El 82% de los directivos españoles ya ha llevado algún incidente de IA al consejo o comité ejecutivo

La inteligencia artificial ha dejado de ser un asunto limitado a los departamentos de tecnología. El 82% de los directivos en España afirma que durante el último año algún incidente relacionado con IA llegó al consejo de administración o al comité ejecutivo.

Los casos incluyen fallos de agentes, exposición de datos, errores en decisiones apoyadas por IA y brechas de seguridad. El dato muestra que la velocidad de adopción está llevando riesgos tecnológicos directamente a la agenda de la alta dirección.

La adopción avanza más rápido que la gobernanza

El problema no es únicamente que existan incidentes. La cuestión es si la empresa ha definido quién responde por una decisión automatizada, cómo se audita un modelo o cuándo debe intervenir una persona.

En muchas organizaciones, la IA se ha desplegado primero y las reglas han llegado después. Eso puede generar duplicidad de herramientas, exposición de información y decisiones difíciles de explicar.

Qué debería llegar al consejo

No todos los usos de IA requieren supervisión del máximo órgano de dirección. Pero los casos que afectan a datos sensibles, decisiones sobre personas, fraude, cumplimiento, operaciones críticas o reputación sí necesitan una política clara.

La dirección debería conocer al menos qué sistemas existen, qué información utilizan, qué proveedores intervienen y qué controles impiden que un agente actúe fuera de su ámbito.

El riesgo de los agentes autónomos

Los nuevos agentes pueden ejecutar acciones, no solo generar texto. Pueden consultar bases de datos, enviar mensajes, modificar registros o lanzar procesos. Eso amplía enormemente su utilidad, pero también el impacto potencial de una instrucción incorrecta.

Por eso los permisos deben seguir el principio de mínimo privilegio. Un agente no debería tener acceso a más sistemas de los necesarios para realizar su función.

Una política práctica para pymes

Una pyme no necesita crear un comité complejo para empezar. Puede elaborar un inventario de herramientas, clasificar usos por riesgo, prohibir el envío de ciertos datos a servicios no autorizados y exigir revisión humana en tareas sensibles.

El nuevo dato sobre incidentes deja una conclusión clara: la IA ya forma parte del riesgo operativo. Tratarla solo como una herramienta de productividad es quedarse con la mitad del problema.