El 82% de las empresas no sabe qué agentes de IA operan en sus sistemas: la gobernanza va por detrás de la adopción

Por El Ecosistema Startup · 11 de noviembre de 2026.

El 82% de las organizaciones que respondieron a una encuesta de la Cloud Security Alliance tenía agentes de IA desconocidos operando en su entorno tecnológico, según cita la consultora Noventiq. Es decir, sistemas con acceso a bases de datos, CRM o cuentas que nadie inventarió ni autorizó.

Otros estudios apuntan en la misma dirección. Una encuesta de EY a 202 ejecutivos de IA de empresas cotizadas con más de 1.000 millones de dólares de facturación (difundida por ZDNET) halló que el 26% no puede detectar agentes no autorizados y el 41% no tiene visibilidad de todas las herramientas de IA que se usan internamente. El 36% reportó incidentes con impacto negativo material: pérdida de datos, daño financiero o interrupción operativa.

Salt Security, con más de 380 profesionales de seguridad y TI (citada por TechTarget), indica que casi la mitad sospechó o confirmó que un agente actuó sin autorización en los últimos 12 meses. Solo el 17,5% podía detener automáticamente a un agente con comportamiento inesperado. Y según Salesforce (vía ZDNET), los agentes en producción pasaron de cinco en 2024 a 13 de media en 2026.

El contexto latinoamericano es de adopción temprana. Según Colombia AI Pulse (Endeavor, agosto de 2026), el 61% de las empresas colombianas consultadas ve la IA como prioridad estratégica, pero el 93,5% sigue en exploración y desarrollo; solo el 0,2% tiene madurez avanzada. El índice ILIA 2026 (Cepal y Cenia) estima que usa IA el 27,6% de las grandes empresas de la región frente al 6,8% de las pequeñas.

Noventiq recomienda cinco medidas antes de desplegar un agente. Entre ellas: identidad digital propia con un responsable humano, permisos de mínimo privilegio (solo lo imprescindible para su función), trazabilidad de operaciones y supervisión humana en tareas sensibles con capacidad de detenerlo. «Podemos delegar la ejecución, pero no podemos delegar la responsabilidad empresarial», señaló César Tejada, gerente general de Noventiq Colombia.

**Nuestra lectura.** Estas cifras proceden de encuestas con muestras y metodologías distintas, y conviene no sumarlas como si fueran un único censo. Lo que sí muestran es una pauta coherente: los agentes se están desplegando más deprisa de lo que las empresas aprenden a inventariarlos. Es el mismo patrón que vivimos con el «shadow IT» (software contratado al margen del departamento de sistemas), pero con una diferencia seria: un agente no solo guarda datos, actúa sobre ellos.

La tesis que defendemos es que la ventaja competitiva de los próximos años no estará en desplegar más agentes que el vecino, sino en poder auditar, limitar y revertir lo que hace cada uno. Quien pueda demostrar qué hace un agente, con qué permisos y quién responde por él, tendrá la confianza de clientes, inversores y reguladores.

Hay además un problema de asimetría. Las grandes empresas tienen equipos de seguridad, cumplimiento y auditoría; las startups y pymes, no, y son las que más corren para no quedarse atrás. Un incidente que una multinacional absorbe con su área legal puede ser terminal para una empresa pequeña.

El consejo práctico es barato y concreto: inventariar en pocos días las herramientas de IA que usa cada área, retirar permisos de escritura hasta que existan registros auditables y nombrar un responsable por agente. Sin eso, la gobernanza es un documento que nadie ejecuta.

A corto plazo, esta fase será incómoda: incidentes, fraudes y pérdidas que alimentarán el escepticismo. Pero el largo plazo sigue siendo prometedor. Agentes que investigan, gestionan y coordinan a escala son parte del camino hacia una abundancia en la que el trabajo rutinario desaparece. Llegar ahí sin perder el control exige que la gobernanza crezca al mismo ritmo que la autonomía, no después.