Radar de Riesgos Corporativos 2026: La Brecha en la Gobernanza de IA Ahora Es un Problema de Seguridad de Datos

La confianza no es lo mismo que el control, y la última lectura sobre el riesgo corporativo global muestra que esa distancia se está ampliando rápidamente. Corporate Risk Radar 2026 de Clyde & Co encuestó a 700 altos responsables de la toma de decisiones, incluidos CEOs, CFOs, asesores jurídicos generales y miembros de juntas directivas, en diez sectores y ocho regiones. Las organizaciones representadas en el estudio no son pequeñas: los encuestados reportaron un promedio de facturación anual de USD 14,7 mil millones. Cuando los líderes que dirigen empresas de ese tamaño afirman que el riesgo tecnológico y regulatorio está creciendo más rápido de lo que la gobernanza puede seguir el ritmo, conviene prestar mucha atención.

La cifra principal del informe es el riesgo tecnológico, que saltó del 46% al 86% en calificaciones de alto impacto en un solo año, el mayor aumento interanual de cualquier categoría que mide la encuesta. Clyde & Co atribuye este salto directamente a que la adopción de IA pasó de ser una consideración futura a una realidad operativa integrada en la gestión diaria de las organizaciones. Ese cambio tiene consecuencias que van mucho más allá del departamento de TI, transformando la manera en que los datos circulan dentro de la empresa, quién accede a ellos y cuánto de ese acceso ahora depende de proveedores externos.

Para los equipos de seguridad de datos y cumplimiento, este informe se lee menos como una advertencia sobre un riesgo lejano y más como una descripción de problemas que ya tienen sobre la mesa: una brecha cada vez mayor entre la ambición de gobernanza de IA y la capacidad real para gobernarla, una carga de cumplimiento que se fragmenta más rápido de lo que los equipos legales pueden rastrear y una función tecnológica más entrelazada que nunca con terceros. El intercambio seguro de datos de Kiteworks existe precisamente para cerrar esa brecha, y este informe ofrece una imagen clara y respaldada por datos de por qué se abrió esa distancia en primer lugar.

Conclusiones clave

1. El riesgo tecnológico registró el mayor aumento jamás visto en la encuesta. El 86% de los ejecutivos globales ahora califica el riesgo tecnológico como de alto impacto, frente al 46% del año anterior, un salto de 40 puntos porcentuales que superó a todas las demás categorías de riesgo analizadas.
2. La confianza va muy por delante de la madurez de la gobernanza. El 88% de los líderes dice sentirse preparado para minimizar el riesgo tecnológico, pero solo el 68% cuenta con un marco de gobernanza de IA maduro y el 76% afirma que la regulación de IA, privacidad de datos y ciberseguridad evoluciona más rápido de lo que su organización puede asimilar.
3. La adopción de IA está concentrando el riesgo en dependencias de terceros. A medida que las organizaciones integran la IA en sus operaciones principales, dependen más de un grupo reducido de proveedores tecnológicos y quedan más expuestas en los puntos de integración entre sistemas, convirtiendo las relaciones con proveedores y el intercambio de datos en una superficie de ataque principal.
4. El riesgo regulatorio y el reputacional están convergiendo. El 85% de los líderes califica la carga regulatoria y de cumplimiento como de alto impacto, frente al 54% del año pasado, y el 82% afirma que las obligaciones de cumplimiento ya están limitando su capacidad de invertir y crecer.
5. La gobernanza diseñada para las reglas del año pasado no sirve para este. Las organizaciones que están cerrando la brecha tratan la gobernanza de IA como infraestructura, no solo como política, construyendo controles exigibles sobre dónde va la información sensible, quién y qué puede acceder a ella y cómo se registra y prueba cada interacción.

El riesgo tecnológico acaba de dar el mayor salto en la historia de la encuesta

El riesgo tecnológico no aumentó poco a poco este año. Se disparó. Clyde & Co descubrió que el 86% de los encuestados ahora califica el riesgo tecnológico como de alto impacto, frente al 46% en 2025, y el informe lo señala como el mayor aumento interanual en todas las categorías de riesgo medidas. El riesgo operativo siguió una tendencia similar, subiendo del 61% al 86%, y ambas tendencias están relacionadas: a medida que la IA se integra en las operaciones diarias, los fallos tecnológicos y los fallos operativos aparecen cada vez más como el mismo evento.

No se trata de un problema limitado a TI, y Clyde & Co lo dice explícitamente. La adopción de IA ha reestructurado la dependencia y la vulnerabilidad en toda la organización, haciéndolas más dependientes de un grupo concentrado de proveedores tecnológicos externos, más expuestas en los puntos de integración entre sistemas y más susceptibles a los fallos en cascada que crea la interconexión. Los líderes dijeron a los investigadores que la implementación tecnológica y la integración de sistemas es ahora su mayor factor de riesgo operativo, citado por el 72% de los encuestados.

Esa combinación, adopción rápida de IA más dependencia concentrada de terceros, es el patrón que ha llevado a la gobernanza de datos de IA de ser un simple requisito de cumplimiento a una preocupación de nivel directivo. Un modelo de lenguaje grande, un agente de IA o una canalización de generación aumentada por recuperación solo es tan seguro como los canales de datos que lo alimentan, y la mayoría de las organizaciones construyeron esos canales para un mundo donde las decisiones sobre quién veía qué las tomaban personas, no sistemas automatizados. La clasificación de datos aplicada al contenido que procesan esas canalizaciones —etiquetando archivos y registros según su sensibilidad antes de que entren en cualquier flujo de trabajo de IA— es el requisito previo que hace que la gobernanza de acceso sea significativa y no solo aproximada.

Dónde divergen la confianza y la capacidad

Uno de los hallazgos más reveladores del Corporate Risk Radar está en la distancia entre dos cifras. El 76% de los líderes afirma que la regulación de IA, privacidad de datos y ciberseguridad, junto con los requisitos de cumplimiento asociados, están evolucionando rápidamente. Solo el 68% dice contar con un marco de gobernanza de IA maduro para gestionar ese cambio. La mitad de los encuestados, el 51%, considera que una gobernanza débil sobre la adopción de tecnologías emergentes, incluidos los controles de IA, probablemente supondrá un riesgo importante para su organización en el próximo año.

Aun así, el 88% de los líderes dice sentirse preparado para minimizar el riesgo tecnológico en general. El propio análisis de Clyde & Co señala directamente la tensión, indicando que la cifra «puede sugerir que la confianza va por delante de la madurez en algunas organizaciones». Es una forma diplomática de describir una brecha de gobernanza que muchos directivos aún no han valorado por completo.

Este patrón resultará familiar a cualquiera que haya seguido un ciclo regulatorio antes. Jan Spittka, socio de Clyde & Co, lo compara en el informe con el GDPR: «Lo que estamos viendo con la gobernanza de IA es exactamente lo que vimos con el GDPR: aunque en papel todos debían cumplir, las organizaciones se tomaron su tiempo y valoraron su inversión, porque los reguladores dejaron claro que al principio su papel era más asesor que sancionador». El riesgo es que, esta vez, el periodo de gracia sea más corto y las consecuencias, dada la cantidad de información sensible que ahora circula por sistemas de IA, sean mucho más graves. Una evaluación formal de riesgos que mapee los flujos actuales de datos de IA frente a los controles de gobernanza existentes —y cuantifique la distancia entre la política documentada y el control exigible y auditable— es la base de evidencia que convierte la divergencia confianza-madurez de un hallazgo abstracto de encuesta en una hoja de ruta de remediación priorizada y lista para la junta directiva.

Tim Crockford, otro socio de Clyde & Co citado en el informe, plantea el reto operativo con claridad: «Cuando preguntas si las organizaciones tienen un marco de gobernanza de IA maduro, algunas dirán que sí hoy, pero mañana ya estará desactualizado. Por eso el marco de gobernanza que acompaña a la IA debe evolucionar al ritmo de la tecnología, y las organizaciones deben entender cuándo se usa, cómo se usa y tener pasos definidos para evitar un uso indebido». Esa es una descripción de gobernanza de datos continua y exigible, no de un documento que se revisa una vez al año.

Cerrar esa brecha requiere una infraestructura capaz de responder, en tiempo real, a tres preguntas: qué contenido sensible se está moviendo, a dónde va y si el destino, ya sea humano o sistema de IA, está autorizado para recibirlo. Esa es la función para la que está diseñada Kiteworks Compliant AI, que aplica la política justo en el punto donde los datos sensibles se encuentran con el modelo o agente de IA, en vez de depender de auditorías posteriores para detectar problemas después de que ocurran.

La dependencia de terceros se convierte en la superficie de ataque por defecto

Un tema recurrente en el informe es que el riesgo se importa cada vez más, en lugar de generarse internamente. A medida que la adopción de IA se acelera, las organizaciones se concentran en un número menor de proveedores tecnológicos críticos, y cada una de esas relaciones es un posible punto de fallo. El asesor jurídico general de una firma global de servicios profesionales lo resume bien en el informe: «La IA claramente crea oportunidades de crecimiento, pero también amplía la superficie de ataque y los retos de gobernanza».

Clyde & Co también destaca una relación bidireccional entre la inestabilidad geopolítica y la exposición tecnológica. A medida que aumentan las tensiones geopolíticas, los actores estatales hostiles apuntan cada vez más a infraestructuras críticas de datos y explotan vulnerabilidades en sistemas en rápida transformación, mientras que la aceleración de la adopción de IA crea nuevas superficies de ataque antes de que los controles de seguridad estén al día. Un Chief Strategy Officer del sector marítimo, citado en el informe, lo explica desde la perspectiva de su industria: «Muchas empresas marítimas ahora dependen en gran medida de los datos y los sistemas conectados, lo que significa que el riesgo cibernético es mucho más significativo que hace una década». El informe señala que este patrón de dependencia, donde la capacidad digital genera valor operativo y al mismo tiempo amplía la vulnerabilidad, se repite en construcción, finanzas, servicios profesionales y más allá.

Este es el problema que los programas de administración de riesgos de terceros fueron diseñados para resolver, pero la mayoría de estos programas se basaban en cuestionarios a proveedores y auditorías periódicas, no en el volumen y la velocidad de intercambio de datos que generan los sistemas modernos de IA. Cada archivo compartido con un despacho externo, cada conjunto de datos subido a un servicio de IA en la nube y cada llamada API entre sistemas internos y la plataforma de un proveedor es un evento de intercambio de datos que necesita controles de acceso, cifrado y un registro de auditoría asociado. Sin esa instrumentación, las organizaciones extienden la confianza a una red creciente de terceros sin una forma fiable de comprobar que esa confianza está justificada. Los programas de gestión de riesgos de la cadena de suministro que extienden formalmente esta instrumentación a cada canal de intercambio de datos de los proveedores —no solo a los contratos principales de servicios en la nube— cierran la brecha de superficie de ataque de terceros que el informe identifica como la nueva categoría dominante de riesgo operativo.

Un enfoque de arquitectura de confianza cero, en el que cada solicitud de acceso se verifica sin importar su origen, permite a las organizaciones extender la gobernanza a las interacciones con terceros y con IA sin ralentizar el negocio. Ese principio se aplica igual de directamente a las implementaciones de IA generativa de confianza cero, donde el propio modelo y cualquier agente que actúe sobre sus resultados deben estar sujetos al mismo estándar de verificación que un usuario humano que solicita acceso a contenido confidencial.

La fragmentación regulatoria supera la capacidad de los equipos legales

Si el riesgo tecnológico experimentó el mayor salto individual, la carga regulatoria y de cumplimiento le sigue de cerca y es, posiblemente, más difícil de gestionar, porque no es un solo problema sino docenas de cuestiones superpuestas. El informe señala que el 85% de los líderes ahora califica la carga regulatoria y de cumplimiento como de alto impacto, frente al 54% en 2025. Nuevos requisitos relacionados con inteligencia artificial, privacidad de datos, reportes ESG y normativas sectoriales específicas están llegando rápidamente y de forma inconsistente en distintas jurisdicciones. La complejidad regulatoria transfronteriza ya es un factor de riesgo importante para el 51% de las organizaciones, y la carga de cumplimiento en ESG, datos y privacidad es significativa para el 64%.

Las consecuencias no son abstractas. El 82% de los líderes afirma que el aumento de las obligaciones regulatorias y de cumplimiento está influyendo de manera tangible en la capacidad de su organización para invertir y crecer. Rebecca Kelly, socia de Clyde & Co, describe la dificultad práctica para los clientes en el informe: «El cumplimiento basado en procesos es manejable, estableces el marco y lo sigues. El reto para los clientes es prepararse para el riesgo geopolítico, que surge sin previo aviso y afecta a partes del negocio que no anticiparías». Jared Kangwana, también socio de Clyde & Co, apunta directamente a la dimensión transfronteriza: «Una regulación en Europa puede tener efecto, digamos, en Kenia. Las organizaciones deben considerar el alcance transfronterizo y la exigibilidad de la regulación extranjera en un mercado completamente diferente».

Este es el entorno en el que los requisitos de soberanía de datos y residencia de datos dejan de ser un problema del equipo legal y pasan a ser una necesidad de infraestructura. Cuando un solo contenido, un contrato, un historial clínico o una presentación regulatoria puede estar sujeto al GDPR en una jurisdicción, a normativas sectoriales en otra y a controles de exportación en una tercera, la plataforma que gestiona ese contenido debe aplicar automáticamente esas reglas en vez de depender de que los empleados recuerden qué política aplica en cada caso. Las obligaciones de cumplimiento del GDPR y los requisitos estatales de EE. UU. ya exigen este tipo de aplicación automatizada, y el informe sugiere que la lista de regímenes superpuestos que las organizaciones deben cumplir simultáneamente no deja de crecer. Las políticas de minimización de datos aplicadas en la capa de la plataforma —conservando solo los datos que cada jurisdicción exige estrictamente y eliminando lo innecesario— reducen la superficie regulatoria que las organizaciones deben rastrear y defender en múltiples marcos de cumplimiento concurrentes.

El riesgo regulatorio también conlleva un problema de visibilidad en la alta dirección que el informe señala directamente. A pesar de estar entre las áreas de riesgo más valoradas, la carga regulatoria solo es citada por el 14% de los ejecutivos de nivel C como el área que más atención de la alta dirección requirió el último año, por detrás de los retos operativos, el riesgo tecnológico y el riesgo económico. Roshanak Bassiri Gharb, socia de Clyde & Co, ofrece una explicación probable: «el riesgo regulatorio y de cumplimiento suele estar más abajo en la agenda ejecutiva, los líderes suelen sentir que es algo que deben gestionar los técnicos». Esa delegación implica su propio riesgo. Cuando la gestión regulatoria está demasiado alejada de la sala de juntas, el informe advierte que la rendición de cuentas se vuelve reactiva en vez de proactiva, y el margen de respuesta ante una brecha real de datos es más estrecho de lo que la mayoría de las organizaciones asume.

El riesgo reputacional es ahora consecuencia directa de los fallos de datos

Los fallos operativos y tecnológicos se convierten rápidamente en daños reputacionales, y el informe traza una línea directa entre ambos que pasa por la gestión de los datos. El riesgo reputacional ahora es considerado de alto impacto por el 78% de los líderes, frente al 47% en 2025, impulsado principalmente por fallos de servicio y calidad que dañan la confianza (69%), presión de inversores (60%) y fallos de gobernanza y conducta (57%). Un asesor jurídico general del sector financiero, citado en el informe, lo explica claramente: «Un incidente cibernético o una filtración de datos podría interrumpir fácilmente nuestros servicios al cliente, generar problemas regulatorios y dañar la confianza que nuestros clientes tienen en nosotros. Nuestra calidad de servicio y nuestros reportes dependen de que los sistemas y los proveedores externos funcionen de manera fiable».

Esa sola frase resume por qué la seguridad de datos, el cumplimiento regulatorio y la reputación ya no pueden gestionarse como flujos de trabajo separados. Una brecha que involucre PII/PHI no se queda en un simple informe de incidente de seguridad. Activa obligaciones de notificación, atrae el escrutinio regulatorio y, si se hace pública, daña la confianza de los clientes, inversores y reguladores que la organización más necesita durante un periodo de riesgo elevado. Rebecca Kelly señala en el informe que «la mayoría de las infracciones regulatorias graves surgen de no informar», y que «las empresas tienen plazos muy cortos para informar y actuar en el mejor interés de la compañía», con consecuencias reputacionales que «pueden ser inmediatas y hacerse públicas». Un plan documentado de respuesta a incidentes que asigne de antemano la evaluación del alcance de los datos, la notificación regulatoria y las responsabilidades de divulgación pública —y que se pruebe con escenarios reales antes de que un incidente obligue a improvisar— es el mecanismo organizativo que convierte las advertencias del informe sobre plazos de divulgación en una respuesta ejecutable y practicada.

Prevenir esa cascada empieza antes, con controles que reduzcan las probabilidades del fallo subyacente desde el principio. Las políticas de DLP, el cifrado de extremo a extremo y los controles granulares de RBAC disminuyen la probabilidad de que el contenido sensible termine donde no debe. Pero cuando ocurre un incidente, los registros de auditoría generados por una plataforma de transferencia segura de archivos gobernada suelen ser lo que determina si la organización puede cumplir con un plazo de notificación, como la ventana de 72 horas que exige el GDPR para notificar a los reguladores, con confianza, o si pasa ese tiempo intentando reconstruir lo sucedido. Alimentar esos registros de auditoría en tiempo real a una plataforma SIEM proporciona al equipo de seguridad la capa de detección de comportamiento que identifica movimientos de datos anómalos —la alerta temprana que reduce el tiempo entre que ocurre una brecha y el inicio del reloj de notificación.

Qué hacen diferente las organizaciones resilientes

El hallazgo más útil del Corporate Risk Radar puede ser el más claro: las organizaciones que tratan la gobernanza de IA, el cumplimiento regulatorio y la seguridad de datos como una sola disciplina conectada superan a las que aún los gestionan en silos. Casi seis de cada diez líderes de nivel C describen la complejidad de los riesgos emergentes como la mayor barrera para gestionarlos eficazmente, más del doble que la siguiente respuesta más común. Esa complejidad no se resolverá con mejores hojas de cálculo ni con más reuniones de comité.

El camino a seguir que describe el informe coincide con lo que Kiteworks observa a diario en sectores regulados: liderazgo ejecutivo en la gestión del riesgo de IA, con controles claros, marcos de escalamiento y estructuras de responsabilidad, en vez de delegar el problema por completo a los equipos tecnológicos o legales. En la práctica, esto significa establecer políticas claras de uso aceptable, responsabilidad ejecutiva definida, registros de auditoría para decisiones importantes y supervisión adecuada de los proveedores de IA de terceros, exactamente los elementos que el informe señala como necesarios para cerrar la brecha de gobernanza de IA. La IA en la sombra —empleados y directivos usando herramientas de IA no gobernadas fuera del perímetro autorizado— es la brecha que estos elementos cierran más directamente: las políticas de uso aceptable definen el límite, los registros de auditoría prueban qué lo cruzó y la supervisión de proveedores de IA de terceros identifica las herramientas que nunca estuvieron incluidas en el alcance original de la política.

Un Kiteworks Control Plane ofrece a las organizaciones un único punto de aplicación y visibilidad en todos los canales por donde circula contenido sensible: correo electrónico, uso compartido de archivos, transferencia gestionada de archivos, formularios web y conexiones con sistemas de IA, de modo que las mismas políticas de acceso, cifrado y registro se apliquen en todas partes y no varíen según la herramienta o el equipo. El CISO Dashboard muestra todo esto en tiempo real, brindando tanto a los equipos de seguridad como a la alta dirección la visibilidad unificada que el informe identifica como ausente en la mayoría de las organizaciones que gestionan la brecha de gobernanza de IA hoy en día. En lugar de construir una capa de gobernanza separada para cada nuevo caso de uso de IA, los equipos de seguridad y cumplimiento pueden extender un solo conjunto de controles para cubrirlos todos, cerrando exactamente la brecha entre el ritmo regulatorio y la madurez de la gobernanza que el Corporate Risk Radar de este año identifica como el riesgo central de 2026.

Para saber más sobre cómo cerrar la brecha de gobernanza de IA identificada en el Corporate Risk Radar 2026 de Clyde & Co, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog
  Estrategias de confianza cero para una protección de privacidad de IA asequible
• Artículo del Blog
  Cómo el 77% de las organizaciones está fallando en la seguridad de datos de IA
• eBook
  Brecha de gobernanza de IA: por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025
• Artículo del Blog
  No existe «–dangerously-skip-permissions» para tus datos
• Artículo del Blog
  Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.