Para SISAP, el objetivo no es limitar la adopción de estas tecnologías, sino promover decisiones informadas sobre los riesgos que implican.
La inteligencia artificial (IA) está transformando la manera en la que las organizaciones trabajan, automatizan procesos y desarrollan nuevos servicios. Sin embargo, mientras su adopción avanza, la implementación de controles para gestionar los riesgos asociados no sigue el mismo ritmo. Esta brecha plantea un desafío para las organizaciones que buscan aprovechar sus beneficios sin comprometer la seguridad de la información ni la continuidad de sus operaciones.De acuerdo con el informe AI Readiness in Latin America 2026, de RSM, basado en una encuesta a más de 400 líderes empresariales de la región, alrededor del 40% de las organizaciones ya implementa IA y, deestasel 68% planea ampliar su uso durante los próximos 12 meses. No obstante, solo el 18 % cuenta con marcos formales de gobernanza y apenas el 17% dispone de políticas de uso para sus colaboradores.
Esta diferencia entre adopción y control también se refleja en las organizaciones de Centroamérica, Panamá, República Dominicana y Colombia. A partir de estas conversaciones con empresas de los sectores bancarios, gubernamental y otras industrias en al menos 10 países, la unidad de AI Security de SISAP identificó un desafío común: las buenas prácticas de ciberseguridad siguen siendo fundamentales, pero la velocidad con la que se incorpora la IA exige fortalecer la supervisión y la capacidad de respuesta de las organizaciones
El riesgo va más allá de compartir información confidencial
Uno de los principales desafíos es la falta de visibilidad sobre las herramientas de inteligencia artificial que utilizan los colaboradores. El acceso a modelos puede realizarse mediante cuentas personales, extensiones de navegador, funciones integradas en aplicaciones corporativas o dispositivos móviles, incluso sin que la organización lo identifique.
El Data Breach Investigations Report (DBIR) 2026 de Verizon, informe en el que SISAP participa como contribuidor se señala que el 67% de los usuarios accede a servicios de IA desde dispositivos corporativos con cuentas no corporativas. Además, el 45% de los empleados utiliza estas herramientas regularmente, frente al 15% del año anterior.
Los riesgos también alcanzan el desarrollo de software y la automatización de procesos. José Amado, AI Security Manager de SISAP, señaló:
Los asistentes de programación pueden acelerar la entrega de servicios digitales, pero el código que generan no es seguro por defecto y requiere revisión. Por su parte, los agentes de IA, capaces de consultar bases de datos, enviar correos o modificar configuraciones, pueden comprometer operaciones si cuentan con permisos excesivos y carecen de mecanismos adecuados de supervisión”.
La Encuesta de Desarrolladores 2026 de Stack Overflow aporta otro dato relevante: el 66% utiliza asistentes o agentes de código, pero solo el 24% indica que su empleador ha establecido herramientas aprobadas o lineamientos formales. Asimismo, el Observatorio de Agentic AI 2026, de CIONET y NTT DATA, reporta que el 80,8% de las empresas evaluadas carece de mecanismos formales para controlar las decisiones de sus agentes de inteligencia artificial.
Ante este panorama, las organizaciones necesitan establecer controles que permitan validar el código generado, limitar los permisos de los agentes y supervisar sus acciones, incluidos mecanismos para detenerlas cuando sea necesario.
Ejes para gobernar la IA
La experiencia de SISAP en la región evidencia que la gobernanza de la inteligencia artificial no depende de una herramienta o iniciativa aislada, sino de una estrategia que involucre distintas áreas de la organización. Entre las principales medidas se encuentran:
- Definir responsables y niveles de decisión: establecer quiénes participan en la aprobación del uso de IA, mediante un comité que integre áreas de negocio, tecnología, riesgo y seguridad. También es necesario determinar qué riesgos está dispuesta a asumir la organización frente a los beneficios esperados.
- Identificar las herramientas utilizadas: conocer qué plataformas emplean los colaboradores, desde cuáles cuentas y dispositivos acceden, e identificar extensiones de navegador y funciones de IA incorporadas en aplicaciones corporativas.
- Priorizar las cuentas corporativas: sustituir el uso de cuentas personales por licencias empresariales que permitan administrar usuarios, aplicar mecanismos de autenticación segura y asignar permisos según las funciones de cada colaborador.
- Proteger la información: definir qué datos pueden procesarse en cada plataforma y restringir el ingreso de credenciales, datos personales, información financiera y documentos internos en servicios que no estén autorizados para ese propósito.
- Supervisar el desarrollo de software: establecer cuáles asistentes de programación están aprobados y someter el código generado a revisiones y pruebas de seguridad antes de incorporarlo a los sistemas de producción.
- Controlar los agentes de IA: limitar sus permisos a las tareas que deben ejecutar, mantener registros de sus acciones y establecer mecanismos para interrumpirlas cuando sea necesario.
- Capacitar y dar seguimiento: preparar a los colaboradores para reconocer los riesgos y aplicar buenas prácticas, además de revisar periódicamente el uso de estas herramientas para detectar aplicaciones no autorizadas o incumplimientos de las políticas internas.
La inteligencia artificial continuará ampliando las capacidades de las organizaciones, desde la automatización de tareas hasta el desarrollo de servicios digitales. Sin embargo, sus beneficios deben evaluarse junto con las posibles consecuencias de un uso sin controles.
Para SISAP, el objetivo no es limitar la adopción de estas tecnologías, sino promover decisiones informadas sobre los riesgos que implican. Una estrategia de gobernanza permite que la innovación responda a las necesidades del negocio y que sus beneficios se desarrollen con una visión clara de la seguridad y la continuidad operativa.
