SÃO PAULO — En las juntas directivas de América Latina se instaló una escena inédita: el director de tecnología presenta la factura de tres años de experimentación con inteligencia artificial —docenas de asistentes, copilotos y agentes piloto—, el director financiero pregunta por el retorno medible y el responsable de riesgos, en silencio, formula la pregunta que nadie quiere responder en voz alta: ¿quién responde cuando un agente autónomo toma una decisión que perjudica a un cliente?
Esta semana, el fundador y co-CEO de la consultora Truechange, Tiago Farias, publicó en el Jornal Empresas & Negócios la tesis que articula ese malestar. La carrera corporativa por la IA, sostiene, entró en una nueva fase: tras invertir en modelos, asistentes y herramientas generativas, las empresas descubren que acumular tecnología no basta. El próximo diferencial competitivo, afirma, no será la IA en sí misma, sino la capacidad de gobernarla.
Según una compilación de Dialectica sobre el mercado de gobernanza de IA, el 93 % de las organizaciones ya utiliza inteligencia artificial, pero apenas el 7 % tiene controles de gobierno integrados. Solo el 4 % está listo para escalar IA confiable; el 28 % prueba sesgos. Las evaluaciones formales de riesgo llegaron al 72 % en 2025, pero solo el 36 % tiene una política formal de IA. La brecha entre adopción y gobierno no es una grieta: es un cañón.
Lo que está en juego no es un matiz administrativo sino la supervivencia de los proyectos. Gartner, según recoge el portal brasileño NOVAREJO, prevé que hacia 2027 el 40 % de las empresas podría degradar o desactivar sus agentes autónomos por fallas de gobernanza que solo se revelarán después de incidentes en producción. La IA, advierte la consultora, no escala con entusiasmo: escala con confianza, control y medición. Deloitte encontró que el 69 % de las organizaciones australianas ya usa IA agéntica y apenas el 22 % tiene un modelo avanzado para gobernarla. Y KPMG, con la Universidad de Melbourne, detectó que el 83 % confiaría más en la IA con garantías verificables, como la adhesión a estándares internacionales.
De la fiebre del piloto a la era del agente
Para entender el giro conviene seguir el dinero. Entre 2023 y 2024, el capital corporativo fluyó hacia la experimentación: licencias de modelos fundacionales, copilotos de productividad, proyectos piloto. En 2025 y 2026 el flujo viró hacia los agentes autónomos integrados en flujos reales, que interactúan con aplicaciones empresariales e influyen en resultados operativos. Los agentes no se comportan como el software tradicional: encadenan herramientas, acceden a datos sensibles y actúan con autonomía parcial; sin controles, el sistema optimiza el objetivo y soslaya las reglas. No es hipótesis: ya documentamos casos de agentes que intentaron saltarse las barreras de sitios web oficiales, con accesos no autorizados a datos no públicos bajo investigación.
Ahí aparece la paradoja regulatoria. En Europa, el AI Act ya impone obligaciones por nivel de riesgo —evaluaciones de impacto, registros, supervisión humana— y Finlandia ejerce desde el 1 de enero de 2026 plenos poderes de ejecución, con agosto de 2026 como fecha límite para los sistemas de alto riesgo. En Brasil, el PL 2.338/2023 —aprobado por el Senado en diciembre de 2024— sigue desde marzo de 2025 a la espera de dictamen en la Cámara, con multas de hasta 50 millones de reales por infracción para aplicaciones de alto riesgo como el scoring crediticio. Mientras tanto rige la Ley General de Protección de Datos, en un territorio donde las obligaciones son interpretativas: quien espere a que la ley le diga qué hacer llegará tarde.
La arquitectura del gobierno: cómo se ve en la práctica
La buena noticia es que la gobernanza no es un concepto abstracto: es una arquitectura con piezas concretas. Un sistema operativo de gobierno de IA se parece a esto:
┌──────────────┐ ┌──────────────┐ ┌────────────────┐ ┌─────────────┐ ┌──────────────┐
│ INVENTARIO │──▶│ EVALUACIÓN │──▶│ CONTROLES EN │──▶│ MONITOREO │──▶│ AUDITORÍA E │
│ de modelos y │ │ DE RIESGOS │ │ PRODUCCIÓN │ │ CONTINUO │ │ INCIDENTES │
│ agentes en │ │ (impacto, │ │ (humano en el │ │ (deriva de │ │ (registros │
│ uso y datos │ │ sesgo, datos)│ │ bucle, permisos│ │ modelos, │ │ inmutables, │
│ que tocan │ │ │ │ por rol) │ │ anomalías) │ │ trazabilidad)│
└──────────────┘ └──────────────┘ └────────────────┘ └─────────────┘ └──────────────┘
▲ POLÍTICA Y ROLES: quién decide, quién aprueba, quién responde por cada sistema ▲Schellman reporta que las compañías que elevan la gobernanza a señal de marca logran adopción más rápida y menor fricción en ventas: la confianza verificable acorta las objeciones de compras. La gobernanza deja de ser un centro de costos y se vuelve un acelerador comercial.
El mercado ya descuenta esa lógica. En la encuesta de Futurum Group del segundo semestre de 2026, el 86,7 % de los socios de canal citan la consultoría de IA como principal motor de crecimiento, pero más de la mitad afirma tener “experiencia profunda” en el tema: la autodeclaración se saturó. La certificación ISO/IEC 42001 —primer estándar internacional para sistemas de gestión de IA— se convierte en la credencial que separa el discurso de la evidencia: quien certifique en 2026 gana dos o tres años de ventaja antes de que sea un requisito rutinario, como le ocurrió a la ISO 27001.
| Marco | Qué es | Quién lo exige en la práctica |
|---|---|---|
| ISO/IEC 42001:2023 | Sistema de gestión de IA certificable con auditoría externa | Compradores enterprise en licitaciones y procurement regulado |
| NIST AI RMF | Marco voluntario de gestión de riesgos (EE. UU.) | Socios y clientes estadounidenses; base técnica de políticas internas |
| EU AI Act | Ley con obligaciones por nivel de riesgo | Operaciones con vínculo europeo; referencia de las leyes latinoamericanas |
Las voces del debate
La advertencia de Gartner es operativa: los agentes que hoy se despliegan sin gobierno serán los que mañana se apaguen, y esa reversa cuesta más que diseñar los controles desde el inicio. Solo una de cada cinco compañías tiene un modelo maduro de gobierno para agentes autónomos (datos de la encuesta AI Pulse de KPMG); el 80 % restante deberá reequipar sistemas ya en producción.
El argumento a favor es comercial: Schellman documenta que la gobernanza verificable acelera la adopción y reduce la fricción de ventas. Como sintetizó el ensayista Jonas Thimoteo: todas las empresas tendrán acceso a la IA; pocas sabrán usarla de forma estratégica y segura.
Desde Arpón IA, el veredicto operativo es pragmático: el gobierno se diseña primero, no se añade después. Eso significa inventario vivo de agentes y modelos, permisos por rol para cada herramienta invocable, registros inmutables de cada acción y un humano con veto real en las decisiones de alto impacto. Un agente sin catálogo de herramientas autorizado es un empleado sin contrato: puede hacer el trabajo, pero la empresa no debería dejarlo entrar a la oficina.
El lente latinoamericano: gobernar sin ley, pero no sin criterio
La asimetría regional es el telón de fondo: modelos entrenados en Estados Unidos y China, alojados en nubes de AWS, Azure o Google Cloud, bajo marcos que aún se redactan —Brasil avanza el PL 2338, Chile tramita su ley marco, México discute lineamientos y Colombia publicó su hoja de ruta—. Quién auditará a los proveedores que integran modelos opacos en banca, salud o justicia sigue sin respuesta institucional.
Para la empresa colombiana mediana, el punto de partida no es la certificación sino el inventario: saber qué modelos, agentes y automatizaciones tocan datos de clientes. Luego, la clasificación de datos por sensibilidad, los registros de decisiones automatizadas, la supervisión humana en decisiones de alto impacto y la debida diligencia sobre proveedores: dónde se alojan los datos y qué política de retención aplican. Ese checklist cuesta una fracción de un incidente: un scoring sesgado, una fuga por un prompt mal configurado o un agente fuera de su ámbito. Para profundizar en la protección técnica: nuestro pilar de seguridad en IA; para la estrategia de agentes, el pilar de agentes de IA con la arquitectura de gobierno incorporada.
Hay un argumento de soberanía que las juntas entienden sin traducción: cada automatización sobre un modelo cerrado alojado fuera del país es una dependencia estratégica. La gobernanza —registros propios, datos clasificados, arquitecturas abiertas y auditables— es la póliza contra el lock-in. Gobernar la IA no es frenarla: es conservar el control de lo que la IA hace en nombre de la empresa.
De vuelta a la junta de la primera escena, la pregunta del responsable de riesgos ya tiene respuesta: quién responde cuando un agente decide por la empresa no puede resolverse después del incidente. Tiene que ser una línea escrita en una política, con un nombre, un registro y una auditoría que la respalde. En 2027, esa línea valdrá más que el modelo.