La incorporación de la inteligencia artificial (IA) en las organizaciones europeas está creciendo de forma notable. De media, alrededor del 30% de las aplicaciones que utilizan las empresas en Europa incorporan funcionalidades basadas en IA. Este dato refleja la penetración prácticamente universal de la IA en las soluciones tecnológicas actuales, pero también pone de relieve una alarmante falta de gobernanza adecuada en su despliegue, según los datos recogidos en el informe «The State of Operational AI in Europe 2026» elaborado por Datadog a partir de una encuesta a 756 responsables de TI en empresas con más de 1.000 empleados en Reino Unido, Francia y Alemania.
La necesidad de una gobernanza sólida en la IA va más allá de simples controles técnicos. La presión por adoptar estas tecnologías lleva a que los equipos de operaciones informáticas y cumplimiento normativo no dispongan del tiempo ni los recursos necesarios para definir, probar e implementar esquemas de gobernanza apropiados. Mientras tanto, la alta dirección y los inversores, que deberían establecer el apetito de riesgo, impulsan la aceleración en el despliegue, generando un entorno de riesgo que debe ser manejado con cautela.
Pejman Tabassomi, Director Técnico de Campo (Field CTO) en Datadog, advierte: «A medida que la IA evoluciona de asistente a operador autónomo, los retos operativos cambian radicalmente. No basta con saber que un sistema IA está funcionando, es fundamental entender a qué tiene acceso, qué acciones puede realizar y cuándo su comportamiento se desvía del esperado». 
«La clave no está en frenar la IA, sino en construir la visibilidad, seguridad y barreras que permitan a las organizaciones otorgarle más responsabilidad sin perder el control. El éxito no lo tendrán quienes desplieguen más IA, sino quienes sepan escalarla de forma segura, comprender su impacto y mantener el control conforme aumenta la autonomía».
Un marco regulatorio complejo y diverso
La gobernanza de la IA, entendida como el conjunto de reglas, regulaciones, marcos éticos y técnicos que orientan su desarrollo y uso, está lejos de ser homogénea en Europa. Aunque los países analizados están bajo legislaciones europeas como el Reglamento General de Protección de Datos (RGPD), la ley europea de IA, DORA o NIS2, la realidad muestra una disparidad significativa en la implementación y control.
En Alemania, agencias como el Bundesamt für Sicherheit in der Informationstechnik (BSI) proporcionan marcos técnicos y controles sectoriales específicos para infraestructuras críticas, mientras que Francia confía en organismos como la CNIL para supervisar el cumplimiento y enfocar la seguridad, especialmente en ámbitos como la salud. Reino Unido adopta un enfoque más flexible y sectorial, combinando asesoría y regulación a través de entidades como la ICO, FCA o el Centro Nacional de Seguridad Cibernética (NCSC).
Esta fragmentación dificulta una gobernanza uniforme y efectiva que pueda hacer frente a los riesgos emergentes derivados de la adopción acelerada de la IA.
Visibilidad y control, las asignaturas pendientes
El informe revela que solo un 25% de las organizaciones tiene una visibilidad completa sobre dónde y cómo operan sus sistemas de IA. Un 7% admite no tener ninguna visibilidad, lo que aumenta considerablemente los riesgos operativos y de seguridad. Cuestiones como el acceso de la IA a datos sensibles, permisos que poseen los agentes inteligentes o la identificación de comportamientos anómalos siguen siendo retos pendientes.
Además, solo un 7% asegura poder generar trazas de auditoría regulares que permitan rastrear qué se ha accedido y cómo se ha gestionado la información, mientras que apenas el 20% puede explicar cómo se ha obtenido un resultado generado por IA, algo que la legislación europea exige por motivos de transparencia y responsabilidad.
Soberanía digital y privacidad, preocupaciones clave
La soberanía sobre los datos y la IA es una cuestión compleja que trasciende la mera localización física de los datos o su procesamiento. Leyes extraterritoriales, como el Cloud Act estadounidense, influyen en las decisiones empresariales sobre qué soluciones de IA implementar. El 47% de las empresas francesas y el 45% de las alemanas consideran esta dimensión una prioridad, mientras que en Reino Unido solo el 21% la sitúa como tal, aunque un 65% la considera un factor significativo.
Los líderes de seguridad en Europa están conscientes del equilibrio que debe encontrarse entre implementar IA con rapidez y la necesidad de garantizar la privacidad y protección de datos, pero las exigencias de despliegue acelerado dificultan mantener estos estándares con el mismo rigor que hace apenas dos años.
Uso operativo de la IA: ¿Dónde está y cómo se utiliza?
El uso de IA en entornos operativos está muy extendido. Alemania lidera en aplicaciones como operaciones de TI con IA (52%), pruebas de software asistidas (35%), respuesta ante incidentes (30%) y asistencia al cliente (25%). Francia es pionera en asistentes de programación (32%) y operaciones de seguridad (28%), mientras que Reino Unido, aunque algo rezagado, destaca en asistentes internos de conocimiento (34%).
No obstante, pese a los esfuerzos comerciales para impulsar asistentes en atención al cliente, su adopción es aún baja en comparación con otras áreas, mostrando que todavía hay espacio para explotar plenamente estos casos de uso.
La dependencia hacia estos sistemas también es palpable: aproximadamente un 40% de las organizaciones indican que apagar sus sistemas de IA supondría una interrupción significativa, cifra que asciende al 57% en empresas con una facturación superior a 500 millones de libras.
Fallas en IA ya afectan a las empresas
El fracaso de sistemas impulsados por IA es un problema tangible y extendido. En los últimos doce meses, un 97% de las organizaciones reportaron algún incidente de fallo relacionado con IA. Los problemas van desde impactos en sistemas orientados al cliente (35%) a incidentes de seguridad (33%), pérdidas de ingresos o oportunidades comerciales (21%), y, muy preocupante, daños a la reputación (30%) o incumplimientos normativos (28%) que podrían derivar en sanciones económicas severas.
Un incidente emblemático ocurrió en PocketOS, donde un agente de IA eliminó toda la base de datos de producción y backups en solo nueve segundos, evidenciando la carencia de controles adecuados, instrucciones precisas y gobernanza necesaria.
IA y ciberseguridad: un desafío doble
La IA representa oportunidades para mejorar la seguridad cibernética, pero también amplifica las amenazas. Los atacantes emplean IA para acelerar y perfeccionar sus ataques, mientras que las organizaciones la utilizan para protegerse. Sin embargo, el mayor riesgo viene desde dentro: la IA se ha convertido en la principal amenaza interna debido al amplio acceso que posee a sistemas, datos y herramientas, superando incluso al riesgo que suponen los usuarios.
Wendi Whitmore, responsable de Inteligencia de Seguridad en Palo Alto Networks, señala que el despliegue presionado y acelerado de nuevas tecnologías de IA excluye el tiempo necesario para realizar evaluaciones de seguridad exhaustivas, imponiendo una carga enorme a los equipos de seguridad.
La visibilidad limitada se refleja en que solo un 24% tiene control completo sobre comportamientos inesperados de agentes de IA, un 27% sobre permisos y un 25% sobre los sistemas que estos pueden operar, poniendo en evidencia la necesidad urgente de reforzar los mecanismos de supervisión y control.
El valor económico de la IA aún por demostrar
El informe también aborda la dificultad para demostrar un retorno de inversión claro en proyectos de IA. Pese a las expectativas de ahorro y mejora, muchas organizaciones no logran cuantificar adecuadamente los costes relacionados ni los beneficios tangibles más allá de reducciones en plantillas, lo que puede llevar a la pérdida de conocimiento institucional.
Un ejemplo positivo es IKEA, que implementó «Billie», un chatbot con IA que gestiona el 47% de las consultas de clientes, generando un ahorro de 13 millones de euros en costes laborales y transformando la función de 8.500 empleados en consultores de diseño de interiores, con ingresos adicionales de 1.300 millones de euros en el primer año.
Sin embargo, la mayoría de las empresas luchan para demostrar impactos económicos directos, y el 20% de los encuestados reconoce que medir el valor de la IA es uno de sus principales retos.
Reflexión final: gobernanza imprescindible para evitar riesgos
En conclusión, la incorporación acelerada de la inteligencia artificial en las empresas europeas presenta claros beneficios, pero también riesgos significativos derivados de la insuficiente gobernanza, visibilidad y control. No es posible revertir la adopción de IA, por lo que la prioridad debe ser establecer marcos sólidos de gestión de riesgos, con un compromiso claro desde los niveles más altos de liderazgo y una coordinación adecuada entre reguladores, áreas legales y TI.
Los responsables de la toma de decisiones tecnológicas, especialmente CIOs y CISOs, necesitan contar con estudios detallados que les ayuden a afrontar estos desafíos mediante soluciones prácticas basadas en datos y experiencias reales, para poder sacar el máximo partido a la IA con una gestión segura y responsable.
