Red Hat, proveedor mundial de soluciones de código abierto empresarial, ha anunciado los resultados de un estudio que analiza la adopción de la inteligencia artificial (IA) empresarial y la gestión de riesgos entre 1.400 directores de tecnologías de la información (CIO) de 14 países, incluida España. La investigación señala que, si bien los agentes autónomos de IA ya están presentes en el 100 % de las organizaciones españolas incluidas en la muestra del estudio, persiste una brecha crítica entre la gobernanza percibida y la visibilidad operativa real.

La mayoría de los CIO españoles consultados (85 %¹) expresa una gran confianza en que sus agentes de IA funcionan de manera segura y conforme a la normativa, respaldados por mecanismos de control y supervisión. No obstante, los datos ponen de manifiesto que este optimismo puede encubrir una falta de visibilidad:

• El 30 % de los encuestados afirma conocer con precisión los flujos de datos dentro de su organización, así como los lugares donde estos se almacenan y procesan.
• Solo algo más de dos de cada diez (22 %) cuentan con una visión exhaustiva de su cadena de suministro de software y de sus dependencias directas e indirectas.
• Apenas un tercio (28 %) evalúa de forma continua los riesgos derivados de los proveedores de IA más allá de la fase inicial de adopción.

Estos resultados indican que, si bien los participantes consideran que sus entornos y agentes de IA disponen de controles adecuados de seguridad y soberanía, la realidad evidencia una falta de pruebas auditables en dichas operaciones. La naturaleza dinámica de la innovación en IA y las fuerzas del mercado hacen posible que un sistema presente altos niveles de seguridad y cumplimiento normativo en el momento de su despliegue, pero quede totalmente expuesto poco tiempo después.

Pequeñas brechas de visibilidad, grandes riesgos para los datos

Las empresas españolas están acelerando su curva de adopción de la IA: el 37 % de los encuestados asegura confiar plenamente en las barreras de seguridad probadas, la monitorización continua y los sistemas automatizados de intervención. Otro 48 % manifiesta una “confianza razonable” en tener bajo control la seguridad y el cumplimiento, aunque reconoce pequeñas lagunas en sus medidas de control y supervisión.

Sin embargo, en entornos de producción, el intercambio de datos sin supervisión entre plataformas empresariales, servicios en la nube y modelos externos de IA puede generar riesgos. El 47 % de las organizaciones españolas reporta pequeñas carencias en la visibilidad de los flujos de datos; el 22 % ya ha implementado funciones de IA sin comprender del todo estos flujos; y el 1 % tiene con una visión muy limitada de dónde se almacenan los datos.

En comparación, la visibilidad varía notablemente entre los diferentes países encuestados: mientras que el 61 % de los encuestados en Sudáfrica afirma tener una visibilidad end-to-end de los flujos de datos, las organizaciones francesas se quedan en un 31 %. Para las empresas españolas, que deben desenvolverse en marcos normativos estrictos como el Reglamento General de Protección de Datos (RGPD) y la Ley de IA de la Unión Europea, garantizar una trazabilidad de datos verificable a lo largo de todo su ciclo de vida sigue siendo esencial para evitar incumplimientos legales y fugas de información.

El gran riesgo de las dependencias indirectas de software

Hasta un 79 % de las empresas españolas consultadas señala ser capaz de parchear vulnerabilidades críticas de software en un plazo de 24 horas tras la publicación del parche corrector. El resto tarda unos pocos días, y ninguna indica demorarse más de una semana.

Sin embargo, la mayoría de las compañías desconoce con exactitud qué componentes de software están en uso. Solo el 22 % dispone de una visión completa y constantemente actualizada de todos los componentes de código abierto que utiliza, incluidos su origen, números de versión y dependencias directas e indirectas. La media entre el conjunto de países se sitúa justo por debajo del 33 %.

Si bien el 36 % de las empresas tiene un buen conocimiento de los componentes y versiones, admite limitaciones a la hora de identificar los orígenes y las dependencias indirectas. El 35 % conoce los principales componentes de código abierto que utiliza, pero no dispone de una visión completa de la cadena de suministro de software en sentido amplio. Ninguna de las empresas encuestadas deja de realizar un seguimiento sistemático de su cadena de suministro de software de código abierto.

Las dependencias indirectas son habituales en multitud de proyectos de software de código abierto, lo que implica que integran librerías, frameworks y otros elementos procedentes de proyectos de terceros. Estas dependencias pueden conllevar riesgos notables para el ecosistema tecnológico de una organización, en especial si no se evalúan con eficacia (78 %²).

Las evaluaciones de riesgos como una tarea continua y no puntual

En lo que respecta a la evaluación de los riesgos asociados a los proveedores de IA, solo el 28 % de las compañías españolas declara estar bien preparada y contar con criterios cuantificables y monitorizados de manera continua en sus operaciones diarias con IA. Esta cifra supera con creces la de los Países Bajos, por ejemplo (poco menos del 22 %), pero queda sensiblemente por detrás de la de Italia (51 %).

Aunque el 34 % de las empresas encuestadas en España lleva a cabo una evaluación de riesgos previa a la implementación de nuevas tecnologías de IA, tiene dificultades para supervisar y valorar dichos riesgos con posterioridad. Un 32 % confía únicamente en una evaluación inicial, lo que puede resultar insuficiente en un entorno de IA en rápida evolución donde los modelos, los datos, los requisitos normativos y las amenazas varían casi a diario.

Los encuestados son plenamente conscientes de este reto y de la necesidad de abordarlo mediante metodologías medibles y gestionadas internamente. Solo el 4 % de las organizaciones españolas depende de forma exclusiva de auditorías externas, certificaciones y garantías contractuales para sus análisis de riesgos. Y apenas un 2 % se basa en la reputación del proveedor y en experiencias pasadas, o carece de un enfoque estructurado para evaluar dichos riesgos.

Citas de apoyo

Julia Bernal, mediterranean region leader y country manager para España y Portugal, Red Hat

“Para gobernar la IA con eficacia, lo primero es tener visibilidad total. Las organizaciones deben rastrear los flujos de datos, los componentes de software y el ciclo de vida de los agentes antes de escalar. Al mismo tiempo que acelera la productividad, la IA multiplica los riesgos de vulnerabilidad. Para mitigarlos, es fundamental contar con una cadena de suministro de software segura y una gestión abierta de parches respaldada por la comunidad abierta“.

Chris McBrayne, vice president, global enterprise sales, Red Hat

“Aunque la autopercepción de las empresas presenta ligeras variaciones al comparar a escala internacional, la mayoría confía razonablemente en su capacidad para supervisar y controlar los agentes de IA con eficacia. No obstante, esta confianza en sus propias capacidades no siempre está justificada. Nuestra investigación pone de manifiesto una falta de transparencia exhaustiva y continua respecto a los flujos de datos, las dependencias de software y los riesgos relacionados con los proveedores. Sin embargo, las arquitecturas abiertas con gestión centralizada pueden ayudar a las empresas a conservar el control y mantener la flexibilidad al elegir modelos y proveedores“.