Gobernar la IA, el nuevo desafío tecnológico

Durante dos años las organizaciones experimentaron con IA. Hoy la conversación avanza hacia cómo controlar una tecnología que ya está tomando decisiones, automatizando procesos y ampliando la superficie de riesgo.

El FBI lleva años repitiendo el mismo mensaje: si su organización es víctima de un ataque de ransomware, no pague. La lógica es clara, pagar financia a los atacantes, no garantiza la recuperación de los datos y convierte a la empresa en un objetivo recurrente. Sin embargo, según el reporte State of Cybersecurity 2026 de Ivanti, basado en una encuesta a más de 1.200 profesionales de seguridad, el 54% de las organizaciones dice que pagaría, o probablemente pagaría, si fuera atacada hoy.

Para Leonardo González, Director Regional para América Latina de Ivanti, no es que las organizaciones no sepan que no deben pagar, es que no han construido la capacidad para no tener que hacerlo. Y esa distinción es el problema central que la industria lleva demasiado tiempo evitando nombrar. El mismo reporte confirma que la brecha entre el nivel de amenaza percibido y la capacidad real de defensa creció un promedio de 10 puntos respecto al año anterior. Esto ocurre mientras el 83% de las organizaciones reporta que sus presupuestos de seguridad aumentaron.

Más inversión, mayor desprotección. Esa contradicción dice mucho más del estado de la ciberseguridad hoy que cualquier cifra aislada.

En América Latina, el ransomware dejó de ser teórico. Costa Rica, Colombia, México ya han vivido ataques que paralizaron operaciones completas. La región enfrenta el mismo dilema global, pero con menos margen de error: infraestructuras fragmentadas, equipos de seguridad reducidos y, en muchos casos, una visión que todavía trata ciberseguridad como costo y no como capacidad crítica del negocio.

Lo preocupante no es solo el presente. Es que el mismo patrón está a punto de repetirse con la inteligencia artificial. Las organizaciones que no construyeron resiliencia básica frente al ransomware ahora se preparan para desplegar IA agente, sistemas autónomos capaces de tomar decisiones sin supervisión humana. Y lo hacen con la misma urgencia y la misma falta de preparación estructural.

Incluso en casos concretos, estos sistemas ya pueden automatizar decisiones como aprobaciones operativas o respuestas a incidentes sin intervención humana directa, elevando el impacto potencial de un error.

Por eso, el desafío ya no es únicamente adoptar inteligencia artificial, sino gobernarla. Gobernar la IA no consiste únicamente en reducir riesgos de seguridad. También implica definir responsabilidades, establecer mecanismos de supervisión humana y garantizar que los sistemas operen de manera transparente y alineada con los objetivos del negocio.

También implica decidir quién responde cuando la IA falla y cómo se gestionan decisiones híbridas entre humanos y sistemas autónomos.

El 87% de los profesionales de seguridad encuestados dice que adoptar IA agente es una prioridad para sus equipos en 2026. Pero solo el 55% cuenta con guardrails formales para controlar el despliegue de sistemas de IA.

Se está acelerando la adopción de tecnología autónoma sin los controles mínimos en marcha, el mismo patrón que generó vulnerabilidades en ciclos anteriores, ahora con mayor velocidad y menor margen de error.

El Global Cybersecurity Outlook 2025 del Foro Económico Mundial encontró que casi tres de cada cuatro organizaciones reportaron un aumento en sus riesgos de ciberseguridad en 2025, antes de que la IA agente se masificara.

A esto se suma una creciente presión regulatoria en distintos mercados, donde marcos emergentes de gobernanza y cumplimiento comienzan a exigir mayor trazabilidad, control y responsabilidad en el uso de inteligencia artificial.

Las organizaciones que más avanzan no son las que adoptan más rápido, sino las que combinan innovación con gobernanza. Definen responsabilidades, establecen métricas de éxito antes de desplegar nuevos sistemas e incorporan mecanismos de supervisión desde el primer día.

En la práctica, esto empieza con acciones concretas como inventariar los sistemas de IA en uso, asignar ownership claro entre tecnología, seguridad y negocio, y establecer controles de acceso, monitoreo y auditoría desde el inicio.

El 78% de las organizaciones dice tener una estrategia documentada para gestionar riesgos de seguridad, pero menos de la mitad la aplica de forma consistente en sus operaciones diarias. Lo que el ransomware demostró, y lo que la IA agente está a punto de confirmar, es que la distancia entre tener un plan y estar preparado puede costar muy caro.