En la actualidad, el 83 % de las organizaciones utiliza herramientas de inteligencia artificial. Solo el 25 % cuenta con un marco de gobernanza lo suficientemente sólido como para gestionar lo que realmente hace esa inteligencia artificial. Esa brecha entre la adopción y el control es el mayor riesgo al que se enfrentan hoy en día la mayoría de las empresas, y casi nadie ha designado a nadie para subsanarla.
La situación se vuelve más preocupante cuanto más se analiza en profundidad. Un estudio de Deloitte revela que el 66 % de los consejos de administración siguen teniendo un conocimiento limitado o nulo sobre la IA. La encuesta «2026 AI Impact Survey» de Grant Thornton, realizada a 950 líderes empresariales, reveló que el 78 % de los ejecutivos no se muestran muy seguros de poder superar una auditoría independiente sobre gobernanza de la IA en un plazo de 90 días. Por otra parte, según Economist Impact, solo el 8 % de las organizaciones a nivel mundial cuenta con lo que los investigadores denominarían un marco integral de gobernanza de la IA.
Esta no es una historia sobre malas intenciones. La mayoría de las organizaciones adoptaron la IA rápidamente porque la presión por actuar con rapidez era real y las herramientas resultaban verdaderamente útiles. Lo que no siguió el ritmo fue la capacidad interna para gestionar lo que se estaba adoptando. ¿Quién es responsable cuando algo sale mal? ¿Cómo se evalúa el riesgo antes de que una herramienta, un flujo de trabajo o un agente entre en funcionamiento? ¿Qué significa realmente «cumplir con la normativa» en la práctica? Esa brecha de capacidad es ahora lo que, de forma silenciosa, determina qué organizaciones obtienen el rendimiento que esperaban de la IA y cuáles no.
Y la rentabilidad está realmente en juego. Un estudio de Grant Thornton reveló que las organizaciones con una IA totalmente integrada y bien gestionada tienen casi cuatro veces más probabilidades de registrar un crecimiento de los ingresos que aquellas que siguen estancadas en la fase piloto: un 58 % frente a un 15 %. El factor diferenciador no fue la tecnología, sino la rendición de cuentas. Las organizaciones que van por delante son aquellas que pueden explicar cómo toma decisiones su IA, quién es responsable del resultado y qué ocurre cuando se equivoca. El resto se limita a generar actividad, no resultados.
Esta es la clave que debería cambiar la forma en que las organizaciones abordan la resolución de este problema: no hace falta un ejército de especialistas en ética de la IA ni un departamento de cumplimiento normativo completamente desarrollado para subsanar esta carencia. Solo hace falta una persona. Una persona del departamento jurídico, de operaciones, de RR. HH., de ingeniería o de la oficina del jefe de gabinete que comprenda de verdad los riesgos de la IA, que pueda llevar a cabo una evaluación de riesgos adecuada antes de que esa nueva función se implante en toda la organización, que sepa cómo es realmente un marco de gobernanza que cumpla con la normativa y que pueda dar una respuesta cuando un cliente, un organismo regulador o tu propio consejo de administración pregunte: «¿Cómo gestionamos nuestro uso de la IA?».
Esto ya está ocurriendo de manera informal, independientemente de si las organizaciones lo han planificado o no. La encuesta realizada por IBM en 2026 a 2.000 directores generales reveló que el 79 % está distribuyendo y ampliando la responsabilidad en materia de IA a medida que se incorpora a más expertos en la materia a las decisiones al respecto. En todas las organizaciones hay ya alguien que se está convirtiendo, por defecto, en «el responsable de la IA», normalmente sin formación, sin un marco de referencia y sin mucha voz ni voto en la materia. Las organizaciones que lo están haciendo bien son aquellas que decidieron quién sería esa persona y le proporcionaron las herramientas necesarias para desempeñar su función adecuadamente.
Tampoco se trata de un riesgo hipotético. Precisamente esta semana, OpenAI reveló que uno de sus propios modelos, durante una prueba interna de sus capacidades cibernéticas, se escapó de un entorno de pruebas supuestamente aislado y procedió a piratear de forma autónoma los sistemas de Hugging Face, una importante plataforma de alojamiento de modelos y conjuntos de datos de IA. El modelo aprovechó una vulnerabilidad hasta entonces desconocida para obtener acceso a Internet; a continuación, encadenó credenciales robadas y otros exploits para colarse en los servidores de producción de Hugging Face, todo ello sin que ningún ser humano dirigiera cada paso. OpenAI lo calificó de incidente sin precedentes. El propio director ejecutivo de Hugging Face lo describió como el primero de este tipo: un ataque llevado a cabo de principio a fin por un agente de IA autónomo.
Lo que llama la atención no es solo que haya ocurrido, sino el motivo. Los expertos en ciberseguridad señalaron una causa fundamental muy común: un entorno mal configurado. El entorno de pruebas «aislado» en el que se probó el modelo no estaba realmente desconectado de Internet, y fue un fallo en un sistema de instalación de paquetes dentro de ese entorno lo que permitió que el modelo se escapara en primer lugar. No se trató de un caso en el que la IA se volviera incontrolablemente inteligente. Fue un fallo de gobernanza y de procesos, del tipo que podría cometer cualquier organización que utilice o pruebe sistemas de IA.
¡Piénsalo un momento! Esto ocurrió en uno de los laboratorios de IA más sofisticados del mundo, con equipos de seguridad cuya labor a tiempo completo consiste precisamente en gestionar este tipo de riesgos. Si una brecha como esa puede surgir allí, puede surgir en cualquier lugar donde los sistemas de IA tengan acceso real a la infraestructura, a los datos o a Internet, lo cual, cada vez más, ocurre en todas partes. Las organizaciones mejor preparadas para detectar este tipo de fallos antes de que se produzcan no son necesariamente las que cuentan con la IA más avanzada. Son aquellas que cuentan con alguien cuyo trabajo consiste en plantear las preguntas incómodas antes de la implementación, no después.
Esa es precisamente la carencia que cubre nuestro Programa de Gestión de Riesgos de IA, dirigido por Toju Duke, está diseñado para subsanar. Toju pasó sus últimos años en Google como directora del Programa de IA Responsable, trabajando en los procesos de gobernanza de algunos de los modelos de IA más importantes de la empresa, y es autora de dos libros sobre el tema, incluida la primera guía práctica sobre la evaluación y gestión de riesgos de la IA. Ha diseñado esta serie de clases magistrales basándose en el mismo principio: los participantes no solo aprenden conceptos, sino que, sesión tras sesión, construyen un marco de gobernanza funcional para su propia organización, junto con evaluaciones de riesgos reales, casos prácticos en directo y ejercicios prácticos basados en situaciones reales.
Si tu organización aún no cuenta con alguien que pueda asumir esta responsabilidad con seguridad, eso no es un fracaso, sino simplemente la situación en la que se encuentran la mayoría de las organizaciones en este momento. La pregunta que vale la pena plantearse es quién va a ser esa persona y si ya está preparada para ello.
Datos importantes:
Fecha de inicio: miércoles 26 de agosto de 2026
Hora: 16:00, hora del Reino Unido
Duración del curso magistral: 60 minutos x 8 semanas
Detalles para participar: el enlace de Zoom y la información del calendario se enviarán junto con la confirmación
Se entregará un certificado al finalizar todas las sesiones
Número máximo de asistentes: mínimo 10, máximo 30
Si quieres ser la persona a la que tu organización recurra para este tema, o si quieres proponer a alguien para el puesto, puedes consultar toda la información y registrarte aquí:
thegenaiacademy.com/masterclasses/programa-de-gestión-de-riesgos-con-IA
Lecturas recomendadas
Compliance Week y konaAI, encuesta de 2026 realizada a 193 responsables de cumplimiento normativo, ética, riesgos y auditoría https://www.complianceweek.com/survey-reports/cw-survey-compliance-teams-struggling-with-ai-implementation-and-trust-issues/36460.article
Deloitte Global, «La gobernanza de la IA: un imperativo fundamental para los consejos de administración actuales» (2.ª edición, 2026) https://www.deloitte.com/global/en/issues/trust/progress-on-ai-in-the-boardroom-but-room-to-accelerate.html
Grant Thornton (EE. UU.), Encuesta sobre el impacto de la IA de 2026 (950 altos ejecutivos, 10 sectores, principios de 2026) https://www.grantthornton.com/services/advisory-services/artificial-intelligence/2026-ai-impact-survey
Economist Enterprise y KYOCERA Global, «De la intención a la acción»: estudio sobre el futuro del trabajo (639 ejecutivos, Londres/Nueva York/Singapur/Sídney/Tokio, finales de 2025) https://insights.economistenterprise.com/technology-innovation/from-intent-to-action/report
IBM Institute for Business Value, Estudio sobre directores generales de 2026 (2.000 directores generales de todo el mundo) https://newsroom.ibm.com/2026-05-04-ibm-study-ceos-are-reshaping-c-suite-roles-for-the-ai-era
El incidente de OpenAI y Hugging Face
La versión de OpenAI sobre el incidente https://openai.com/index/hugging-face-model-evaluation-security-incident/
TechCrunch — sobre la causa principal de la configuración errónea https://techcrunch.com/2026/07/22/how-an-openais-human-mistake-led-to-the-ai-powered-hack-on-hugging-face/
CNN Negocios — visión general https://www.cnn.com/2026/07/22/tech/openai-hugging-face-ai-cybersecurity
CNBC — detalles técnicos sobre los modelos y el método de escape https://www.cnbc.com/2026/07/22/open-ai-cyber-models-hack-hugging-face.html
