Un nuevo actor dentro de las organizaciones

Durante décadas, los modelos de gestión de riesgos fueron diseñados para gobernar cuatro elementos fundamentales: personas, procesos, sistemas y terceros. Sobre ellos se construyeron las metodologías de riesgo operacional, el control interno, el gobierno corporativo y las auditorías que hoy constituyen las mejores prácticas internacionales.

Ese modelo ha sido eficaz durante décadas, pero el contexto está cambiando con rapidez. Hoy está apareciendo un nuevo actor organizacional que no existía cuando esos modelos fueron concebidos: los agentes de inteligencia artificial.

Hoy estamos presenciando una transformación en la que la inteligencia artificial ya no se limita a asistir a las personas en tareas puntuales: está evolucionando hacia soluciones capaces de ejecutar procesos completos, interactuar con múltiples sistemas y participar en decisiones con distintos niveles de autonomía. No es solo una nueva tecnología; es un nuevo tipo de actor dentro de la organización.

A diferencia de un asistente de IA —que responde consultas y apoya el trabajo humano, pero deja la decisión final al usuario— un agente de IA puede recibir un objetivo, planificar cómo alcanzarlo, consultar distintas fuentes, interactuar con aplicaciones empresariales y ejecutar acciones dentro de límites previamente establecidos. No solo produce información: ejecuta trabajo. Gartner prevé una rápida expansión de la IA agéntica durante los próximos años, estimando que para 2028 al menos el 15% de las decisiones cotidianas de negocio se ejecutarán de forma autónoma mediante agentes de IA, y que un tercio de las aplicaciones empresariales incorporará este tipo de soluciones. Estas tendencias reflejan un cambio significativo en la forma en que las organizaciones automatizarán procesos y ejecutarán decisiones rutinarias.

Los agentes de IA ya no pueden entenderse como simples aplicaciones tecnológicas. Procesan información, interactúan con sistemas, ejecutan tareas y, en determinados escenarios, participan en decisiones delimitadas por la organización. Se comportan como un quinto elemento que los modelos tradicionales de gestión de riesgos no contemplaban, y que obliga a revisar cómo se asignan responsabilidades, cómo se establecen límites de autonomía y cómo se supervisan las decisiones automatizadas.

Los modelos tradicionales de gestión de riesgos fueron diseñados para supervisar decisiones humanas. Los próximos años exigirán que también sean capaces de gobernar decisiones ejecutadas por entidades inteligentes.

La inteligencia artificial no está creando un nuevo tipo de riesgo. Está incorporando un quinto actor que transforma la manera en que todos los riesgos deben ser gobernados. El reto de los Directorios ya no es cuestionar si la organización usará agentes de IA —en muchos casos ya lo hace—, sino si el modelo de gestión de riesgos está evolucionando con la misma rapidez.

Cuando cambia quién ejecuta las decisiones, cambian también los riesgos

Los agentes de IA no crean una categoría nueva de riesgos: las organizaciones ya gestionan riesgos operacionales, tecnológicos, de terceros, de cumplimiento, reputacionales y estratégicos. Lo que cambia es la forma en que estos riesgos se materializan, porque ahora una decisión puede ser ejecutada por una entidad que analiza grandes volúmenes de información y actúa con un nivel de autonomía previamente autorizado, lo que vuelve la trazabilidad y la supervisión considerablemente más complejas.

Cómo cambian los principales riesgos no financieros

La incorporación de agentes de IA modifica la forma en que se manifiestan prácticamente todos los riesgos no financieros relevantes para una organización.

Desde la perspectiva operacional, los agentes pueden intervenir en procesos críticos —evaluación de solicitudes, validación documental, atención a clientes, reportes regulatorios— y muchos controles asumen que siempre existirá una revisión humana previa. Cuando ese supuesto deja de cumplirse, los controles deben evolucionar también.

En materia de terceros, la organización pasa a depender también de la calidad del modelo de IA, de los datos con que fue entrenado y de la seguridad de la plataforma que lo soporta. La debida diligencia de proveedores debe incorporar criterios propios de gobierno y confiabilidad de modelos de IA, no solo aspectos financieros o contractuales.

En seguridad de la información, a mayor autonomía, mayores privilegios de acceso, lo que amplía la superficie de exposición y habilita escenarios antes poco frecuentes, como la manipulación de instrucciones (prompt injection) o el acceso indebido a información sensible. La gestión de identidades, privilegios y monitoreo continuo deja de ser una buena práctica para volverse un requisito esencial.

En cumplimiento normativo, cuando un agente participa en decisiones con efectos regulatorios —evaluación de clientes, prevención de lavado de activos, reportes— la organización debe poder demostrar quién autorizó su nivel de autonomía y qué criterios utilizó para decidir. La responsabilidad frente a reguladores sigue siendo de la organización, actúe una persona o un agente.

En reputación, un agente puede replicar una decisión incorrecta en cientos o miles de operaciones antes de que la organización detecte el incidente, a diferencia del alcance normalmente limitado de un error humano.

Desde el aspecto estratégico, muchas organizaciones adoptan IA por presión competitiva o expectativa de productividad. Sin un modelo de gobierno sólido, el resultado puede ser el contrario al buscado: más incidentes, sanciones y pérdida de confianza, comprometiendo los objetivos estratégicos que se querían fortalecer.

La inteligencia artificial no cambia la naturaleza de los riesgos no financieros; cambia la velocidad con la que se materializan, la complejidad de sus interacciones y los mecanismos necesarios para gobernarlos.

Cuando el problema no fue el agente, sino su gobierno

Una entidad financiera implementa un agente de IA para agilizar la incorporación de proveedores: verifica requisitos, consulta registros públicos, revisa listas restrictivas y recomienda aprobar o rechazar. Los resultados iniciales son positivos y los tiempos de evaluación mejoran de forma notoria.

Semanas después, un proveedor con estructura societaria compleja y documentación en distintas jurisdicciones es evaluado por el agente, que interpreta mal parte de la información y concluye que todos los requisitos están cumplidos. Como consecuencia de esa decisión:

  • el proveedor es incorporado al registro corporativo;
  • se emiten órdenes de compra y se realizan pagos;
  • posteriormente se identifica que existían antecedentes que exigían una revisión especializada antes de autorizar la contratación.

Cuando Auditoría Interna investiga, las preguntas dejan de ser tecnológicas: ¿quién autorizó el nivel de autonomía del agente?, ¿existía una revisión humana obligatoria para proveedores de alto riesgo?, ¿quién debía supervisar su comportamiento?, ¿Riesgos había evaluado antes este escenario? Un único evento termina materializando, a la vez, riesgo operacional, de terceros, de cumplimiento, tecnológico y reputacional.

El verdadero problema no fue que el agente se equivocara. Fue que la organización nunca definió quién gobernaba sus decisiones, cuáles eran sus límites de autonomía ni qué controles debían activarse antes de permitirle actuar.

Gobernar los agentes de IA: el nuevo desafío para los Directorios

Con frecuencia, la IA sigue tratándose como una iniciativa liderada exclusivamente por tecnología o innovación. Pero cuando un agente interviene en decisiones que afectan clientes, proveedores o información sensible, deja de ser un asunto tecnológico para convertirse en un asunto de gobierno corporativo.

El Directorio no debería preguntar solo qué herramientas de IA usa la organización, sino: ¿en qué procesos participan actualmente los agentes?, ¿qué nivel de autonomía tienen y quién lo autorizó?, ¿qué decisiones siguen requiriendo intervención humana?, ¿qué indicadores permiten detectar desviaciones antes de que generen un incidente?, ¿quién asume la responsabilidad cuando una decisión automatizada produce un resultado no esperado?

Algunas señales indican que el modelo de riesgos no está evolucionando al mismo ritmo que la tecnología:

  • Distintas áreas incorporan agentes de IA de forma independiente, sin conocimiento de la función de Riesgos.
  • No existe un inventario corporativo de agentes: la organización no sabe cuántos operan ni qué procesos apoyan.
  • No hay criterios definidos sobre qué decisiones pueden automatizarse y cuáles requieren supervisión humana.
  • La IA está ausente del universo de auditoría y de la matriz corporativa de riesgos.

El mayor riesgo asociado a los agentes de IA no es su capacidad para decidir, sino que la organización delegue decisiones sin haber definido antes quién las gobierna, cómo se supervisan y cuáles son sus límites de autonomía.

La respuesta no es crear un sistema paralelo para la IA ni trasladar toda la responsabilidad a Tecnología, los agentes deben incorporarse al modelo de gobierno y riesgos que la organización ya tiene, en línea con lo que proponen la ISO 31000, la ISO/IEC 42001, el NIST AI Risk Management Framework y el EU AI Act. Todos coinciden en un mismo mensaje: la IA debe gobernarse como parte del modelo corporativo de riesgos, no como un proyecto tecnológico aislado.

En términos prácticos, gobernar agentes de IA exige siete capacidades:

  • Conocer dónde operan, mediante un inventario corporativo de agentes de IA.
  • Clasificarlos según su criticidad.
  • Definir límites claros de autonomía.
  • Incorporar sus riesgos a la metodología corporativa de riesgos.
  • Fortalecer la evaluación de terceros que soportan a los agentes.
  • Asegurar la trazabilidad de las decisiones.
  • Reportar periódicamente estos riesgos al Directorio.

Más que controlar la inteligencia artificial, se trata de gobernarla

Cada revolución tecnológica ha obligado a revisar algunos de los supuestos sobre los cuales fueron construidos los modelos tradicionales de gestión. La nube cambió la forma de gestionar proveedores tecnológicos, la transformación digital redefinió el riesgo operacional, la resiliencia operacional integró riesgos que se gestionaban por separado. Los agentes de IA representan el siguiente paso de esa evolución.

Lo verdaderamente incierto no es la velocidad con la que evolucionarán los agentes de IA. La incertidumbre está en si los modelos de gestión de riesgos evolucionarán con la misma rapidez. Las organizaciones que logren cerrar esa brecha no solo estarán mejor preparadas para reducir incidentes operacionales, regulatorios o reputacionales. También serán las que aprovechen el potencial de la inteligencia artificial con mayor confianza, resiliencia y capacidad para generar valor sostenible.

En GR&P Consultores ayudamos a integrar el gobierno corporativo, la gestión integral de riesgos no financieros, la continuidad del negocio, la ciberseguridad y la gestión de terceros en un modelo capaz de responder a los desafíos que plantea la inteligencia artificial. Porque incorporar agentes de IA no consiste solo en adoptar una nueva tecnología: consiste, sobre todo, en desarrollar la capacidad de gobernarla de forma responsable.