Análisis de encuesta de EY: 98% de políticas, 47% las omiten, 26% no consideran agentes

Una política de gobernanza de IA es muy buena para quedarse sentada en una carpeta. Es menos útil cuando un despliegue urgente pasa por encima de ella, lo cual aparentemente no es un deporte raro. Techstrong.ai informó que la primera Encuesta de Riesgo y Gobernanza de IA en EE. UU. de EY encontró que el 98% de los encuestados dijo que sus organizaciones tienen políticas formales de gobernanza de IA, mientras que el 47% dijo que la gobernanza se había omitido durante despliegues urgentes de IA. Entre las organizaciones que usan IA agéntica, Techstrong.ai informó que el 26% no podía detectar agentes de IA no autorizados operando internamente, que es la parte en la que la carpeta empieza a verse ornamental.

La política existe. La puerta no

Techstrong.ai informó que EY encuestó a 202 altos responsables de decisiones de IA en empresas estadounidenses que cotizan en bolsa con al menos 1.000 millones de dólares en ingresos anuales. Esa muestra importa porque no se trata de proyectos de aficionados ejecutados en una laptop sobrante debajo de un escritorio, por encantadora que fuera esa defensa de cumplimiento.

BigDATAwire, al difundir el anuncio de EY, dijo que la encuesta examinó cómo los líderes gobiernan la IA, incluida la rapidez con la que los marcos de gobernanza se están adaptando a la IA agéntica y el alcance y el impacto del riesgo relacionado con la IA. El propio comunicado de EY planteó el problema con claridad: la implementación de IA autónoma está superando a la supervisión.

La lectura práctica es sencilla. Una política que se puede saltar durante una urgencia no es un control, es una sugerencia con membrete. Para quienes crean sistemas, la pregunta útil no es si la organización tiene un documento de gobernanza de IA, sino si los flujos de trabajo de lanzamiento hacen difícil publicar sin un responsable, un caso de uso aprobado, una revisión de riesgos y un plan de registro. Si la respuesta depende de que alguien recuerde enviar un correo a legal, la respuesta es no.

La IA agéntica convierte el uso en la sombra en un problema operativo

Techstrong.ai informó que, entre las organizaciones que usan IA agéntica, el 49% no había actualizado los marcos de gobernanza para sistemas agénticos y el 26% no podía detectar agentes de IA no autorizados operando internamente. Esa combinación es el verdadero dolor de cabeza de cumplimiento.

Los sistemas agénticos no son simplemente ventanas de chat con mejor marca; pueden estar conectados a herramientas, flujos de trabajo, almacenes de datos y permisos internos. Si el inventario está incompleto, la organización no puede decir de forma fiable qué está actuando, bajo la autoridad de quién o contra qué datos.

La obligación clara, incluso antes de que un regulador haga preguntas incómodas, es la visibilidad. Los equipos necesitan un registro de agentes que capture responsable, propósito, herramientas conectadas, categorías de datos, alcance de permisos, modelo o proveedor y estado de producción. También necesitan registros que muestren las acciones realizadas por el agente, no solo las instrucciones escritas por el usuario.

Los agentes internos no autorizados son difíciles de gobernar por la misma razón por la que los proveedores no rastreados son difíciles de auditar: nadie puede revisar un sistema que no puede encontrar.

La gobernanza tiene que pasar al camino de despliegue

Techstrong.ai informó que EY recomienda una responsabilidad más clara, controles integrados en los flujos de trabajo de despliegue, mayor visibilidad de los sistemas de IA y verificación recurrente de que los agentes se comporten según lo previsto. Traducido fuera del dialecto de consultoría, eso significa que la gobernanza tiene que convertirse en parte del envío a producción.

El registro de aprobación debe vivir donde ocurren las decisiones de despliegue, no en una presentación de diapositivas presentada después del lanzamiento. Un agente en producción no debería avanzar a menos que ya tenga asignados un responsable nombrado, un uso permitido, una ruta de escalamiento y un requisito de monitoreo.

Aquí es donde la política se convierte en trabajo de ingeniería. Compras debería bloquear servicios de IA no aprobados, las plataformas internas deberían exigir registro antes de acceder a sistemas sensibles, y las canalizaciones de despliegue deberían conservar evidencia de que las revisiones realmente ocurrieron.

La verificación recurrente no es una reunión trimestral ceremonial. Significa probar si los agentes siguen manteniéndose dentro de su tarea asignada, si los permisos se han desviado y si los registros siguen siendo útiles cuando algo sale mal.

La próxima auditoría pedirá evidencia, no intención

BigDATAwire describió la encuesta como una muestra de que los procesos y controles no siguen el ritmo pese a los riesgos reputacionales, de ciberseguridad y de IA en la sombra. Esa es la parte que vale la pena tomar en serio sin convertirla en teatro.

La gobernanza escrita sigue siendo útil, pero solo como mapa para pasos exigibles: inventario, puertas de aprobación, telemetría, escalamiento y revisiones periódicas. La ley rara vez recompensa a una empresa por haber tenido buenas intenciones en un PDF.

Para los lectores que crean o compran IA autónoma, el siguiente movimiento es modesto y concreto. Elijan un flujo de trabajo agéntico y síganlo desde la solicitud hasta el despliegue y el monitoreo, luego identifiquen cada punto en el que la gobernanza depende de la memoria en lugar de una puerta del sistema. Observen después si los proveedores empiezan a ofrecer inventarios de agentes y pistas de auditoría utilizables, porque eso importará más que otra plantilla de política con una portada de buen gusto.