Lo que revela un nuevo estudio de Carnegie Mellon-Larridin sobre la adopción de IA y el crecimiento de ingresos

Ahora todas las empresas afirman tener una estrategia de IA. Casi ninguna puede demostrar que realmente ha impulsado el negocio. Un nuevo documento de trabajo del AI Capstone Program de la Universidad Carnegie Mellon, elaborado en colaboración con la firma de analítica de adopción de IA Larridin, puso a prueba esa distancia de forma empírica en más de 500 grandes empresas públicas estadounidenses, y la respuesta es más concreta —y más útil para líderes de seguridad y cumplimiento— que la mayoría de las investigaciones sobre adopción de IA.

El documento, «¿Predicen las señales de adopción de IA el rendimiento de la empresa? Evidencia de una muestra transversal de 500 empresas: puntuaciones, informes y datos de contratación» (Li, Tao, Xu y Hong, borrador de trabajo de julio de 2026), evaluó si las señales de adopción de IA, la intensidad de inversión, la actividad de contratación, las puntuaciones de proveedores y el lenguaje de divulgación realmente predicen el crecimiento de ingresos, la mejora de márgenes o el rendimiento bursátil. Los investigadores crearon un sistema de medición basado en evidencia, analizaron cientos de informes 10-K y decenas de miles de ofertas de empleo, y compararon los datos con resultados financieros reales, no solo con percepciones de encuestas.

El hallazgo principal no es lo que la mayoría de los proveedores de madurez en IA quieren escuchar: el gasto, la contratación y las puntuaciones genéricas de adopción de IA pierden relevancia cuando se controla el tamaño de la empresa. La única señal que resistió todos los controles estadísticos fue la concreción narrativa: si una empresa puede señalar sistemas de IA implementados, con resultados de negocio cuantificados, en lugar de solo lenguaje aspiracional sobre IA. Este hallazgo tiene implicaciones directas para cómo las organizaciones que desarrollan programas de gobernanza y cumplimiento de IA, incluyendo Kiteworks, deberían medir y demostrar el valor de la IA.

Esto importa por una razón que va más allá del marketing. Si el mercado empieza a diferenciar la implementación real de IA del discurso vacío, y si la señal ganadora es la evidencia de un sistema específico, gobernado y en producción, entonces las organizaciones mejor posicionadas para beneficiarse son las que ya pueden demostrar esa evidencia: quién accedió a qué datos, bajo qué autorización y con qué resultado. Antes que un problema de IA, esto es un reto de gobernanza de datos y de trazabilidad de auditoría.

Conclusiones clave

1. La especificidad supera al gasto.

Entre más de 500 grandes empresas públicas estadounidenses, la señal de adopción de IA más fuertemente asociada al crecimiento de ingresos fue la concreción narrativa: casos de uso concretos, implementados y con resultados cuantificados, no la inversión total en IA, el número de proveedores ni la cantidad de empleados.

2. El efecto de la concreción es grande y duradero.

Pasar de la divulgación de IA menos concreta a la más concreta se asoció con aproximadamente 8 puntos porcentuales más de crecimiento anual de ingresos, un resultado que se mantuvo tras controlar el sector, el tamaño de la empresa y el impulso de crecimiento previo.

3. La IA es, por ahora, una historia de crecimiento, no de márgenes.

El estudio no encontró ninguna relación significativa entre las señales de adopción de IA y la mejora del margen operativo, ni evidencia de que las señales públicas de IA predijeran el rendimiento bursátil en los cuatro meses siguientes.

4. La divulgación genérica de riesgos de IA es ahora un requisito básico.

Aproximadamente el 75% de las empresas analizadas se agruparon en la misma puntuación de divulgación de riesgos de IA, lo que significa que el lenguaje estándar sobre riesgos de IA ya no distingue programas maduros de inmaduros.

5. La disciplina de medición importa tanto como el hallazgo.

Los investigadores exigieron que cada puntuación de adopción de IA citara evidencia verificable en la fuente, no solo inferencia del modelo, el mismo principio basado en evidencia que debería regir cómo las empresas miden sus propios programas de IA y cómo demuestran cumplimiento ante reguladores o auditores.

Dentro del estudio: más de 500 empresas, tres fuentes de datos, una pregunta

El equipo de investigación —Yixiao Li, Siru Tao, Xin Xu y Hanzhe Hong en Carnegie Mellon, junto con Larridin— construyó su universo de estudio a partir del conjunto de cobertura del AI Transformation Tracker de Larridin combinado con el S&P 500, llegando a 564 empresas de los doce sectores. Para evitar que unas pocas megaempresas de semiconductores de IA dominaran los resultados, el análisis principal excluye las cinco mayores firmas de semiconductores de IA (Nvidia, Broadcom, AMD, Micron e Intel); el documento informa que todas las conclusiones se mantienen también en la muestra completa.

Tres fuentes de datos independientes alimentan el análisis. El AI Transformation Tracker de Larridin asigna a cada empresa puntuaciones de 1 a 5 respaldadas por evidencia en adopción, competencia de la fuerza laboral e impacto realizado, además de un índice compuesto de madurez, cubriendo 562 empresas. Un sistema de extracción basado en modelos de lenguaje puntuó por separado los informes 10-K más recientes de 478 empresas en tres dimensiones: intensidad de inversión en IA, concreción narrativa y profundidad de divulgación de riesgos, con la regla de que cada puntuación no nula debía citar un pasaje textual de respaldo del informe. Un tercer equipo clasificó 30,861 ofertas de empleo individuales de 536 empresas en roles de creador de IA, usuario de IA, líder de IA y no IA, para construir una medida de intensidad de contratación en IA.

Frente a esas tres familias de señales, los investigadores evaluaron tres preguntas: ¿predicen las señales de adopción de IA el crecimiento de ingresos, el cambio de margen y la productividad? ¿Predicen los rendimientos bursátiles ajustados al mercado en los cuatro meses siguientes? ¿Y en qué eslabón de la cadena de valor de la IA se concentran los efectos? Cada regresión controló el sector, el tamaño de la empresa y el impulso de crecimiento previo de cada firma, lo que aborda el sesgo obvio de que las empresas de rápido crecimiento adoptan IA más rápido y siguen creciendo independientemente de la IA.

La señal que se mantuvo: concreción narrativa

Aquí es donde el documento cobra relevancia para quienes construyen un programa de gobernanza de IA. Todas las señales basadas en puntuaciones y divulgaciones del estudio se asociaron con el crecimiento de ingresos en una comparación simple y sin condiciones. Pero a medida que los investigadores ajustaron los controles estadísticos —añadiendo sector, luego tamaño y luego impulso de crecimiento— la mayoría de esas señales perdieron solidez estadística. Las puntuaciones compuestas de adopción de IA, que agregan varios componentes que naturalmente escalan con el tamaño de la empresa, se atenuaron cuando el tamaño entró en el modelo. La intensidad de inversión en IA fue positiva en todo momento, pero perdió significancia al controlar el tamaño (p = 0,14). La tasa de contratación de creadores de IA no mostró relación significativa con ningún resultado, y los autores señalan que los datos de contratación se recopilaron después del trimestre de resultados, por lo que no puede tratarse como una prueba predictiva genuina.

La concreción narrativa fue la excepción. Su coeficiente de especificación completa de 0,080 (p = 0,009) se mantuvo tras todos los controles, y superó una corrección Benjamini-Hochberg de tasa de descubrimiento falso dentro de la familia de hipótesis primaria predefinida del estudio, una salvaguarda estadística estándar contra falsos positivos al probar múltiples señales a la vez. En términos prácticos, llevar a una empresa del extremo inferior al superior de la distribución de concreción se asoció con una diferencia de 8,0 puntos porcentuales en el crecimiento anual de ingresos, manteniendo sector, tamaño e impulso previo constantes.

La interpretación de los propios investigadores merece citarse directamente, porque es la tesis sobre la que se construye todo el documento: «la especificidad es la señal». Lo que distinguió a las empresas de mayor crecimiento, dentro del mismo sector y clase de tamaño, fue la sustancia verificable en sus propias divulgaciones regulatorias: sistemas nombrados en producción, resultados cuantificados, en lugar de solo exposición superficial a palabras clave de IA. El lenguaje de divulgación de riesgos, ahora estandarizado en la mayoría de las empresas, no discriminó nada. Cada paso hacia la especificidad anclada en evidencia añadió información.

Lo que no predijo el rendimiento: gasto, plantilla y contratación

Vale la pena detenerse en lo que el estudio no encontró, porque los resultados negativos son tan estratégicamente relevantes como los positivos. La intensidad de inversión en IA —esencialmente, cuánto dice una empresa que gasta para construir o comprar IA— se correlacionó con el crecimiento en comparaciones brutas, pero desapareció cuando los investigadores tuvieron en cuenta el tamaño de la empresa. Las empresas grandes simplemente invierten más en todo, incluida la IA, por lo que el volumen de inversión por sí solo no distingue a los verdaderos líderes de IA de las empresas grandes que gastan mucho.

La medida de intensidad de contratación en IA, construida a partir de una clasificación validada de más de 30,000 ofertas de empleo, mostró esencialmente ninguna relación con los resultados probados (coeficiente 0,026 en el caso univariado, y negativo con todos los controles aplicados). Los autores son claros sobre una limitación de diseño: como los datos de contratación solo pueden recopilarse en tiempo real y no pueden reconstruirse retroactivamente, sus instantáneas de contratación se recogieron después del trimestre financiero analizado. Eso significa que el resultado de contratación debe interpretarse como descriptivo, no predictivo.

Para las organizaciones que evalúan sus propios programas de IA, y para los proveedores que venden tarjetas de puntuación de madurez de IA basadas en gasto, número de proveedores o plantilla, esto es una corrección útil. Esas medidas describen actividad. Según esta evidencia, no describen valor de negocio.

La IA es, por ahora, una historia de crecimiento más que de márgenes

El segundo gran hallazgo del estudio se refiere a dónde aparece el efecto económico de la IA y dónde no. Ninguna de las señales probadas, compuestas o basadas en divulgación, predijo rendimientos bursátiles a cuatro meses vista tras corregir los investigadores por la prueba de múltiples señales. Los autores interpretan esto bajo la lógica habitual de eficiencia de mercado: como todas las señales del estudio se construyen a partir de información pública, los mercados parecen haber descontado ya todo lo que se puede saber sobre la postura de IA de una empresa a partir de fuentes públicas. De hecho, la estimación puntual de la puntuación compuesta de IA fue ligeramente negativa durante el periodo del estudio, en línea con una corrección parcial de las valoraciones bursátiles temáticas de IA que habían subido a principios de 2026.

Los efectos en márgenes también estuvieron ausentes: ninguna señal mostró una asociación significativa con el cambio de margen operativo. Combinado con los resultados de crecimiento de ingresos, la interpretación del documento es que la adopción de IA actualmente opera a través de un canal de crecimiento de ingresos, no de reducción de costes a corto plazo. Esto coincide con lo que los líderes de seguridad y cumplimiento escuchan internamente: las iniciativas de IA se justifican por nuevas capacidades, ciclos de producto más rápidos y mejor experiencia de cliente, no (todavía) por reducción de plantilla.

Un resultado a nivel de mercado destaca como dato adicional relevante: la clasificación de la cadena de valor de IA del documento encontró que los proveedores de infraestructura y hardware de IA superaron a sus pares del mismo sector y tamaño en aproximadamente 32 puntos porcentuales durante la primera mitad de 2026, una descomposición llamativa del rally bursátil de IA en ese periodo, y un recordatorio de que la «operación IA» y la pregunta «¿la adopción de IA predice los fundamentales?» son dos fenómenos distintos que coincidieron en el mismo mercado y tiempo.

Dónde importó más la señal: empresas con muchos activos físicos y adoptantes tardíos

La descomposición de la cadena de valor de IA del documento divide el S&P 500 en cuatro categorías: infraestructura y hardware de IA (36 empresas), software y plataformas de IA (41), adoptantes intensivos en datos (138) y empresas con muchos activos físicos o adoptantes tardíos (285), el grupo más grande con diferencia. La relación entre concreción narrativa y crecimiento de ingresos fue estadísticamente significativa específicamente dentro de ese grupo de empresas con muchos activos físicos y adoptantes tardíos (n = 214, p = 0,025).

A simple vista, parece una nota estadística menor. No lo es. Los autores argumentan —y aquí está el vínculo con la seguridad y la gobernanza— que este es precisamente el segmento donde es más difícil distinguir la implementación real de IA del discurso vacío. Las afirmaciones de IA de una empresa de software son relativamente fáciles de verificar frente a su producto. Las de una empresa manufacturera, minorista o industrial, no lo son. Justamente ahí es donde la divulgación concreta y respaldada por evidencia hizo el mayor trabajo para separar a los verdaderos adoptantes de las empresas que usan la IA solo como recurso narrativo. Para la gran mayoría del mercado empresarial, que se encuentra en esta categoría —empresas que no son proveedores de infraestructura de IA ni plataformas de software nativas de IA— la capacidad de demostrar una implementación de IA gobernada y verificable puede ser el mayor diferenciador disponible.

Implicación para la gobernanza: medición basada en evidencia como disciplina operativa

La decisión metodológica que subyace a todo el estudio es la lección más transferible para los programas de gobernanza de IA empresarial. Los investigadores crearon lo que llaman un protocolo de extracción LLM basado en evidencia: cada puntuación de divulgación de IA no nula debía citar un pasaje textual de respaldo del informe fuente, y las dimensiones sin evidencia de respaldo se devolvían como nulas en vez de ser inferidas. En una auditoría interna, entre el 87 y el 90 por ciento de las citas de evidencia del modelo coincidieron exactamente con el texto fuente.

Vale la pena repetirlo en términos sencillos: los investigadores se negaron a dejar que un modelo puntuara la madurez de IA de una empresa solo por inferencia. Cada afirmación debía rastrearse hasta una evidencia concreta y citada. Y la señal más fundamentada en ese principio —la concreción narrativa— fue también la única que resistió todos los desafíos estadísticos del documento.

Esa es la misma disciplina que debería regir cómo una empresa mide y demuestra su propio programa de IA, y es donde los hallazgos del documento dejan de ser una curiosidad académica y se convierten en un modelo a seguir. Un programa interno de gobernanza de datos de IA construido con la misma lógica basada en evidencia podría responder, para cualquier caso de uso de IA: ¿qué flujo de trabajo de producción está cambiando la IA realmente?, ¿quién la utiliza?, ¿qué datos toca?, ¿qué resultado de negocio específico mejoró?, ¿puede cuantificarse ese resultado?, ¿y puede la organización aportar evidencia —no solo una afirmación— de que el sistema está implementado y gobernado? Un programa de IA que pueda responder a esas preguntas con evidencia citada se parece, según la lógica de este estudio, mucho más a las empresas asociadas con crecimiento real de ingresos que a las que se basan en anuncios o pilotos de IA.

Qué significa esto para la seguridad de datos, cumplimiento, soberanía y gobernanza de datos de IA

El documento de CMU-Larridin es cuidadoso al aclarar lo que no demuestra: no prueba directamente que una mayor seguridad de datos, cumplimiento normativo, soberanía de datos o gobernanza de IA provoquen un mejor desempeño financiero. Es una advertencia honesta e importante, y cualquier conclusión que relacione la madurez de la gobernanza con el hallazgo de crecimiento de ingresos debe leerse como una inferencia estratégica, no como una afirmación causal demostrada por los investigadores.

Con esa advertencia clara, la inferencia sigue siendo útil para CISOs y responsables de cumplimiento que evalúan dónde invertir en gobernanza de IA. Una vez que la IA pasa de piloto a producción, empieza a interactuar con datos reales de la empresa, empleados, clientes y flujos de trabajo. Eso convierte la pregunta clave de seguridad de «¿permitimos la IA?» a una mucho más específica: ¿qué sistema o agente de IA puede acceder a qué datos, para qué propósito, bajo qué política y qué puede hacer con lo que recupera? Antes que nada, eso es un problema de gobernanza de datos y control de acceso, y encaja directamente con el hallazgo del estudio de que la especificidad verificable a nivel de implementación es lo que realmente distingue los programas maduros de los inmaduros.

La implicación para el cumplimiento sigue la misma lógica. El estudio encontró que la profundidad de la divulgación de riesgos —esencialmente, si una empresa tiene lenguaje de riesgo de IA en sus informes— tenía casi nulo poder para distinguir empresas, porque alrededor del 75% de la muestra se agrupó en la misma puntuación. El lenguaje estándar sobre riesgos de IA se ha vuelto tan común que ya no aporta información relevante. Es una señal que los equipos de cumplimiento deben tomar en serio: una declaración de política de IA, un comité de gobernanza o lenguaje genérico de riesgos en un informe están dejando de ser evidencia de madurez y se están convirtiendo en requisitos básicos. Lo que debe reemplazarlos es evidencia de control: la política específica que aplica a un flujo de trabajo de IA, los sistemas y datos gobernados por ella, la identidad que inició cada acción, la decisión de cumplimiento tomada y el registro de auditoría que permite a la organización reconstruir la transacción después. Para cualquier organización que venda o construya tecnología de cumplimiento, la propuesta de valor que señala este estudio es «podemos demostrar que el control funcionó», no «cumplimos la regulación».

En cuanto a soberanía, el documento es explícito al decir que no contiene pruebas empíricas de residencia de datos, localización o control jurisdiccional como predictores de rendimiento; cualquier conclusión sobre soberanía aquí es una inferencia, no un hallazgo. Pero la inferencia sigue la misma dirección que el resto del estudio: a medida que la implementación de IA se vuelve más concreta y operativa —precisamente la tendencia que documenta el documento— las organizaciones cada vez más necesitan saber no solo qué datos usa un sistema de IA, sino dónde residen esos datos, dónde se procesan, qué proveedor puede acceder a ellos y si la organización puede hacer cumplir técnicamente la respuesta. Para organizaciones reguladas, multinacionales, de salud, defensa y servicios financieros, el cumplimiento de soberanía de datos se vuelve más operativo, no menos, a medida que la IA pasa de la experimentación a la producción; no es una vía separada que corre en paralelo a la adopción de IA.

Construyendo una trazabilidad de evidencia que acepten reguladores y auditores

Si juntamos los tres hallazgos del documento —la especificidad supera al gasto, la divulgación genérica de riesgos es ahora un requisito básico, y el efecto de la concreción es más fuerte justo donde las afirmaciones de IA son más difíciles de verificar— surge un modelo operativo bastante directo para los equipos de gobernanza de IA. La madurez de la gobernanza debe medirse por el comportamiento real, no por los artefactos de gobernanza. Un comité de IA, una política de uso aceptable, una hoja de inventario y una capacitación anual pueden ser necesarios, pero ninguno de ellos, por sí solo, demuestra que el comportamiento de IA esté realmente controlado.

Un modelo basado en la filosofía de evidencia del propio estudio haría un seguimiento, para cada acción iniciada por IA o agente: la identidad que la inició, los datos específicos accedidos o modificados, el propósito de negocio que cumplió, la política o aprobación que la autorizó, la acción realmente tomada, dónde se almacenaron los datos o el resultado, la jurisdicción en la que se procesó y si la organización puede reconstruir toda esa cadena después bajo demanda. Esto no es una lista de deseos teórica: es el mismo estándar de evidencia que un regulador, un evaluador o un abogado contrario ya espera cuando piden a una organización demostrar que un acceso a datos específico fue autorizado, cifrado y registrado.

Esta es la conexión entre el estudio CMU-Larridin y el enfoque de Kiteworks hacia la IA Cumplidora y la gobernanza de IA generativa de confianza cero: aplicar control de acceso basado en atributos y decisiones de política en el punto donde un sistema de IA o una persona accede a datos sensibles, y generar un registro de auditoría unificado que pueda responder exactamente a las preguntas que el protocolo basado en evidencia del estudio exigía a las empresas evaluadas. Un Motor de Políticas de Datos que aplica esas políticas antes de que los datos lleguen a un sistema o flujo de trabajo de IA, junto con un Panel CISO que muestra lo que realmente ocurrió, convierte la gobernanza de un conjunto de documentos en el tipo de evidencia verificable y a nivel de producción que el documento identifica como económicamente relevante. Cuando la actividad de creadores y usuarios de IA pasa por un punto de integración como un Servidor MCP Seguro, esa misma trazabilidad de evidencia se extiende a las acciones iniciadas por agentes junto con las humanas, lo que importa porque el propio marco de gobernanza del estudio exige rastrear «acción humana/agente» como una sola categoría responsable, no dos separadas.

Nada de esto cambia lo que encontraron los investigadores. Simplemente significa que la infraestructura de cumplimiento de datos y gobernanza no es un impuesto sobre la adopción de IA, sino lo que hace sostenible el tipo de implementación verificable y a nivel de producción que el estudio premia, una vez que reguladores, clientes y auditores empiezan a pedir ver la evidencia y no solo el anuncio.

Si hay una acción clave en todo esto, no es «escribe una mejor política de IA» ni «consigue una puntuación más alta en un índice de madurez». Los equipos de seguridad y cumplimiento deben centrarse en la capa de datos: quién o qué la tocó, bajo qué autorización y si eso puede demostrarse después. Todo lo demás en los hallazgos del estudio —y en este análisis— deriva de ese único punto.

Para saber más sobre cómo construir una base basada en evidencia para la gobernanza y el cumplimiento de IA, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog
  Estrategias Zero‑Trust para una protección de privacidad de IA asequible
• Artículo del Blog
  El 77% de las organizaciones fracasa en la seguridad de datos de IA
• eBook
  Brecha de gobernanza de IA: por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025
• Artículo del Blog
  No existe «–dangerously-skip-permissions» para tus datos
• Artículo del Blog
  Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.