Gobernanza de la IA en la empresa: no basta con usarla, hay que saber controlarla
La pregunta ya no es qué puede hacer la IA, sino qué estamos dispuestos a dejarle hacer.
Hace unos días hablábamos de qué sectores están liderando la adopción de la IA agéntica y hacia dónde vamos en 2027. Ahora toca dar un paso más. La IA ya forma parte del trabajo diario de muchas empresas y, con la llegada de los agentes capaces de acceder a sistemas, encadenar acciones y ejecutar tareas, aumenta también la necesidad de establecer límites.
Aquí entra en juego la gobernanza de la IA: el conjunto de criterios, normas y controles que determina cómo puede utilizarse la inteligencia artificial dentro de una organización, qué decisiones puede tomar y cuáles deben seguir bajo supervisión humana.
Porque cuanto mayor es la autonomía que damos a la IA, más importante es saber qué está haciendo, con qué información y hasta dónde queremos dejarla llegar.
Lo que la IA ya está haciendo en las empresas
Marketing es una de las áreas donde esta transformación se está produciendo con mayor velocidad. Salesforce señala que el 75 % de los profesionales encuestados ya utiliza IA. El potencial es evidente: la IA puede generar veinte asuntos de newsletter, diez versiones de una landing, cincuenta anuncios o cien adaptaciones para redes sociales prácticamente sin coste marginal.
Sin embargo, el 84 % de esos mismos profesionales reconoce seguir desarrollando campañas genéricas. Los problemas de calidad, fragmentación y disponibilidad de los datos continúan siendo la principal barrera para conseguir la personalización que promete la tecnología.
La IA ha reducido enormemente el coste de producir contenido. No ha reducido el coste de tener algo interesante que decir.
Y cuanto más accesible sea la generación, más valor tendrán precisamente los activos que no están disponibles para todo el mundo: experiencia propia, datos propios, casos reales, conocimiento del cliente, criterio, metodología, reputación y capacidad para relacionar información.
Del Prompt al método: cómo la IA empieza a trabajar en tu empresa
Durante estos primeros años hemos dedicado mucha atención a aprender a pedir cosas a la IA: cómo escribir mejores prompts, cómo proporcionar contexto o cómo conseguir respuestas más precisas. El prompt fue la primera forma de relacionarnos con ella: una instrucción directa, puntual, para obtener una respuesta concreta. Útil, pero limitada. Cada vez que empezabas una conversación, empezabas desde cero.
El siguiente paso llegó en octubre de 2025 con las Skills: paquetes de instrucciones reutilizables que defines una vez para un tipo de tarea y la IA aplica de forma continua sin tener que repetirlas. No es un prompt; es el criterio que permanece. Una skill puede definir cómo debe analizar una campaña, qué pasos seguir, qué fuentes considerar válidas, qué excepciones existen o qué decisiones necesitan aprobación humana. Se configura una vez y funciona siempre igual, con la lógica de tu empresa incorporada.
La cuestión ahora es ir más lejos: conseguir que la IA trabaje de acuerdo con la manera de trabajar de una organización completa.
Pensemos en un análisis de Google Ads. No basta con decir “analiza esta campaña”. Una empresa puede querer que cualquier análisis compruebe previamente la calidad del tracking, valide los periodos comparados, revise inversión, conversiones, CPA o ROAS, términos de búsqueda, cambios históricos, promociones y estacionalidad, diferenciando siempre hechos de hipótesis. Eso no es un prompt ni siquiera una skill aislada. Es el método de trabajo de esa empresa, transferido a la máquina.
No sabemos exactamente qué forma tomará esto en los próximos años. Lo que sí parece claro es la dirección: cada empresa necesita que la IA forme parte de ella, con su conocimiento, sus normas, sus procesos y sus límites. Una IA genérica que no sabe cómo trabaja tu empresa puede generar mucho volumen. Una integrada en tu forma de trabajar puede aportar valor real. Y esa diferencia no la pone la tecnología sola; la construye cada organización.
Es probable que dentro de pocos años esto genere incluso una especialización profesional: personas cuya función no sea únicamente saber utilizar IA, sino diseñar cómo debe trabajar la IA dentro de una empresa.
El contexto propio como ventaja competitiva
Salesforce encuentra una diferencia importante entre los equipos que simplemente utilizan IA y aquellos capaces de alimentarla con información empresarial conectada. Los equipos de marketing con datos unificados son 2,4 veces más propensos a encontrarse entre los profesionales de mayor rendimiento y presentan un 60 % más de probabilidades de utilizar agentes para escalar su actividad.
No es únicamente una cuestión tecnológica. Una IA que no conoce quién es el cliente, qué ha comprado, qué problemas ha tenido, qué productos están disponibles, cuáles dejan margen o cuál es la estrategia comercial puede automatizar mucho y aportar poco.
Si todos podemos acceder a modelos de IA similares, una parte creciente de la ventaja competitiva estará en el contexto que cada empresa sea capaz de proporcionarles. El CRM, la documentación, los históricos, los datos de cliente y la experiencia acumulada pueden convertirse en la verdadera materia prima de la inteligencia artificial empresarial.
Conviene también tener presente qué ocurre con la información que proporcionamos a estos sistemas. Algunos modelos de lenguaje pueden utilizar las conversaciones para mejorar versiones futuras, a menos que la configuración corporativa lo impida. Una empresa que introduce sistemáticamente información estratégica en herramientas gratuitas sin revisar sus términos de uso está tomando, sin saberlo, una decisión sobre la propiedad de su propio conocimiento.
¿La utilizamos para pensar o para evitar pensar?
La IA elimina la fricción. Una investigación que podía ocupar varias horas arranca ahora en minutos. Puede resumir centenares de páginas, comparar competidores, analizar miles de comentarios de clientes o plantear diez escenarios diferentes casi instantáneamente.
La ventaja es evidente, pero también genera una tentación: dejar de investigar porque preguntar es mucho más rápido. Antes, un análisis competitivo implicaba buscar información, leerla, contrastarla, compararla, interpretarla y discutirla antes de decidir. Ahora podemos escribir “analiza estos cinco competidores y dime qué debería hacer mi empresa” y disponer de una propuesta treinta segundos después.
La cuestión no es renunciar a esa capacidad, sino comprender qué estamos recibiendo. Hay una enorme diferencia entre pedir a la IA que encuentre patrones que no hemos detectado y pedirle directamente que defina nuestra estrategia. La primera utilización amplifica nuestra capacidad. La segunda corre el riesgo de sustituirla.
En las organizaciones que están obteniendo resultados reales, la IA no ha sustituido el criterio humano, sino que lo ha obligado a ser más explícito. Los profesionales que mejor trabajan con estos sistemas saben exactamente qué valor aportan ellos y qué parte pueden delegar. Los que simplemente la utilizan para no tener que pensar van construyendo, sin notarlo, una dependencia que acaba reduciendo su capacidad de hacer bien su trabajo sin ella. No es un problema tecnológico. Es un hábito.
El riesgo más peligroso quizá no sea que la IA se equivoque
Las inteligencias artificiales pueden interpretar mal una fuente, omitir información relevante, inventar un dato o construir una explicación lógica para algo que en realidad no ha ocurrido así. El problema más delicado aparece cuando nosotros dejamos de esperar que puedan equivocarse.
Una respuesta incorrecta puede estar magníficamente estructurada, utilizar terminología profesional y presentar una argumentación perfectamente coherente. Puede sonar incluso más convincente que el análisis preparado por una persona y seguir siendo incorrecta.
En marketing esto ocurre con especial facilidad. Podemos introducir unos datos y preguntar por qué ha aumentado el coste de adquisición. La IA puede construir una explicación razonable sobre el CPC o la competencia. Sin embargo, quizá terminó una promoción, cambió el stock, hubo un problema de tracking o estamos comparando periodos que no son equivalentes.
Aquí existe una distinción fundamental: la IA puede ser extraordinaria generando hipótesis; el profesional debe convertir esas hipótesis en evidencias. Dato, interpretación, hipótesis, recomendación y decisión no son lo mismo. Uno de los riesgos de utilizar IA continuamente es recorrer demasiado deprisa esa cadena hasta terminar tomando una decisión basada en algo que nunca llegamos a comprobar.
El problema se amplía cuando la IA deja de responder y empieza a actuar. Hasta hace poco, equivocarse con IA podía significar obtener un mal texto o una respuesta incorrecta. Ahora los sistemas empiezan a tener acceso a datos, aplicaciones y procesos empresariales: pueden consultar un CRM, analizar campañas, modificar información, desencadenar automatizaciones o ejecutar acciones.
Imagina un agente de atención al cliente conectado al sistema de gestión de pedidos. Si el sistema malinterpreta una política de cambios, ya no produce un texto incorrecto que alguien revisará antes de enviar. Produce directamente una acción incorrecta: un reembolso que no procedía, un descuento no autorizado, una promesa de plazo imposible.
Una IA que responde incorrectamente genera información incorrecta. Una IA conectada a sistemas puede convertir esa información incorrecta en una acción incorrecta.
Los riesgos también están saliendo fuera de la empresa
El problema no se limita a datos y procesos internos. Estamos empezando a ver consecuencias sobre reputación, propiedad intelectual, fraude y confianza.
En septiembre de 2026 se han documentado nuevos casos de influencers cuya imagen ha sido utilizada mediante deepfakes para promocionar productos con los que nunca habían tenido relación.
The Guardian (en una investigación publicada el 12 de septiembre de 2026) recoge estimaciones que sitúan las pérdidas globales relacionadas con estafas basadas en deepfakes en unos 3.700 millones de dólares durante 2026. Las empresas ya no son únicamente víctimas potenciales de este tipo de fraude: también pueden convertirse involuntariamente en su vector, cuando un proveedor o un tercero utiliza imágenes, voces o identidades corporativas para fines no autorizados.
Microsoft señala que el 32 % de los incidentes de seguridad de datos registrados estaban relacionados con herramientas de IA generativa. Y el 71 % de los empleados británicos encuestados había utilizado herramientas de IA de consumo no autorizadas para realizar su trabajo, continuando el 51 % semanalmente. Es fácil imaginar qué significa esto en una empresa real: presupuestos pegados en un chatbot, contratos introducidos para obtener un resumen, informes comerciales analizados por herramientas gratuitas o información confidencial utilizada para preparar una presentación.
No hace falta haber implantado oficialmente IA para tener ya un problema de gobernanza de IA.
También ha cambiado el entorno regulatorio. El AI Act europeo, en vigor desde 2024, ha ido incorporando sus obligaciones de forma progresiva, mientras que España también avanza en el desarrollo de su propia ley de inteligencia artificial.
La conversación sobre inteligencia artificial ya no trata únicamente de cuánto tiempo podemos ahorrar. Empieza a incluir seguridad, privacidad, derechos, reputación, transparencia y responsabilidad.
Que brecha que la mayoría de empresas no está cerrando
Lo paradójico de este momento es que la magnitud del reto tiene medición. Deloitte (en su informe State of AI in the Enterprise 2026) señala que alrededor del 60 % de los trabajadores ya dispone de herramientas de IA aprobadas por su empresa, frente a menos del 40 % un año antes. Sin embargo, solo el 21 % de las compañías afirma disponer de un modelo maduro para gobernar agentes autónomos, y tres de cada cuatro esperan utilizar este tipo de agentes en los próximos dos años.
Gartner añade que hasta el 40 % de las organizaciones podría reducir la autonomía o retirar agentes de IA antes de 2027 debido a problemas de gobernanza descubiertos después de implantarlos en producción, y que solo el 13 % considera disponer actualmente de una gobernanza adecuada.
La adopción está avanzando más rápido que la gobernanza. Y esa brecha tiene consecuencias directas.
Ya no basta con experimentar: hay que gobernar
La palabra gobernanza puede sonar a gran corporación, regulación y comités, pero el concepto es mucho más sencillo y afecta también a cualquier empresa mediana.
Gobernar la IA significa ser capaces de responder preguntas muy concretas: quién puede utilizarla, para qué puede utilizarla, qué información puede proporcionarle, qué fuentes consideramos válidas, qué decisiones puede recomendar, cuáles puede ejecutar, cuándo necesita autorización, cómo podemos comprobar lo que ha hecho y quién sigue siendo responsable cuando algo sale mal.
No se trata de controlar cada prompt que escribe un trabajador. Se trata de establecer unas reglas de juego antes de que la IA esté integrada en tantos procesos que resulte difícil saber dónde empieza y dónde termina su intervención.
Y aquí la gobernanza deja de ser una capa burocrática que añadimos después de implantar la tecnología. Debería formar parte del diseño desde el principio.
Gobernar no significa frenar a la IA
Una empresa puede interpretar la gobernanza como una colección de prohibiciones: no uses esta herramienta, no introduzcas esos datos, no automatices aquello. Sería un error.
Una buena gobernanza debería permitir precisamente utilizar más IA donde aporta valor porque sabemos qué límites existen. Es parecido a cualquier otro proceso empresarial. Tener permisos, responsables, controles y procedimientos no impide trabajar; permite hacerlo con menos incertidumbre.
Implementar la IA también obliga a descubrir cómo funciona realmente la empresa
Cuando intentamos explicar a una máquina cómo debe ejecutar correctamente un trabajo aparece rápidamente otra realidad: muchos procesos no están realmente documentados. Están en la cabeza de determinadas personas.
Un profesional experimentado sabe que antes de tocar una campaña conviene comprobar determinada métrica, que una fuente concreta no es fiable, que con cierto tipo de cliente existe una excepción o que una decisión aparentemente sencilla requiere preguntar antes a otra persona. Ese conjunto de pequeñas decisiones constituye una parte muy importante del conocimiento empresarial.
Por eso la implantación de IA puede tener una consecuencia inesperadamente positiva: obligarnos a convertir conocimiento tácito en conocimiento organizado. Para conseguirlo hay que responder preguntas que en ocasiones nunca nos habíamos hecho de forma explícita: cómo realizamos realmente una tarea, qué comprobamos siempre, qué diferencia un buen trabajo de uno mediocre, qué decisiones requieren autorización, qué errores son tolerables y cuáles no.
La IA puede obligarnos a documentar nuestro criterio antes de intentar automatizarlo.
Una empresa mediana no necesita empezar por la herramienta
Uno de los errores más habituales es empezar la conversación con “¿qué herramienta de IA deberíamos utilizar?”. Antes de seleccionar tecnología debería identificarse dónde existe una oportunidad real y qué riesgo supone equivocarse.
Una manera sencilla de hacerlo es evaluar cada proceso usando tres variables: cuánto trabajo consume una tarea, cuánto valor puede aportar la IA y qué consecuencias tendría un error.
Por dónde empezaría mañana una empresa mediana
No hace falta crear inmediatamente un comité de IA ni redactar un manual de cien páginas. Sí hace falta poner cierto orden. Estos son ocho pasos concretos:
- Saber qué está ocurriendo ya. Un inventario sencillo de herramientas, departamentos, usos y tipos de información empleados. Antes de diseñar una estrategia conviene conocer el uso real, incluido el que ha surgido de forma informal.
- Definir unas pocas líneas rojas. Información que no puede introducirse en herramientas no autorizadas, acciones que la IA no puede ejecutar sola y decisiones que siempre requieren una persona.
- Elegir entre tres y cinco procesos de bajo riesgo y alto consumo de tiempo. Es mejor aprender sobre procesos concretos que intentar “implantar IA en toda la empresa”.
- Documentar cómo se hace bien el trabajo. Antes de automatizar un proceso, definir qué fuentes utiliza, qué pasos debe seguir, qué comprueba un profesional y qué excepciones existen.
- Asignar un responsable. Cada uso relevante debería tener una persona propietaria del proceso — no necesariamente alguien técnico, sino alguien capaz de determinar si el resultado tiene sentido.
- Dar permisos de forma progresiva. Primero leer y analizar. Después, recomendar. Más adelante, preparar acciones. Solo cuando exista suficiente confianza, permitir ejecuciones autónomas dentro de límites claros.
- Medir productividad y también errores. Tiempo ahorrado, calidad y resultados, pero también correcciones necesarias, incidencias y situaciones en las que la supervisión humana evitó un problema.
- Revisar periódicamente el modelo. Las capacidades cambian demasiado rápido como para considerar cualquier política definitiva. Lo que hoy rechazamos puede ser perfectamente seguro dentro de un año.
Esto convierte la implantación en un proceso progresivo: observar > probar > medir > documentar > ampliar autonomía. No en una carrera por conectar una IA a toda la empresa.
Tres preguntas antes de dar autonomía a una IA
Antes de dejar que un agente actúe solo en un proceso, conviene poder responder con claridad a tres preguntas:
- ¿Qué ocurre si se equivoca? Determina el nivel de riesgo real. Un error en un resumen interno y un error en una transferencia o un mensaje a un cliente no tienen el mismo alcance.
- ¿Cómo sabremos que se ha equivocado? Determina la capacidad de supervisión. Si no existe una forma clara de detectar el error, la IA no debería actuar de forma autónoma en ese proceso.
- ¿Quién responde cuando ocurra? Determina la responsabilidad. Si no hay una persona propietaria del proceso, no hay garantía de supervisión real: la IA no asume responsabilidad, las personas sí.
Si una empresa no puede responder con claridad a las tres, probablemente todavía no debería conceder autonomía a la IA en ese proceso.
Y qué rechazaría de primeras
También puede resultar útil establecer algunas decisiones que deberían levantar inmediatamente una señal de alerta:
- Automatizar un proceso que todavía no entendemos bien.
- Conectar información sensible a herramientas cuyo tratamiento de datos desconocemos.
- Permitir acciones irreversibles sin aprobación.
- Utilizar resultados que nadie dentro de la empresa sabe verificar.
- Delegar decisiones importantes únicamente porque el sistema suele acertar.
- Implantar IA simplemente porque existe una funcionalidad nueva, sin haber identificado qué problema resuelve.
Existe una regla especialmente útil: “Si no sabemos explicar cómo debería hacerse correctamente una tarea sin IA, probablemente todavía no estamos preparados para automatizarla con IA.”
El futuro puede no consistir en usar más IA, sino en diseñar mejor cómo trabaja con nosotros
A septiembre de 2026 seguimos en una fase temprana y muy cambiante. Ahora hablamos de prompts, agentes, copilotos y modelos diferentes porque son algunas de las herramientas y arquitecturas disponibles. Es bastante probable que dentro de unos años parte de este vocabulario haya quedado antiguo.
Puede que tengamos sistemas conectados prácticamente con toda la organización capaces de comprender el contexto empresarial de manera continua. Puede que aparezcan profesionales especializados en diseñar los métodos, límites y criterios con los que trabajan estos sistemas. Lo más probable es que ambas cosas evolucionen simultáneamente.
Lo que difícilmente desaparecerá será la necesidad de decidir qué información proporcionamos, qué autonomía concedemos, qué resultados comprobamos y quién es responsable.
Por eso quizá la ventaja competitiva no esté en convertirse en la empresa que más automatiza. Estará en convertirse en la empresa que mejor sabe qué automatizar, qué conocimiento transferir a la máquina y qué decisiones quiere seguir manteniendo en manos de las personas.
La inteligencia artificial puede ayudarnos a trabajar más rápido, analizar más información y ejecutar procesos que hasta hace poco parecían imposibles de automatizar. Pero conforme aumenta su capacidad, también debería aumentar la nuestra para gobernarla.
Porque podemos delegar trabajo, trasladar procedimientos y conectar la IA con prácticamente todo nuestro negocio. Lo que no podemos delegar es la responsabilidad de entender qué está haciendo y por qué.
La entrada Gobernanza de la IA en la empresa: no basta con usarla, hay que saber controlarla se publicó primero en Geotelecom.
