Por: Revistaeyn.com
Una empresa puede ahorrar horas con inteligencia artificial y, al mismo tiempo, aumentar su exposición a pérdidas. Un colaborador que carga información comercial en una cuenta personal, un asistente que incorpora código vulnerable o un agente autorizado a modificar una base de datos pueden abrir riesgos que el presupuesto de innovación no contempla. La productividad aparece en los indicadores antes de que la organización conozca el costo de supervisarla.
Esa distancia entre velocidad de adopción y capacidad de gobierno empieza a definir una prueba de gestión para las empresas latinoamericanas. Las decisiones sobre qué automatizar, con qué permisos y bajo responsabilidad de quién afectan la continuidad operativa, el cumplimiento de contratos y la confianza de los clientes. También determinan cuánto del ahorro prometido puede convertirse en ganancias sostenibles.
La exposición atraviesa tres decisiones conectadas: cómo se controla la tecnología dentro de la empresa, cómo se responde ante un incidente y bajo qué reglas se invierte. Incorporarlas desde la aprobación de un proyecto permite evaluar su rentabilidad con una visión más completa de las obligaciones que traerá consigo.
La expansión corre por delante de los controles
El informe AI Readiness in Latin America 2026, de RSM, ofrece una medida de la brecha. Alrededor del 40% de los participantes indicó que su organización ya implementaba IA; entre quienes la habían adoptado, el 68% planeaba ampliar su uso durante los siguientes doce meses. En el conjunto de las respuestas, solo el 18% reportó marcos formales de gobernanza y el 17%, políticas para sus empleados.
La encuesta reunió 461 respuestas en 2025, aproximadamente el 91% procedente de América Latina, mediante una muestra no probabilística.
Los resultados describen a las organizaciones consultadas y permiten observar un frente de conflicto empresarial: la expansión proyectada supera la preparación institucional para administrarla.
SISAP, firma de seguridad de origen guatemalteco, identifica esa dificultad en sus conversaciones con organizaciones de Centroamérica, Panamá, República Dominicana y Colombia. Los colaboradores pueden acceder a IA desde extensiones del navegador, aplicaciones con funciones incorporadas o cuentas personales, sin que la empresa tenga un inventario completo de esas herramientas.
El DBIR 2026 de Verizon aporta otra señal. En los datos analizados para el informe, el 67% de los usuarios accedía a servicios de IA desde dispositivos corporativos mediante cuentas no corporativas. El hallazgo muestra cómo una decisión individual puede incorporar un servicio externo al manejo cotidiano de información empresarial.
Para la gerencia, esa falta de visibilidad complica preguntas básicas: qué datos salen de la organización, qué condiciones rigen su tratamiento y quién puede reconstruir lo ocurrido ante un problema. Cada aplicación incorporada informalmente agrega una relación tecnológica que la empresa debe conocer y administrar.
Cuando la IA recibe permiso para actuar
La exposición adquiere otra escala cuando los sistemas ejecutan tareas. Consultar una base de datos, enviar correos o modificar configuraciones introduce consecuencias operativas que dependen de los permisos concedidos y de la capacidad para intervenir.
José Amado, AI Security Manager de SISAP, advierte sobre el desarrollo de software: “el código que generan no es seguro por defecto y requiere revisión”, señala respecto de los asistentes de programación. También sostiene que los agentes pueden comprometer operaciones si reciben permisos excesivos y carecen de supervisión adecuada.
El Observatorio de Agentic AI 2026, de NTT DATA y CIONET, encontró que el 80,8% de las organizaciones evaluadas en España e Iberoamérica carecía de mecanismos operativos para controlar la autonomía de sus agentes. En ese mismo estudio, el 40% identificó como principal barrera la dificultad para construir casos de negocio con impacto económico medible.
Ambos hallazgos sitúan el problema en la mesa ejecutiva. Una inversión necesita demostrar valor y establecer los límites dentro de los cuales puede producirlo. En un proceso crítico, la evaluación debe incluir la revisión humana, las pruebas de seguridad, el registro de acciones y el costo de corregir errores. El ahorro bruto de tiempo ofrece una medida incompleta del retorno.
Las ganancias también dependen de la respuesta
La expansión de la IA ocurre sobre una exposición cibernética ya instalada. El ESET Security Report Latinoamérica 2026, elaborado a partir de respuestas de 1.563 profesionales de 962 organizaciones en diez países, señala que el 52,7% de las organizaciones consultadas detectó intentos de ataque durante el último año. Otro 15,4% no pudo confirmar si había sufrido un incidente.
Érick Argüello, country manager de ESET Costa Rica, resume el impacto empresarial: “Una brecha de seguridad puede comprometer información crítica, interrumpir operaciones y generar costos de recuperación, además de afectar la reputación corporativa”.
Para una empresa, una interrupción puede posponer ventas, demorar entregas o elevar los gastos de recuperación. Si compromete información de clientes, también puede deteriorar relaciones comerciales cuya construcción tomó años. La exposición financiera reúne costos inmediatos y efectos que aparecen después, cuando un cliente reconsidera su confianza o exige garantías adicionales.
ESET subraya la necesidad de fortalecer la detección y la respuesta. Desde la perspectiva del management, eso exige definir quién puede detener una operación, cuánto tiempo puede permanecer inactivo un proceso y cómo se sostendrá el servicio mientras se recuperan los sistemas. Esas decisiones requieren participación de operaciones, finanzas, tecnología y dirección general.
Reglas previsibles para invertir y vender
La regulación añade una dimensión comercial. Valerio Adrián Anacleto, fundador y CEO de Epidata, plantea en su columna “Regular la IA: ¿Dónde debería estar el límite?” que la incertidumbre normativa puede afectar los contratos, prolongar los ciclos de venta y encarecer el riesgo asumido por proveedores y clientes.
“Sí, prefiero mil veces una regulación exigente y clara”, escribe. Su argumento incorpora una condición: “no alcanza con claridad, hace falta estabilidad”. Para el empresario, las reglas deben permitir que los proyectos atraviesen sus etapas de diseño, desarrollo y operación con plazos previsibles de adaptación.
Anacleto propone concentrar la supervisión en usos y decisiones concretas, como la concesión de un crédito, una contratación laboral o el acceso a una prestación. Defiende que las personas puedan conocer la intervención de un sistema automatizado, obtener explicaciones y solicitar revisión humana. También cuestiona los permisos previos de comercialización por las barreras que, a su juicio, pueden imponer a la competencia.
Su planteamiento resulta relevante para empresas centroamericanas y caribeñas que contratan tecnología o venden servicios a otros mercados. La previsibilidad facilita asignar responsabilidades, presupuestar adecuaciones y acordar condiciones con clientes. En su visión, la contratación pública también puede impulsar capacidades de documentación, trazabilidad y supervisión humana al incorporarlas como requisitos de compra.
La dimensión productiva refuerza ese debate. El ILIA 2025, presentado por CEPAL y CENIA, señala que América Latina y el Caribe concentra el 14% de las visitas globales a soluciones web de IA y recibe apenas el 1,12% de la inversión global en esta tecnología. Para Anacleto, un marco previsible puede ayudar a la región a desarrollar una mayor oferta propia.
La decisión que debe tomar la alta dirección
La agenda interna puede avanzar mientras se discuten las reglas públicas.
SISAP recomienda identificar herramientas y cuentas, definir responsables, proteger la información, revisar el código generado y limitar los permisos de los agentes. Para convertir esas medidas en gobierno empresarial, la dirección debe vincular cada uso relevante con un objetivo, un responsable y un nivel de riesgo aceptable.
Finanzas necesita medir el beneficio después de incorporar supervisión y posibles correcciones. Operaciones debe establecer alternativas de continuidad. Las áreas legales y de seguridad deben participar en la selección de proveedores y en la aprobación de usos sensibles. La gerencia general debe resolver las prioridades y exigir evidencia de que los controles funcionan.
La ventaja competitiva dependerá de la capacidad para ampliar lo que produce resultados confiables. Cada autorización para automatizar una decisión compromete recursos, información y relaciones de negocio. Gobernar esa autorización es parte de proteger las ganancias que la IA promete generar.
*Análisis de E&N elaborado a partir de documentos de SISAP y ESET y de la columna del experto Valerio Adrián Anacleto, fundador y CEO de Epidata. Datos contrastados con publicaciones de RSM, Verizon, NTT DATA/CIONET y CEPAL/CENIA.
