Esto que os voy a compartir se repite en tantas ocasiones que puedo aventurarme a decir que es el pan nuestro de cada día en la mayoría de empresas que se enfrentan a un proyecto en el que se incorpore la IA.
Todo empieza de la misma forma: desde cualquier departamento corporativo se presenta un proyecto de IA con el objetivo de optimizar procesos y eliminar una parte del trabajo repetitivo.
Esto suena muy bien a la dirección. Se inician conversaciones sobre plazos, proveedores o incluso a qué departamento se va a mostrar. Pero entonces, el proyecto pasa por compliance.
Pero veamos qué preguntas se hacen desde compliance: ¿Dónde se guardan los datos? ¿Quién responde si el modelo se equivoca? ¿se ajusta al Reglamento europeo de inteligencia artificial y al RGPD? ¿Qué ocurre si un empleado introduce información confidencial en la herramienta? Estas preguntas son lógicas y quien las hace cumple con su obligación.
Pero el problema viene después, porque muchas veces todo ese repaso no acaba en un plan de control (que sería lo suyo), sino en un aplazamiento. El proyecto finalmente se aparca "hasta tenerlo todo atado".
Suena prudente, pero en la práctica quiere decir que no se hará, porque lo de tenerlo todo atado nunca llega, y a los seis meses nadie recuerda muy bien quién tenía que mover ficha. Parálisis por análisis de toda la vida.
Pero, veamos algunos números y está claro que no son agradables. S&P Global preguntó en 2025 a más de mil directivos y responsables de tecnología de Norteamérica y Europa por sus proyectos de IA, en su encuesta Voice of the Enterprise. El porcentaje de compañías que abandonan la mayoría de sus iniciativas pasó en un año del 17% al 42%. La organización media descarta el 46% de sus pruebas de concepto antes de que lleguen a producción, o sea, prácticamente una de cada dos.
Hay algo más interesante que la cifra y es el porqué. Los obstáculos que más se citan en esa misma encuesta son: el coste, la privacidad de los datos y los riesgos de seguridad.
Fíjate en que la queja dominante no es "la IA no funciona", sino algo más parecido a "no sabemos cómo controlarla, así que mejor no menearla". Gartner ya lo había avisado en julio de 2024, cuando predijo que al menos un 30% de los proyectos de IA generativa se abandonaría tras la prueba de concepto antes de acabar 2025. Las causas suenan familiares: mala calidad del dato, controles de riesgo insuficientes, costes que se van de madre, valor de negocio cuestionable.
Dentro de ese porcentaje conviven dos realidades que conviene no confundir. La primera es sana: un piloto que se prueba, no aporta lo esperado y se descarta (de ahí hacer un piloto). La segunda (la que cuesta dinero): un proyecto con retorno claro que acaba en el cajón, no porque fallara, sino porque nadie llegó a tomar la decisión de impulsarlo. En la estadística, ambas figuran como "canceladas" y, lo peor, pesan igual en la cuenta de resultados. Pero la primera ahorra una inversión que no valía la pena, mientras que la segunda deja el beneficio sin recoger.
El razonamiento de quien frena es difícil de rebatir en una reunión. Si no hacemos nada, no nos equivocamos y dicho de este modo, parece prudencia. El fallo está en la premisa: no hacer nada también es una decisión y encima cuesta dinero. Además, ese coste no llega en forma de multa ni de incidente de seguridad ni de nada que obligue a convocar a nadie con urgencia. Llega despacio. Un competidor automatiza lo que aquí se sigue haciendo a mano, un proceso sigue costando el triple de lo que debería, un cliente se marcha con el que le contesta en horas en vez de en semanas. Para cuando alguien se da cuenta, han pasado dos o tres años.
Y hay algo más, algo incómodo, pero que cualquiera que haya vivido estos comités reconocerá: los incentivos. Si un proyecto de IA sale mal, el error tiene nombre y apellidos porque alguien lo aprobó. Si la empresa pierde tres años por no intentarlo, la culpa se reparte entre todos... fantástico reparto ¿no os parece?. El directivo que frena estas iniciativas casi nunca rinde cuentas por el valor que no se capturó mientras que el que impulsa, en cambio, se la juega a título personal. Con esas reglas de juego, frenar no será lo correcto, pero desde luego es lo seguro. Y las organizaciones hacen lo que sus incentivos premian.
Aquí llega el dato que de verdad debería quitarle el sueño a un director de riesgo, porque desmonta el supuesto de partida de quien veta. El supuesto es este: bloqueada la herramienta, bloqueado el riesgo. Pues no. Cuando la puerta oficial se cierra, la IA no desaparece de la empresa. Se queda dentro, escondida.
El empleado que ya ha comprobado que estas herramientas le ahorran una hora al día no renuncia a esa hora porque legal no haya dado el visto bueno. De hecho, las sigue usando desde su cuenta personal, en el móvil si hace falta, con los datos de la empresa y sin que nadie lo vea. A este fenómeno se le llama "shadow AI" y puede medirse. Una encuesta de Cybernews entre mil trabajadores de Estados Unidos encontró que el 59% usa herramientas de IA que su empresa no ha autorizado, mientras que apenas un tercio de las compañías cuenta con políticas formales de gobernanza de IA. Léalo otra vez, porque la foto es esa: la mayoría de la plantilla usándola, la minoría de las empresas gobernándola.
El resultado es un contrasentido bastante completo. Se vetó la herramienta para reducir el riesgo y el riesgo se ha multiplicado, porque ahora circula información sensible por aplicaciones que nadie eligió, nadie configuró y nadie vigila, sin registro de qué salió ni hacia dónde. IBM, en su informe Cost of a Data Breach de 2025, sitúa las brechas relacionadas con IA no controlada entre las más caras de gestionar, con sobrecostes que se miden en cientos de miles de euros respecto a las convencionales. El candado era tan grande que la gente saltó por la ventana y la ventana no tiene alarma.
No toméis esto como un alegato contra los controles. Los riesgos existen, la regulación es seria y las preguntas de compliance siguen siendo las correctas. El Reglamento europeo de IA está en vigor desde agosto de 2024, las obligaciones para los modelos de propósito general se aplican desde agosto de 2025 y el grueso de la norma es exigible desde agosto de 2026. Saltarse ese marco no es valentía, es temeridad, y de las caras.
La distinción útil es otra. Controlar es decidir qué datos entran en la herramienta y cuáles no salen de casa. Pedir al proveedor garantías de tratamiento y de trazabilidad por contrato, formar a la gente, empezar por un caso pequeño y medirlo antes de escalar.
Paralizar es exigir certeza absoluta antes de dar el primer paso. Esa vara de medir no la pasa ninguna decisión de empresa, ni las de ahora ni las de antes de que existiera ChatGPT. A nadie se le pidió nunca la garantía de que una expansión internacional no pudiera salir mal; se le pidió un plan para que, si salía mal, no se llevara la compañía por delante. Con la IA es igual.
Por eso la pregunta correcta de comité no es "¿podemos garantizar que nada fallará?", que solo tiene una respuesta honesta y es que no. La correcta es cómo montarlo para que un fallo sea pequeño, se detecte pronto y se pueda revertir. Parece un matiz y no lo es: la primera pregunta persigue un riesgo cero que no existe, la segunda un riesgo gestionado. Que es, para entendernos, en lo que consiste dirigir.
La salida tiene poco de filosofía y bastante de oficio.
Es necesario que haya un dueño. Un proyecto de IA sin un responsable con capacidad de decidir es una reunión recurrente con presupuesto asignado. Compliance opina, y debe opinar alto, pero opinar y decidir son verbos distintos y conviene no mezclarlos.
También es imprescindible acotar. Pasemos del "Vamos a transformar la empresa con IA" asusta a cualquier comité, y con razón. "Vamos a probar durante ocho semanas un asistente que clasifique las facturas de proveedores". Si además le unimos a este argumento datos, coste y criterio de éxito, tendremos muchas más opciones de que la iniciativa sea aprobada. El piloto pequeño convierte el debate abstracto sobre riesgos en una conversación concreta sobre resultados (un terreno mucho más sano para todos).
Finalmente, exigir al proveedor, en lugar de prohibir la categoría entera. No es lo mismo un chatbot gratuito, donde nadie sabe qué pasa con lo que se escribe, que una plataforma empresarial con compromisos de tratamiento de datos, trazabilidad y auditoría. Meterlo todo en el mismo saco del "no" es justo lo que manda a la plantilla a la sombra.
En el sector de la información comercial y el riesgo de crédito (donde el dato sensible es la materia prima del negocio y la exigencia regulatoria de las más altas que existen), esto ya se ha hecho.
Iberinform ha incorporado inteligencia artificial generativa a su plataforma Insight View para ayudar a interpretar informes comerciales y financieros. Este es un caso claro de cómo gobernar la herramienta en lugar de vetarla.
No nos dejemos una última idea, algo incómoda. Buscar el equilibrio entre control y avance no es tibieza ni postureo, es la parte difícil del puesto. De hecho acelerar sin frenos puede acabar en accidente (esto lo entiende todo el mundo a la primera). Pero frenar sin motivo puede llevarnos al arcén, viendo pasar a los demás que si han tomado decisiones.
Y tengámoslo claro, la IA va a seguir entrando en las empresas con permiso o sin él. Los datos de Shadow AI lo corroboran, lo único que queda por decidir es si esta entra por la puerta, con reglas, contrato, formación y métricas, o por la ventana, sin control. Quien crea que está eligiendo entre riesgo y seguridad se equivoca de dilema; está eligiendo entre un riesgo que puede gobernar y otro que ni siquiera puede ver.
Esa es la pregunta que os lanzo esta semana. ¿Tomaréis decisiones controladas o quedaréis paralizados por el análisis por no haber decidido?
