Los incidentes por IA irrumpen en las cúpulas directivas, pero no siempre se traducen en cambios en la gobernaza

Los incidentes relacionados con la IA están llegando a los consejos de administración y comités ejecutivos en España, mientras la gobernanza y la rendición de cuentas sobre los riesgos avanzan a un ritmo distinto al de la adopción de la tecnología.

El 82 por ciento de los directivos en España afirma que un incidente relacionado con la IA, como el fallo de un agente, la exposición de datos, un error en una decisión apoyada por IA o una brecha de seguridad, llegó al consejo de administración o al comité ejecutivo durante el último año. Sin embargo, únicamente el 36 por ciento modificó su política o marco de gobernanza como respuesta.

Esta diferencia entre los riesgos identificados y las medidas adoptadas también se refleja en la forma en que las organizaciones gestionan el despliegue de la tecnología, como se recoge en un nuevo estudio de IBM para el que se ha encuestado a 540 directivos de organizaciones en España.

En él se indica que cuando el despliegue de la IA supera la preparación de los marcos de gobernanza y cumplimiento, el 65 por ciento de los directivos afirma que continúa dentro de los límites de riesgo acordados mientras adapta la gobernanza, frente al 30 por ciento que opta por retrasarlo hasta contar con los mecanismos adecuados.

Esta situación cobra relevancia ante el avance de la IA agéntica, que introduce nuevos desafíos de supervisión a medida que los sistemas adquieren mayor autonomía. Según la encuesta, el 25 por ciento afirma que ya utiliza IA agéntica en producción y el 73 por ciento espera que los agentes tengan algún grado de autonomía en la toma de decisiones para 2027. Pese a ello, solo el 34 por ciento considera que su gobernanza actual está preparada para ampliar este tipo de despliegues.

RESPONSABILIDAD Y RENDICIÓN DE CUENTAS

La práctica totalidad de los directivos encuestados en España (99%) ha asignado formalmente al consejo de administración la responsabilidad sobre el riesgo de la IA, incluido un 27 por ciento que cuenta con un comité específico de IA a ese nivel.

Sin embargo, no hay consenso sobre quién debe responder por los resultados adversos de los agentes de IA, aunque el 12 por ciento cita de los encuestados cita al director de Sistemas de Información o al director de Tecnología.

También hay distintas opiniones sobre quién debería asumir la responsabilidad legal si un sistema de IA causa daños significativos. El 19 por ciento considera que debería repartirse proporcionalmente entre la organización que despliega la IA y el proveedor, el 18% por ciento apunta a la necesidad de un marco regulatorio más adecuado, y el 14 por ciento cree que la responsabilidad debería recaer en el proveedor de IA o tecnología.

Para gestionar agentes de IA cada vez más autónomos, los directivos españoles consideran necesarias medidas como marcos legales o contractuales que definan la responsabilidad del proveedor por los fallos de los agentes (33%), umbrales claros para solicitar intervención humana (31%), supervisión en tiempo real y registros de auditoría de las decisiones y acciones de los agentes (29%) y la capacidad para detener de inmediato su actividad en toda la organización (30%).

A ello se suma que el 53 por ciento de los directivos gestiona las herramientas de IA generativa y los sistemas de IA agéntica como categorías de riesgo distintas, con marcos de gobernanza separados. Otro 40 por ciento aplica un marco común, con controles adicionales para la IA agéntica, mientras que solo el 32 por ciento cuenta con una cuantificación formal del riesgo financiero que generan las carencias en la gobernanza de la IA, revisada por el consejo de administración.

En lo que respecta a la cadena de suministro, prácticamente la mitad (49%) reconoce carencias o limitaciones en la cobertura que su marco de gobernanza ofrece para los sistemas y modelos de IA utilizados por proveedores, socios tecnológicos y participantes de la cadena de suministro. Solo el 20 por ciento supervisa de forma continua el riesgo de IA de terceros, y el 12 por ciento aplica requisitos independientes de garantía o certificación.

Asimismo, en España, el 44 por ciento de los directivos está acelerando la inversión en gobernanza antes de que entren en vigor las obligaciones de alto riesgo de la Ley de IA de la UE en diciembre de 2027. Otro 39 por ciento avanza según lo previsto con planes estructurados de cumplimiento.