La gobernanza de IA agentica va por detrás de la adopción en el Reino Unido: Lo que significa el Informe de Referencia de Conectividad Salesforce 2026 para el cumplimiento empresarial

Puedes implementar una docena de agentes de IA en toda tu empresa. Puedes proyectar un crecimiento del 67% en dos años. Puedes llamarlo una iniciativa de transformación digital y ponerlo en el informe anual.

Pero si la mitad de esos agentes funcionan en silos departamentales y no puedes decirle a un regulador cuáles accedieron a datos personales el martes pasado, no tienes una estrategia de IA. Tienes un incidente de cumplimiento esperando a activarse.

Esa es la incómoda realidad detrás del Informe de Referencia de Conectividad 2026 de Salesforce, elaborado por MuleSoft (propiedad de Salesforce) en colaboración con Vanson Bourne y Deloitte Digital. El estudio encuestó a 1.050 profesionales de TI en nueve países entre octubre y noviembre de 2025, incluyendo 100 del Reino Unido. Los resultados no solo señalan una brecha de gobernanza. Cuantifican una crisis que se está gestando en la intersección entre la rápida adopción de IA, una infraestructura de datos fragmentada y un entorno regulatorio que ya no acepta «confía en nosotros» como postura de cumplimiento.

Esto es lo que muestran los números—y por qué deberían cambiar la forma en que cada CISO, responsable de cumplimiento y líder de transformación digital piensa sobre la estrategia de implementación de IA en su organización.

Cinco conclusiones clave

1. La adopción ha superado a la gobernanza. Ni siquiera están cerca. El Informe de Referencia de Conectividad 2026 de Salesforce encontró que el 89% de las organizaciones del Reino Unido e Irlanda implementan agentes de IA, pero solo el 54% cuenta con un marco de gobernanza centralizado con supervisión formal. Casi la mitad de las empresas que ejecutan agentes de IA no pueden decirle a un regulador cuáles accedieron a datos personales, cuándo o bajo qué controles. Eso no es una brecha. Es una puerta abierta.

2. La mitad de los agentes de IA operan a ciegas. El 50% de los agentes implementados están compartimentados en silos departamentales—no integrados, no gobernados, no visibles a nivel empresarial. Son agentes que acceden a datos sensibles sin supervisión centralizada. Si no sabes a qué acceden tus agentes, no puedes protegerlo. Y mucho menos demostrar que lo protegiste cuando lo pida un auditor.

3. El número de agentes está a punto de explotar. La gobernanza no sigue el ritmo. Actualmente, las organizaciones ejecutan un promedio de 12 agentes de IA. Se proyecta que ese número crecerá un 67% en dos años. Mientras tanto, el 75% de los encuestados teme que los agentes generen más complejidad que valor de negocio. Y tienen razón. Sin gobernanza, más agentes significa más riesgo—que se multiplica, no crece de forma lineal.

4. Shadow AI es Shadow IT con dientes regulatorios. Los empleados están subiendo contratos, registros de clientes y propiedad intelectual a herramientas de IA de consumo sin que TI lo sepa. A diferencia de los problemas de shadow IT de hace una década, el shadow AI provoca infracciones directas de la Ley de IA de la UE, el artículo 25 del RGPD y NIS2—cada una con multas que pueden alcanzar decenas de millones de euros. El perfil de riesgo no es comparable. Es mucho peor.

5. La infraestructura de datos no soporta lo que las organizaciones piden a los agentes. El 97% de las organizaciones reportaron barreras para usar datos en IA. Ese número no es un artefacto de la encuesta. Es un reconocimiento casi universal de que la infraestructura no está a la altura de la ambición. Las organizaciones ejecutan en promedio 796 aplicaciones, y solo un tercio están integradas. Los agentes de IA necesitan datos. La infraestructura no está lista para dárselos de forma segura.

89% implementados. 50% sin gobernanza. Haz las cuentas.

Empecemos con el hallazgo que cambia el enfoque de todo el informe.

El 89% de las organizaciones del Reino Unido e Irlanda ya implementan agentes de IA. No están en pruebas. No están evaluando. Están implementando. Estos agentes están en entornos de producción, accediendo a registros de clientes, datos financieros, contratos, propiedad intelectual y sistemas operativos en diferentes departamentos, unidades de negocio y geografías.

Pero la mitad de esos agentes—el 50%—están compartimentados en silos departamentales. No están integrados a nivel empresarial. No reportan a un marco de gobernanza centralizado. Ningún equipo tiene visibilidad sobre a qué datos acceden esos agentes, cómo los procesan o si ese procesamiento cumple con las regulaciones que aplican a la organización.

Léelo de nuevo. La mitad de los agentes de IA que operan en empresas del Reino Unido hoy son invisibles para la gobernanza empresarial.

Solo el 54% de las organizaciones cuenta con un marco de gobernanza centralizado y supervisión formal para sus agentes de IA. Eso significa que casi la mitad de las empresas que ejecutan estos sistemas lo hacen sin los controles fundamentales que los reguladores—bajo la Ley de IA de la UE, el RGPD, NIS2 y la Ley de Ciberresiliencia—ya exigen.

Andrew Comstock, vicepresidente sénior y director general de MuleSoft, resumió el reto: «El verdadero éxito de una empresa basada en agentes no está en la cantidad de agentes implementados, sino en la efectividad general de esos agentes. Tenemos que pensar en cómo se descubren, gobiernan y orquestan para trabajar juntos».

Esa orquestación no está ocurriendo. Y el reloj regulatorio no va a esperar.

Shadow AI no es Shadow IT. El riesgo es mucho mayor.

La brecha de gobernanza en el informe de Salesforce tiene un correlato que los equipos de seguridad llevan un año advirtiendo. La mayoría de los consejos directivos no han escuchado.

Shadow AI es lo que ocurre cuando empleados y áreas de negocio implementan agentes de IA, suben datos sensibles a herramientas de IA de consumo y construyen flujos de trabajo asistidos por IA—todo sin conocimiento ni aprobación de TI. Es la consecuencia previsible de bajar la barrera técnica para crear capacidades de IA y dejar los marcos de gobernanza donde estaban hace tres años.

Kurt Anderson, director general y líder de transformación API en Deloitte Consulting, reconoció la tensión en la rueda de prensa del informe: «Hay un principio de liderazgo importante: poner el conocimiento en manos de quienes pueden implementarlo». Pero lo acompañó de una advertencia que merece estar pegada en la pantalla de cada CIO: «Tenemos que aprender del pasado y asegurarnos de tener la gobernanza adecuada. Sabemos lo que pasa cuando dejas que los colaboradores individuales creen sistemas sin seguridad, confiabilidad o con grandes facturas de licencias».

El paralelismo con shadow IT es útil, pero la comparación minimiza el riesgo. Cuando un empleado adoptaba una herramienta SaaS no autorizada hace diez años, el problema era una licencia o un silo de datos. Cuando hoy un empleado sube un contrato de cliente, un modelo financiero o un conjunto de registros de pacientes a ChatGPT o Claude, el problema es una infracción del RGPD, un fallo de transparencia bajo la Ley de IA de la UE y una posible filtración de datos—a la vez. Tres marcos regulatorios. Una subida descuidada.

Los datos de Salesforce crean el terreno fértil para este tipo de incidentes. Las organizaciones ejecutan en promedio 796 aplicaciones, y solo el 33% están integradas. En un entorno donde cientos de sistemas operan aislados, el shadow AI no solo aparece en los márgenes. Llena las grietas que dejan los sistemas desconectados. Y hay muchas grietas.

Cuatro regulaciones. Una brecha de gobernanza. Multas acumulativas.

La brecha de gobernanza de este informe no es solo un dolor de cabeza operativo. Es una exposición regulatoria—y las cifras son contundentes.

Las empresas europeas ahora enfrentan un conjunto convergente de regulaciones que imponen requisitos específicos sobre cómo los sistemas de IA acceden, procesan y protegen datos sensibles. Los agentes de IA en silos sin supervisión centralizada no incumplen solo uno de estos marcos. Los incumplen todos a la vez.

La Ley de IA de la UE exige gobernanza de datos, transparencia y controles de seguridad para sistemas de IA de alto riesgo. Los agentes implementados en silos departamentales—sin registros auditables, sin controles de acceso, sin reportes centralizados—incumplen estas obligaciones por diseño. No es accidente. Es arquitectura. Las sanciones pueden llegar a 35 millones de euros o el 7% de los ingresos globales.

El RGPD exige protección de datos desde el diseño según el artículo 25 y minimización de datos según el artículo 5. Cuando los agentes operan en silos, las organizaciones no pueden responder la pregunta clave que harán los reguladores: «¿Qué sistemas de IA accedieron a los datos de esta persona y bajo qué condiciones?» Si no puedes responder, no cumples. Da igual lo que diga tu política de privacidad. Las sanciones pueden llegar a 20 millones de euros o el 4% de los ingresos globales.

La Directiva NIS2 exige que las organizaciones gestionen riesgos en sus cadenas de suministro digital. Los agentes de IA sin gobernanza son una superficie de ataque no monitoreada que accede a datos críticos sin visibilidad ni controles de reporte de incidentes. Las sanciones pueden llegar a 10 millones de euros o el 2% de los ingresos globales.

La Ley de Ciberresiliencia exige seguridad desde el diseño para productos de software, incluidos los agentes de IA. Los agentes implementados sin controles de seguridad formales, gestión de accesos o monitoreo de vulnerabilidades no cumplen. No hay excepciones por «íbamos rápido».

La próxima Ley Digital Omnibus de la UE alineará aún más estos marcos en una red regulatoria interconectada. Un solo fallo de gobernanza se propagará por múltiples obligaciones de cumplimiento. Las organizaciones que traten cada regulación por separado—o peor, asuman que las implementaciones de IA aún no están cubiertas—están acumulando una exposición que no verán hasta que llegue la sanción.

El 97% de las organizaciones tiene barreras de datos para IA. No es un error.

El Informe de Referencia de Conectividad revela una capa estructural bajo la crisis de gobernanza que dificulta aún más la solución: la infraestructura de datos no está lista.

El 97% de las organizaciones reportó barreras para usar datos en casos de uso de IA. No la mayoría. No un gran porcentaje. El 97%. El principal obstáculo, citado por el 35% de los encuestados, fue la arquitectura y la infraestructura de TI obsoletas, impulsadas por silos de datos y sistemas desconectados.

Las empresas ejecutan en promedio 796 aplicaciones y solo un tercio están integradas. Los agentes de IA necesitan acceso a datos para aportar valor. Pero en entornos donde cientos de aplicaciones operan aisladas, otorgar ese acceso sin una capa de gobernanza unificada obliga a elegir entre dos malas opciones: restringir tanto a los agentes que se vuelven inútiles, o abrir el acceso a los datos sin controles adecuados. La mayoría de las organizaciones elige la segunda opción—aunque no sean conscientes de ello.

Beena Ammanath, líder global del Instituto de IA de Deloitte, resumió la velocidad en el prólogo del informe: «La velocidad de adopción de IA ha superado las predicciones de hace solo un año, con el 84% de los CIOs empresariales creyendo que la IA será tan importante para sus negocios como internet». El 40% de las organizaciones ya implementa agentes autónomos. Otro 41% planea hacerlo en el próximo año. La ventana para construir infraestructura de gobernanza no se está cerrando. Para muchas organizaciones, ya se cerró.

No es un hallazgo aislado. El proveedor de minería de procesos Celonis publicó su propio Informe de Optimización de Procesos 2026—encuestando a 1.600 ejecutivos globales en empresas con ingresos de 500 millones de dólares o más—y encontró el mismo patrón desde otra perspectiva. El 81% dijo que los proyectos de IA fracasarán sin visibilidad de procesos. El 76% afirmó que sus procesos actuales los frenan. El 85% quiere ser una empresa basada en agentes en tres años. La ambición es universal. La preparación, no.

Los agentes de IA ya acceden a tus datos más sensibles. Todos los días.

Si la gobernanza aún te parece una prioridad para el próximo ciclo de planificación y no para ahora mismo, piensa dónde ya están operando los agentes de IA—y a qué datos ya acceden.

Un informe separado de Salesforce publicado la misma semana—la séptima edición de su informe global State of Sales—encontró que la IA basada en agentes ya está entre las tres principales técnicas de ventas en el Reino Unido para 2026. Los vendedores de alto rendimiento tienen 1,7 veces más probabilidades de usar agentes de IA que quienes no alcanzan sus objetivos. El 46% de los vendedores en Reino Unido afirma haber usado agentes. Los equipos de ventas esperan que los agentes reduzcan el tiempo de investigación de prospectos y de redacción de correos electrónicos en un 38%.

Son cifras de productividad impresionantes. Pero también son una prueba de gobernanza que la mayoría de las organizaciones está reprobando. Estos agentes acceden rutinariamente a bases de datos de clientes, registros de CRM, historiales de comunicación, información de precios y detalles de contratos—cada uno con obligaciones regulatorias bajo el RGPD y, según el sector, bajo NIS2 y la Ley de IA de la UE.

Aquí está la diferencia clave: cuando esos agentes operan bajo una gobernanza adecuada—controles de acceso unificados, registros auditables, minimización de datos—aportan mejoras de productividad medibles. Cuando lo hacen sin gobernanza, se convierten en riesgos de cumplimiento que se multiplican con cada nueva implementación. Misma tecnología. Arquitectura diferente. Perfil de riesgo totalmente distinto.

Cómo es una arquitectura de datos de IA gobernada—y por qué la mayoría no la tiene

La pregunta ya no es si adoptar agentes de IA. Esa decisión ya está tomada. El 89% de las organizaciones del Reino Unido ya lo ha hecho. La pregunta es si la gobernanza llegará antes de la próxima auditoría, la próxima filtración o la próxima sanción.

Lograrlo requiere un cambio fundamental en cómo las organizaciones piensan el acceso a datos de IA. Añadir gobernanza a implementaciones existentes después no funciona—el informe de Salesforce lo demuestra con el 50% de los agentes aún en silos sin gobernanza. Las empresas necesitan una capa centralizada de gobernanza de datos entre los agentes de IA y la información confidencial a la que acceden. Esa capa debe ofrecer cinco capacidades.

Control de acceso unificado para agentes de IA. Una plataforma que gobierna qué agentes acceden a qué datos, bajo qué condiciones y con qué permisos. Esto evita que las implementaciones en silos eludan la seguridad empresarial y extiende la arquitectura de confianza cero a cada interacción de agente de IA con datos sensibles.

Registros auditables completos para cada interacción de IA. Cuando los reguladores pregunten qué sistemas de IA accedieron a datos personales—y bajo la Ley de IA de la UE y el RGPD, lo harán—las organizaciones necesitan respuestas claras e integrales. No un proyecto forense de tres semanas con seis herramientas distintas. Respuestas. Bajo demanda.

Aplicación de la minimización de datos. Los agentes de IA solo deben acceder a los datos necesarios para una tarea específica. Controles granulares que permitan redacción, enmascaramiento y accesos temporales apoyan directamente el artículo 5 del RGPD—y evitan la sobreasignación de permisos que convierte a cada agente en un posible vector de filtración.

Prevención de shadow AI. Detecta y bloquea que los empleados alimenten datos sensibles a herramientas de IA no autorizadas—mientras ofreces alternativas gobernadas para flujos de trabajo asistidos por IA. Las políticas de prevención de pérdida de datos deben cubrir los vectores de exfiltración específicos de IA. El DLP tradicional no fue diseñado para esto. Las herramientas deben evolucionar.

Gestión de proveedores de IA de terceros. Protocolos seguros de intercambio de datos, acuerdos de procesamiento de datos y monitoreo continuo del acceso de proveedores de IA de terceros. Los requisitos de seguridad de la cadena de suministro de NIS2 hacen que esto no sea negociable—es obligatorio.

Kiteworks: Acceso a datos de IA gobernado. Desde una sola plataforma. No seis.

Este es el problema que la Red de Datos Privados de Kiteworks está diseñada para resolver.

A medida que las empresas escalan sus implementaciones de IA, Kiteworks proporciona la capa unificada de gobernanza de datos que controla, monitorea y audita cada interacción de agente de IA con información confidencial. No se limita a coexistir con las herramientas de gobernanza existentes esperando que se comuniquen. Elimina la brecha entre ellas—el espacio sin control donde los agentes de IA acceden a contratos, registros de clientes, datos financieros y propiedad intelectual sin supervisión centralizada, sin registros auditables y sin forma de demostrar cumplimiento cuando llega la pregunta.

La diferencia con otros enfoques es importante. Las plataformas tradicionales de uso compartido seguro de archivos—Box, Dropbox—no fueron creadas con controles de gobernanza específicos para IA. No pueden evitar la exfiltración de datos hacia herramientas de IA de consumo. No ofrecen registros auditables para el acceso de agentes de IA. No abordan la Ley de IA de la UE. Resuelven un problema que dejó de ser suficiente hace dos años.

Las herramientas DLP de solo detección de Symantec, Forcepoint y otras pueden señalar infracciones después de que ocurren. No ofrecen acceso gobernado a datos para flujos de trabajo de IA aprobados. Su modelo es bloquear o permitir. El problema de gobernanza de IA requiere habilitar y controlar. Son capacidades distintas.

Las plataformas emergentes de gobernanza de IA se centran en la gobernanza del modelo—monitoreando el comportamiento, los resultados y el riesgo del modelo. No controlan los datos confidenciales a los que acceden los agentes de IA. Gobernar el modelo sin gobernar los datos es como cerrar la puerta principal y dejar abierta la bóveda de datos.

Kiteworks ocupa el espacio que ninguno de estos enfoques cubre: gobernar los datos sensibles que los agentes de IA necesitan, asegurando que cada interacción cumpla los requisitos de cumplimiento bajo el RGPD, NIS2, la Ley de Ciberresiliencia y la Ley de IA de la UE—desde una sola plataforma. Un registro auditable. Un marco de control de acceso. Un solo lugar para responder a los reguladores.

Para los CISOs, es el plano de control centralizado que elimina el riesgo de implementaciones en silos. Para los responsables de cumplimiento, es el registro auditable y la documentación de transparencia que exigen los reguladores europeos. Para los líderes de transformación digital, es la infraestructura de gobernanza que permite escalar la IA—sin frenar a las áreas de negocio que más la necesitan.

La ventana se está cerrando. Para algunas organizaciones, ya se cerró.

El Informe de Referencia de Conectividad 2026 de Salesforce lo deja claro. El 89% de las organizaciones del Reino Unido tiene agentes de IA implementados. La mitad opera en silos sin gobernanza. La huella de agentes crecerá un 67% en dos años. Las regulaciones europeas están convergiendo en un marco de cumplimiento unificado con sanciones que pueden alcanzar cientos de millones de euros.

Las organizaciones que construyan ahora una arquitectura de datos de IA gobernada podrán escalar la IA de forma segura, satisfacer a los reguladores bajo demanda y convertir la productividad de la IA en ventaja competitiva. Las que no lo hagan descubrirán su brecha de gobernanza a través de una investigación regulatoria, una filtración de datos o una multa que hará que el coste de la gobernanza parezca insignificante.

Esto ya no es un ejercicio de planificación. Es un requisito operativo. Y la pregunta no es si tu organización necesita una capa de gobernanza de datos para agentes de IA. La pregunta es si la construirás antes de que la próxima auditoría te obligue a explicar por qué no lo hiciste.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, siempre verifica
• Video Microsoft GCC High: Desventajas que llevan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Generar confianza en la IA generativa con un enfoque Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI