Gobernanza de IA falla: la mitad de las empresas no cubre riesgos de agentes autónomos

Cerca de la mitad de las organizaciones afirman que sus marcos de gobernanza de IA no fueron actualizados para incorporar los riesgos específicos de la IA agéntica, según la investigación de la EY. Cuatro de cada diez dicen no tener visibilidad de todas las herramientas de IA que circulan en sus redes, y aproximadamente un cuarto admite no conseguir detectar agentes de IA no autorizados operando internamente. La alerta de la consultoría, difundida por Cybersecurity Dive, es que los controles actuales pueden no ofrecer cobertura completa.

Números de investigación de EY sobre gobernanza de IA

Los tres porcentajes apuntan a problemas distintos. El primero, que alcanza cerca de la mitad de las empresas escuchadas, es documental: la política de gobernanza existe, pero fue escrita antes de que los agentes se conviertan en parte del día a día. El segundo — cuatro en cada diez sin visibilidad total de las herramientas de IA en red— es de inventario: no se administra lo que no se ve. El tercero, del cuarto que no detecta agentes no autorizados, es operativo: incluso con política actualizada, falta capacidad técnica de identificar quién está actuando.

Sumados, describen una brecha entre intención y ejecución. Tener un marco de gobernanza de IA no garantiza que cubra agentes autónomos, y tener cobertura formal no garantiza detección real.

¿Por qué la IA agéntica rompe marcos de gobernanza de IA?

La gobernanza de IA fue diseñada en buena parte para sistemas que responden a preguntas. Agentes hacen otra cosa: ejecutan acciones. Llaman APIs, acceden a bancos de datos, disparan transacciones, encadean tareas y pueden delegar subtareas a otros agentes. Cada una de estas capacidades crea una categoría de riesgo que filtros de contenido y revisión de prompts no dirigen.

El riesgo deja de ser sólo "lo que el modelo dijo" y pasa a incluir "lo que el agente hizo, con cual permiso y en nombre de quien". Permisiones excesivas, acciones irreversibles y cadenas de responsabilidad poco claras entran en el vocabulario de la gobernanza y exigen controles de identidad, alcance y registro de actividad que la mayoría de las políticas de IA no predijo.

Visibilidad en la gobernanza de IA: problema que se agravó

La dificultad de ver todas las herramientas de IA no es novedad. Pesquisas anteriores muestran que el 76% de los empleados usan herramientas de IA propias sin supervisión, y cuatro en cada cinco herramientas de IA operan sin seguimiento de TI. Lo que la EY añade es el efecto multiplicador: cuando el sistema invisible no sólo sugiere texto, sino ejecuta acciones, la ausencia de inventario deja de ser un problema de costo y se convierte en un problema de control.

Lo que la falla en la gobernanza de IA significa para las empresas brasileñas

Para organizaciones que operan bajo la LGPD, la cuestión se desarrolla en rendición de cuentas. Si un agente ejecuta una acción indebida — expone a un personal, contrata un servicio, cambia un registro —, la responsabilidad recae sobre la empresa controladora, no sobre el proveedor del modelo. Esto refuerza tres providencias prácticas: inventario de agentes en operación, identidad y permisos mínimos por agente, y registro auditable de las acciones ejecutadas.

Lo que los controles de gobernanza de IA todavía no resuelven

Ningún control aislado cierra la laguna. Política actualizada no detecta agente no autorizado; detección técnica no define responsabilidad; registro de logs no corrige permisos excesivos concedidos meses antes. Además, los agentes cambian de comportamiento a medida que reciben nuevas herramientas e instrucciones, lo que hace evaluaciones puntuales envejecer rápido. En la lectura de la EY, sin revisión continua la cobertura permanece parcial por definición.

Preguntas frecuentes sobre gobernanza de IA

¿Qué es IA agêntica?

Son sistemas de IA capaces de ejecutar acciones de forma autónoma, llamar APIs, acceder a sistemas, disparar transacciones y encadenar tareas, en lugar de responder a órdenes.

¿Cuál es el principal riesgo apuntado por la investigación de EY?

La defasificación de los marcos de gobernanza: cerca de la mitad de las organizaciones no los actualizó para cubrir riesgos específicos de agentes, lo que deja brechas de visibilidad y detección.

¿Cuántas empresas pueden detectar agentes de IA no autorizados?

Según EY, aproximadamente un cuarto admite no conseguir detectarlos operando internamente; cuatro en cada diez tampoco tienen visibilidad total de las herramientas de IA en sus redes.