Nueve de cada diez empresas ya han sufrido incidentes de IA. Lo sostiene ServiceNow en un informe recién publicado, y la fotografía que describen los directivos españoles apunta en la misma dirección: el 82% reconoce haberse enfrentado ya a uno de esos fallos. No es un riesgo de laboratorio.
El 82% de los directivos españoles ya ha lidiado con un fallo de estos sistemas
El catálogo de errores se repite con una monotonía que debería inquietar a cualquier comité de dirección. Asistentes que responden con datos de otro cliente, información interna que se escapa por una herramienta aprobada a toda prisa, decisiones automatizadas que nadie sabe reconstruir tres semanas después. La mayoría de estos casos no llega a los medios. Casi ninguno llega al consejo.
La segunda cifra relevante viene de McKinsey. Solo el 23% de las compañías que han desplegado agentes los escala con un marco formal de gobernanza. El resto improvisa: permisos amplios, supervisión humana sobre el papel, registros de actividad incompletos. La distancia entre adopción y control no es un detalle operativo; es exactamente el hueco por el que se cuela el incidente.
La autonomía de los agentes llega antes que el marco que debería contenerla
En España el fenómeno tiene una particularidad que conviene subrayar. El 82% de los directivos consultados dice haber gestionado ya un incidente, un porcentaje que sitúa al mercado español por delante de la media global en reconocimiento del problema. Cabe leerlo de dos formas: como señal de madurez o como prueba de que aquí se ha desplegado más rápido y con menos filtros. Las dos lecturas caben en el mismo dato.
Conviene precisar qué cuenta como incidente. En las encuestas del sector entra desde una alucinación detectada a tiempo hasta una fuga de datos confirmada, y esa mezcla infla la cifra tanto como la vuelve difícil de comparar entre países. Aun descontando el ruido, el orden de magnitud es complicado de esquivar: el fallo ha dejado de ser una excepción estadística.
El foco está ahora en los agentes de IA, programas que no se limitan a responder, sino que ejecutan. Consultan el CRM, escriben en el ERP, envían correos, mueven tickets, y abren incidencias en nombre de un empleado. Con ese nivel de autonomía, un error de configuración no produce una respuesta torpe: produce una cascada de acciones replicadas en cientos de sistemas a la vez. La exposición a la IA agéntica sin gobernanza, advierten desde el sector, se está acumulando dentro de las empresas.
Un agente con permiso de escritura sobre el sistema de facturación no comete errores pequeños: los comete a la escala de la empresa entera.
Entre las compañías que sí escalan con gobernanza el patrón es otro. No empiezan por la herramienta, sino por el inventario: qué modelos se usan, con qué datos, quién los ha aprobado y a qué sistemas pueden escribir. Suena burocrático. Es la línea que separa un piloto de un sistema en producción.
El enemigo, en cualquier caso, no siempre aparece en ese inventario. Buena parte de los incidentes nace en herramientas que entraron por la puerta de atrás: una extensión del navegador, un asistente gratuito, una prueba que se quedó a vivir en el equipo de marketing. La IA en la sombra no figura en el contrato con el proveedor y, por definición, tampoco en el plan de gobernanza.
Ningún proveedor vende gobernanza en la caja. Vende licencias, conectores y tiempos de implantación de seis semanas. El control de acceso, la auditoría de las decisiones y la política de datos quedan del lado del cliente, que rara vez los ha previsto en el mismo presupuesto.
El coste real no es la multa, es la pérdida de trazabilidad
El calendario regulatorio ya no es una amenaza futura. Las obligaciones para sistemas de alto riesgo del reglamento europeo de IA están en aplicación, y la Agencia Española de Supervisión de la Inteligencia Artificial mantiene abierta la vigilancia sobre los usos prohibidos. Eso convierte la trazabilidad en un requisito documental, no en una buena práctica.
Mi lectura es menos optimista de lo que sugiere ese 82%. Que nueve de cada diez empresas hayan tenido un incidente no mide el riesgo: mide que el despliegue ha llegado antes que el control. Y la brecha del 23% no se cierra contratando un consultor, se cierra cambiando quién responde de esto en el organigrama. Mientras la IA dependa de un jefe de innovación con presupuesto de experimento, la gobernanza de IA seguirá siendo un anexo del acta.
La pregunta que debería estar en el orden del día del próximo consejo no es cuántos casos de uso se han lanzado. Es quién firma cuando el agente se equivoca, con qué registro se reconstruye la decisión y cuánto tarda la compañía en enterarse. Las que respondan eso antes del primer incidente tendrán una ventaja difícil de copiar. Las demás lo aprenderán igual, solo que a precio de mercado.
