Nuevo manual de privacidad: Lo que revela el Estudio de Referencia de Datos y Privacidad 2026 de Cisco sobre la gobernanza impulsada por IA

El gasto en privacidad se ha disparado. Las organizaciones ya no solo buscan cumplir con las normativas: están construyendo ecosistemas completos de gobernanza en torno a la inteligencia artificial, y las cifras cuentan una historia sorprendente.

El recién publicado Estudio de Referencia de Datos y Privacidad 2026 de Cisco encuestó a más de 5,200 profesionales de TI y seguridad en 12 mercados globales, y los resultados muestran una industria en plena transformación. El dato más destacado marca un cambio sísmico: el 38% de las organizaciones ahora invierte $5 millones o más al año en programas de privacidad, frente a solo el 14% del año anterior. No es un crecimiento incremental. Es una reinvención fundamental de lo que significa la privacidad para las empresas modernas.

Pero la verdadera historia no trata de presupuestos. Se trata de por qué esos presupuestos están creciendo tan rápido—y lo que eso implica para cada organización que navega el cruce entre protección de datos e inteligencia artificial.

Conclusiones clave

1. El gasto en privacidad casi se ha triplicado año tras año

El porcentaje de organizaciones que invierten $5 millones o más anualmente en programas de privacidad saltó del 14% al 38% en solo un año. Este aumento refleja el reconocimiento creciente de que los sistemas de IA requieren una infraestructura de gobernanza de datos robusta para funcionar eficazmente y mantener la confianza de las partes interesadas.

2. La IA ha ampliado fundamentalmente el alcance de los programas de privacidad

Nueve de cada diez organizaciones afirman que sus programas de privacidad se han ampliado específicamente debido a la adopción de inteligencia artificial. Casi la mitad describe esta expansión como significativa y no solo incremental, lo que indica una reconceptualización completa de las responsabilidades de los equipos de privacidad.

3. La madurez de la gobernanza está muy por detrás de la ambición

Aunque el 75% de las organizaciones han creado comités de gobernanza de IA, solo el 12% califica estos comités como maduros y proactivos. Esta brecha entre la creación de estructuras de gobernanza y su efectividad operativa representa uno de los desafíos más urgentes para los líderes de privacidad y tecnología.

4. Los problemas de calidad de datos amenazan el éxito de la implementación de IA

Casi dos tercios de las organizaciones tienen dificultades para acceder a datos relevantes y de alta calidad de manera eficiente para sus iniciativas de IA. Además, el 77% identifica la protección de la propiedad intelectual de los conjuntos de datos de IA como una de sus principales preocupaciones, por lo que la gestión de datos se ha convertido en un cuello de botella crítico para una implementación responsable de IA.

5. La transparencia supera al cumplimiento para generar confianza del cliente

Al preguntar qué genera mayor confianza en los clientes, el 46% de las organizaciones eligió la comunicación clara sobre las prácticas de datos—muy por encima del cumplimiento de leyes de privacidad (18%) o la prevención de brechas (14%). Las organizaciones que explican claramente el uso de los datos están construyendo relaciones más sólidas con los clientes que aquellas que solo se enfocan en evitar problemas.

Por qué la IA lo cambió todo en privacidad

Durante años, los equipos de privacidad operaban en un universo relativamente predecible. Regulaciones como el GDPR establecieron límites claros. Cumplir significaba documentar flujos de datos, responder a solicitudes de acceso e implementar procedimientos de notificación de brechas. Trabajo importante, sí, pero acotado.

La inteligencia artificial rompió esos límites.

El estudio revela que el 90% de las organizaciones han ampliado sus programas de privacidad específicamente por la IA. Esto no sorprende si consideras lo que realmente requieren los sistemas de IA. Entrenar modelos de aprendizaje automático exige conjuntos de datos masivos. Las herramientas de IA generativa procesan entradas de usuarios de formas que generan nuevas consideraciones de privacidad. Los sistemas agénticos—capaces de tomar acciones autónomas—plantean preguntas sobre responsabilidad que los marcos tradicionales de privacidad nunca anticiparon.

Lo más llamativo es cómo las organizaciones viven esta expansión. Casi la mitad (47%) reporta que la IA ha ampliado significativamente su mandato de privacidad, no solo lo ha ajustado. Otro 43% describe la expansión como moderada. Solo el 9% afirma que sus programas de privacidad permanecen sin cambios ante el auge de la IA.

Esto es mucho más que un aumento de alcance. Es una reconceptualización fundamental de lo que hacen los equipos de privacidad y por qué existen.

El auge de la inversión y sus implicaciones

El salto del 14% al 38% de organizaciones que gastan al menos $5 millones en privacidad merece un análisis más profundo. Cuando más de un tercio de las empresas alcanza este umbral, algo estructural ha cambiado en la forma en que los negocios valoran la protección de datos.

Varios factores impulsan este auge. Primero, las organizaciones reconocen que los sistemas de IA requieren una infraestructura de gobernanza que antes no existía. No puedes implementar una herramienta de IA generativa de manera responsable sin entender de dónde provienen los datos de entrenamiento, quién los posee y cómo se procesan o retienen las entradas de los usuarios. Construir ese entendimiento requiere personas, procesos y tecnología—todo lo cual implica inversión.

Segundo, la presión regulatoria sigue en aumento. El estudio señala que el 93% de las organizaciones planea asignar más recursos a al menos un área de privacidad y gobernanza de datos en los próximos dos años. Esta inversión anticipa nuevas regulaciones específicas de IA que se sumarán a los marcos de privacidad existentes.

Tercero, y quizás más importante, las organizaciones han descubierto que invertir en privacidad realmente da frutos. El estudio indica que el 99% de las organizaciones obtiene al menos un beneficio tangible de sus iniciativas de privacidad. No son afirmaciones vagas sobre «mejor postura de cumplimiento». Los encuestados citan resultados concretos: el 96% reporta que el refuerzo de controles de datos ha permitido mayor agilidad e innovación, el 95% ha fortalecido la confianza y lealtad de los clientes, y otro 95% ha logrado eficiencias operativas gracias a una mejor organización de los datos.

La brecha de madurez en la gobernanza

Aquí es donde el estudio trae noticias incómodas. Aunque tres cuartas partes de las organizaciones han creado comités de gobernanza de IA, solo el 12% describe estos comités como maduros y proactivos. El 88% restante aún está buscando cómo hacer que la gobernanza sea operativa.

Esta brecha entre aspiración y ejecución refleja los hallazgos del Índice de Preparación de IA de Cisco, que muestra sistemáticamente que las organizaciones reconocen lo que deben hacer, pero aún no cuentan con la infraestructura para lograrlo. Crear un comité de gobernanza es un primer paso necesario, pero los comités por sí solos no generan políticas, ni aplican estándares, ni crean responsabilidad.

La composición de estos órganos de gobernanza revela parte del reto. Las áreas de TI y tecnología lideran la representación con un 57%, seguidas de ciberseguridad (42%) y legal/riesgo/cumplimiento (35%). ¿Equipos de producto? Solo un 8%. ¿Ingeniería? 16%. Cuando quienes construyen los sistemas de IA tienen poca voz en su gobernanza, la gobernanza se desconecta de la realidad del desarrollo.

Las organizaciones que están cerrando esta brecha avanzan hacia modelos de gobernanza interfuncionales que incluyen no solo TI y legal, sino también responsables de producto, científicos de datos y líderes de unidades de negocio. Estas composiciones más amplias ayudan a que los marcos de gobernanza reflejen tanto las limitaciones técnicas como los objetivos empresariales.

Calidad de datos: el obstáculo oculto

Quizás el hallazgo más relevante del estudio tiene que ver con la calidad de los datos. Casi siete de cada diez organizaciones (65%) reportan dificultades continuas para acceder a datos relevantes y de alta calidad de manera eficiente. Recordando que los sistemas de IA solo son tan buenos como los datos que consumen, esto se convierte en un cuello de botella crítico.

El reto no es solo que los datos estén dispersos—aunque eso es cierto. Es que gran parte de esos datos carecen de la clasificación, etiquetado y documentación que el desarrollo de IA requiere. El estudio revela que, aunque el 66% de las organizaciones cuenta con sistemas de etiquetado de datos, solo el 51% describe su enfoque como integral. El resto depende de etiquetado limitado (33%), etiquetado identificado por el cliente (10%) o procesos manuales ad hoc (1%).

Para las aplicaciones de IA, el etiquetado incompleto genera problemas reales. Los modelos entrenados con datos mal clasificados pueden incorporar inadvertidamente información personal que debió excluirse. Los sistemas pueden producir resultados basados en información propietaria de forma no autorizada. Y cuando algo sale mal, las organizaciones tienen dificultades para rastrear qué datos influyeron en qué decisiones.

La protección de la propiedad intelectual agrava estas preocupaciones. Más de tres cuartas partes (77%) de las organizaciones identifican la protección de la PI de los conjuntos de datos de IA como uno de los principales desafíos de gobernanza. Esto refleja una conciencia creciente de que los datos de entrenamiento representan un valor significativo—y un riesgo considerable si se gestionan mal.

La presión de la localización de datos

Los requisitos de localización de datos se han convertido en un reto definitorio para las organizaciones multinacionales, y el estudio de este año cuantifica cuán gravosos se han vuelto estos requisitos.

El 85% de las organizaciones afirma que la localización de datos añade coste, complejidad y riesgo a la prestación de servicios transfronterizos. Los impactos son aún más notorios para las empresas globales frente a las que operan en un solo mercado. Las organizaciones globales reportan mayores tasas de aumento de costos de cumplimiento (77% frente a 63%), duplicación de infraestructura (72% frente a 59%) y ralentización de implementaciones (67% frente a 56%).

Estas cifras representan una verdadera traba operativa. Cuando una organización debe mantener infraestructuras de datos separadas en varias jurisdicciones, pierde economías de escala. Cuando los datos no pueden fluir libremente hacia donde la capacidad de procesamiento es más eficiente, los sistemas se ralentizan. Cuando los equipos de cumplimiento deben navegar docenas de marcos regulatorios distintos, los recursos se desvían de la innovación hacia la administración.

La dimensión de la IA intensifica la presión de localización. El estudio revela que el 78% de las organizaciones reporta un aumento de costos de localización específicamente por desarrollos en IA, mientras que el 81% describe una mayor demanda de localización impulsada por modelos de IA generativa y agéntica. Tiene sentido: los sistemas de IA suelen requerir recursos computacionales masivos que las organizaciones prefieren centralizar, pero las reglas de localización pueden impedir que los datos necesarios crucen fronteras.

Curiosamente, la percepción sobre el almacenamiento local de datos y la seguridad está cambiando poco a poco. En 2025, el 90% de los encuestados asociaba el almacenamiento local con mayor seguridad. Este año, esa cifra bajó al 86%. Aunque sigue siendo una mayoría sólida, el descenso sugiere que crece el reconocimiento de que la seguridad depende de más que la ubicación física—una infraestructura global bien gestionada puede ofrecer protección robusta sin importar dónde residan físicamente los datos.

La transparencia como ventaja competitiva

Si preguntas a profesionales de privacidad qué genera confianza en los clientes, podrías esperar que mencionen la protección ante brechas o el cumplimiento normativo. El estudio revela una jerarquía diferente.

Cuando las organizaciones clasificaron las acciones más efectivas para generar confianza, el 46% eligió «proporcionar información clara sobre cómo se recopilan y usan los datos». El cumplimiento de las leyes de privacidad quedó en segundo lugar con un 18%, seguido de evitar brechas de datos con un 14%. Permitir que los clientes configuren ajustes de privacidad quedó último con solo un 6%.

Este hallazgo tiene implicaciones importantes. Las organizaciones suelen asumir que hacer bien la privacidad es lo más relevante—mantener los datos seguros, seguir las regulaciones, reducir riesgos. El estudio sugiere que comunicar sobre privacidad importa casi tanto. Los clientes quieren entender qué sucede con su información, y las organizaciones que lo explican claramente construyen relaciones más sólidas que aquellas que simplemente evitan problemas.

El mercado responde. Más de la mitad (55%) de las organizaciones ahora ofrece paneles interactivos que permiten a los usuarios ver o controlar sus datos en tiempo real. La mitad incorpora compromisos de transparencia directamente en los contratos. Ya no son solo características deseables; se están convirtiendo en requisitos básicos para la relación con el cliente.

Cómo evolucionan los modelos de gobernanza

Entre 2025 y 2026, las organizaciones se alejaron decididamente de las restricciones totales sobre el uso de IA. Las prohibiciones absolutas sobre IA generativa cayeron drásticamente—el estudio muestra una disminución de 21 puntos porcentuales año tras año—al igual que los límites rígidos sobre qué datos podían ingresar los empleados en herramientas de IA.

La experiencia aparentemente enseñó a las organizaciones que prohibir no funciona. Las personas usan herramientas de IA sin importar las políticas, y las prohibiciones solo empujan el uso a la clandestinidad donde no puede ser monitoreado ni gobernado. El enfoque alternativo que ahora gana terreno se basa en controles contextuales: capacitación de usuarios, salvaguardas técnicas que impiden que ciertos tipos de datos ingresen a los sistemas y mecanismos de gobernanza que actúan en el punto de interacción en lugar de prohibiciones a nivel empresarial.

Esto es madurez. Las primeras respuestas a la IA generativa reflejaban más miedo que estrategia. Las organizaciones veían riesgos y reaccionaban restringiendo el acceso. El enfoque de 2026 reconoce que la IA ya está integrada en las operaciones empresariales y se centra en habilitar un uso responsable en lugar de impedir todo uso.

La IA agéntica—sistemas capaces de tomar acciones autónomas sin aprobación humana en cada paso—es la próxima frontera. El estudio revela que, aunque la familiaridad con la IA agéntica es alta, la implementación activa sigue siendo limitada. Las organizaciones se preparan extendiendo los marcos de gobernanza existentes, implementando requisitos de validación humana, estableciendo umbrales de escalamiento para decisiones autónomas y creando mecanismos de anulación para cuando los sistemas se comportan de forma inesperada.

Confianza en proveedores: alta confianza, contratos rezagados

Las organizaciones dependen cada vez más de proveedores externos de IA, y el estudio revela dinámicas complejas en estas relaciones. Por un lado, la confianza es alta: el 81% de las organizaciones afirma que sus proveedores de IA generativa han sido transparentes sobre cómo usan los datos, y el mismo porcentaje indica que los proveedores han explicado claramente el funcionamiento de sus sistemas.

Por otro lado, los mecanismos formales de responsabilidad no han avanzado al ritmo de esa confianza. Solo el 55% de las organizaciones exige términos contractuales claros sobre propiedad de datos, derechos de uso y parámetros de propiedad intelectual al trabajar con proveedores de IA. Esto significa que casi la mitad depende de garantías informales en lugar de acuerdos exigibles.

Esta brecha genera riesgo. Cuando algo sale mal—un modelo produce resultados sesgados, los datos de entrenamiento incluyen información obtenida de forma inadecuada, una brecha expone datos de clientes procesados por sistemas de proveedores—las organizaciones sin términos contractuales claros pueden tener dificultades para exigir responsabilidad o buscar soluciones.

Las organizaciones con visión de futuro están cerrando esta brecha. Casi tres cuartas partes (73%) ahora realizan verificaciones activas y monitoreo continuo para asegurar que las herramientas de terceros se alineen con las regulaciones emergentes de IA. Las certificaciones de privacidad de terceros se han vuelto criterios clave de selección de proveedores, con el 96% de los encuestados describiéndolas como influyentes en las decisiones de compra.

Quizás lo más alentador, el 79% de las organizaciones afirma que sus proveedores de IA generativa están dispuestos a negociar términos contractuales o configuraciones de herramientas para limitar la exposición de datos. Esto sugiere que el mercado madura hacia modelos de colaboración donde proveedores y clientes comparten la responsabilidad por el uso responsable de la IA.

Cinco recomendaciones para líderes de privacidad

Con base en sus hallazgos, el estudio ofrece recomendaciones concretas para organizaciones que navegan la privacidad y la gobernanza de IA. Estas sugerencias merecen la atención de cualquier equipo que enfrente retos similares.

Primero, prioriza la comprensión y transparencia de los datos. Esto implica construir inventarios integrales de activos de datos, entender de dónde provienen y cómo se mueven por los sistemas, y comunicar claramente a los clientes las prácticas de datos. Las organizaciones que invierten en esta base están mejor preparadas para adaptarse a medida que evolucionan las regulaciones y cambian las expectativas de los clientes.

Segundo, invierte en una infraestructura de datos robusta. El estudio enfatiza la importancia de la consistencia en la recopilación, formato, etiquetado y arquitectura de los datos. Sin esta disciplina, las organizaciones tendrán dificultades para asegurar la calidad de los datos, proteger la propiedad intelectual y mantener los controles de gobernanza que requiere una implementación responsable de IA.

Tercero, evalúa estratégicamente las decisiones de localización e infraestructura de datos. Aunque la localización puede responder a requisitos regulatorios específicos, las organizaciones deben sopesar cuidadosamente los beneficios de seguridad frente a los costos y la complejidad operativa. El almacenamiento local no significa automáticamente mayor seguridad, y la infraestructura fragmentada crea sus propios riesgos.

Cuarto, establece un órgano único y empoderado de gobernanza de IA. Este órgano debe incluir representación interfuncional y suficiente autoridad para integrar consideraciones éticas y principios de IA responsable en los procesos de desarrollo e implementación. Los comités de gobernanza sin poder real se convierten en teatro, no en protección.

Quinto, capacita a la fuerza laboral con formación y salvaguardas. Reconociendo que muchas veces las decisiones humanas generan riesgos de datos, las organizaciones deben invertir en programas de formación integral e implementar salvaguardas técnicas que eviten exposiciones riesgosas en el punto de uso.

Qué significa esto para el próximo año

El estudio de Cisco muestra a las organizaciones en un punto de inflexión. La privacidad ha evolucionado de una función de cumplimiento a una capacidad estratégica. La IA ha pasado de ser una tecnología emergente a una necesidad operativa. La gobernanza de datos ha dejado de ser un centro de costos para convertirse en motor de innovación.

Las organizaciones que entienden estos cambios e invierten en consecuencia estarán mejor posicionadas para implementar IA de forma responsable, mantener la confianza de los clientes y navegar un entorno regulatorio cada vez más complejo. Aquellas que sigan tratando la privacidad como un costo a reducir en vez de una capacidad a desarrollar tendrán dificultades a medida que crecen las expectativas.

Las cifras marcan una tendencia clara. Cuando el 99% de las organizaciones reporta beneficios tangibles de invertir en privacidad, cuando el 96% vincula controles de datos mejorados con mayor agilidad e innovación, cuando el porcentaje de organizaciones que invierte al menos $5 millones en privacidad casi se triplica en un solo año—el mercado está enviando una señal inequívoca.

La privacidad se ha convertido en infraestructura. Y la infraestructura requiere inversión, atención y compromiso continuo. Las organizaciones que reconocen esta realidad están construyendo las bases para una implementación responsable de IA. Las que no, pueden verse cada vez más incapaces de competir en un mundo donde clientes, reguladores y socios esperan responsabilidad en las prácticas de datos.

El Estudio de Referencia de Datos y Privacidad 2026 no solo documenta dónde están las organizaciones hoy. Ilumina hacia dónde se dirige todo el panorama empresarial de privacidad—y ofrece una hoja de ruta para quienes están listos para liderar en vez de seguir.

Para descubrir cómo Kiteworks puede ayudarte, solicita una demo personalizada hoy mismo.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Generar confianza en la IA generativa con un enfoque Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI