugar de en el mes once. La diferencia entre el 88% y el 12% es en parte que la minoría exitosa eligió mejores casos de uso, y en parte que las disciplinas descritas aquí hicieron visibles las malas decisiones antes de consumir un año de atención organizativa.

¿Qué viene después?

Llevar agentes a producción es un problema. Lo siguiente es gobernar lo que hacen una vez allí, entre sesiones, sin presencia humana.

Las organizaciones que resuelven la frontera piloto-producción siguen enfrentándose a una pregunta que no han respondido: qué se permite ejecutarse sin supervisión, qué estándares de verificación se aplican a la salida autónoma, quién posee la comprensión del código generado por un bucle de agentes y qué se detiene cuando el bucle produce una salida que nadie entiende.

Eso es otro post. Pero las disciplinas descritas aquí, patrocinio sostenido, acceso prenegociado, criterios de éxito definidos, propiedad permanente e infraestructura de gobernanza desde el primer día, son la base sobre la que se construye. Sin ellos, la conversación sobre la gobernanza autónoma es académica, porque los agentes nunca sobreviven lo suficiente para llegar allí.

Ricardo