Durante los últimos años hemos asistido a uno de los procesos de adopción tecnológica más rápidos que recuerda el ámbito empresarial. La irrupción de los LLMs (Large Language Models) modificó en cuestión de meses la relación de los profesionales con la inteligencia artificial (IA) y alteró prioridades de inversión, modelos operativos y estrategias de innovación. La primera etapa estuvo dominada por la experimentación individual dando paso a inversiones en licencias corporativas, las primeras políticas internas y los proyectos de automatización apoyados en plataformas de orquestación. Finalmente, durante 2025 y 2026, el protagonismo pasó a los agentes autónomos capaces de interactuar con aplicaciones empresariales, consultar múltiples fuentes de información y ejecutar acciones con distintos grados de supervisión.

Sin embargo, superada la fase inicial de entusiasmo, la conversación ha cambiado. La cuestión ya no consiste en determinar si una organización debe incorporar IA, sino cómo hacerlo de forma sostenible, segura y alineada con sus objetivos estratégicos.

De la experimentación a la “inteligencia aumentada corporativa”

Uno de los principales aprendizajes ha sido comprobar que la mera disponibilidad de tecnología no garantiza mejoras de productividad. Las iniciativas que más éxito han tenido han sido aquellas que han podido ser integradas en procesos concretos, con indicadores definidos y mecanismos claros de supervisión. Los repositorios inconexos de “prompts”, los pilotos permanentes y las automatizaciones excesivamente rígidas han dejado paso a plataformas corporativas más cohesionadas. La innovación ya no se mide por el número de herramientas desplegadas, sino por la capacidad de generar impacto operativo y conocimiento reutilizable. Del mismo modo, el debate ha evolucionado desde la comparación entre modelos (poco a poco se han ido acortando distancias en modelos competidores) hacia una reflexión más madura sobre qué problemas merece la pena resolver mediante IA y cuáles continúan requiriendo criterio humano especializado.

La llegada de los agentes y una nueva responsabilidad operativa

La aparición de los agentes autónomos ha transformado la automatización empresarial cogiendo el testigo de las herramientas, que tradicionalmente han estado basadas en flujos secuenciales, hacia la evolución de sistemas capaces de planificar tareas, tomar decisiones acotadas y adaptarse dinámicamente al contexto. No obstante, esta evolución incrementa la necesidad de gobierno ya que un agente con acceso a sistemas corporativos constituye una nueva identidad digital privilegiada y esta debe ser debidamente inventariada, auditada y sometida a controles equivalentes a los aplicados sobre usuarios con acceso crítico.

De esta forma, la pregunta relevante ya no es si una tarea puede automatizarse, sino si existen garantías suficientes para hacerlo de forma trazable, reversible y segura.

El coste oculto de la revolución de la IA

La dimensión económica ha sido uno de los elementos menos analizados durante la primera ola de adopción. El incremento del gasto en licencias, consumo de tokens y servicios cloud ha obligado a numerosas organizaciones a revisar sus expectativas iniciales. La automatización puede acelerar procesos y reducir tiempos de ejecución, pero la sostenibilidad financiera exige evaluar el coste total de las inversiones realizadas en IA. No todos los casos de uso generan unos retornos notables ni justifican inversiones continuadas. La madurez empresarial pasa por abandonar la lógica del «despliegue indiscriminado» y priorizar aquellas iniciativas capaces de demostrar valor real, medible y mantenible en el tiempo.

De la nube al retorno parcial hacia la IA local

La preocupación por la privacidad, la soberanía del dato y la dependencia tecnológica ha impulsado un renovado interés por los modelos ejecutados sobre infraestructuras propias. La disponibilidad de modelos abiertos más eficientes ha democratizado el acceso a capacidades avanzadas, aunque ha trasladado parte del esfuerzo económico hacia el hardware especializado. GPUs, almacenamiento, consumo energético y mantenimiento operativo forman ahora parte de la ecuación para cualquier organización que quiera plantearse cualquier estrategia de uso de IA local. No existe una formula mágica ni respuesta universal sobre cuál debe ser la forma óptima de abordarlo, ya que mientras que para determinadas organizaciones la nube seguirá representando la opción más eficiente, para otras, la ejecución local proporcionará ventajas estratégicas difíciles de obtener mediante servicios externos. La clave reside en seleccionar el modelo adecuado para cada necesidad y no en adoptar posiciones dogmáticas.

Shadow AI y uso responsable

El denominado “Shadow AI” ha evolucionado desde una amenaza percibida hacia una realidad operativa. En muchos casos, los empleados recurrieron en un principio al uso de herramientas públicas/comerciales porque las alternativas corporativas simplemente no existían. La experiencia acumulada demuestra que la prohibición absoluta resulta ineficaz. Las organizaciones más maduras están apostando por modelos que habiliten de forma responsable a los empleados en base a formación, clasificación de la información, plataformas aprobadas y supervisión continua. La alfabetización en IA comienza a ocupar un papel equivalente al de la concienciación tradicional en ciberseguridad.

Nuevos riesgos de ciberseguridad

Las identidades no humanas asociadas a agentes y automatizaciones requieren mecanismos específicos de control. Las técnicas de «prompt injection», la «manipulación del contexto» y la dependencia excesiva de determinados proveedores han dejado de ser riesgos teóricos para convertirse en escenarios plausibles. La trazabilidad adquiere una relevancia esencial de manera que toda decisión automatizada, que afecte a procesos críticos, debe poder explicarse, auditarse y revertirse. La confianza en la IA no puede construirse sobre «cajas negras inaccesibles» para la organización.

Regulación, Innovación y Sostenibilidad: de la adopción voluntaria al gobierno exigible

La evolución normativa europea está acelerando la profesionalización de estas prácticas. Inventariar sistemas de IA, asignar responsables funcionales y establecer mecanismos continuos de evaluación del riesgo dejará de ser una recomendación para convertirse en una necesidad operativa. Lejos de limitar la innovación, la regulación está favoreciendo modelos más transparentes, sostenibles y alineados con la gestión corporativa del riesgo. La convergencia entre innovación, cumplimiento y ciberseguridad constituye uno de los principales rasgos de esta nueva etapa.

La madurez de la IA en el ámbito empresarial no puede analizarse al margen del contexto regulatorio. Durante la primera fase de adopción, muchas organizaciones comenzaron a utilizar modelos generativos, automatizaciones y asistentes inteligentes en un entorno todavía poco definido desde el punto de vista normativo. Sin embargo, actualmente nos encontramos en otro escenario, que además está cambiando de forma acelerada por necesidades de la evolución de la propia tecnología. El Reglamento Europeo de Inteligencia Artificial AI Act (Reglamento UE 2024/1689) entró en vigor el 1 de agosto de 2024 y su aplicación se está desplegando progresivamente. Desde febrero de 2025 ya aplican determinadas disposiciones generales, incluidas las relativas a alfabetización en IA y prácticas prohibidas, mientras que las obligaciones asociadas a modelos de propósito general comenzaron a desplegarse en agosto de 2025. La plena aplicación del marco se articula de forma escalonada hasta 2026 y 2027, dependiendo del tipo de sistema y de su nivel de riesgo. El 2 de agosto de 2026 marca una fecha especialmente relevante para las empresas, ya que a partir de ese momento empieza a ser aplicable la mayor parte del marco regulatorio, incluidas obligaciones vinculadas a transparencia y determinados sistemas de IA.

También debe tenerse en cuenta el Cyber Resilience Act, que introduce requisitos de ciberseguridad para productos con elementos digitales. Este reglamento entró en vigor el 10 de diciembre de 2024; sus obligaciones de notificación comenzarán a aplicarse desde septiembre de 2026 y el grueso de sus requisitos será exigible a partir de diciembre de 2027. Su relevancia será creciente para fabricantes, integradores y proveedores de soluciones tecnológicas que incorporen software, conectividad o componentes basados en IA.

Este contexto regulatorio no debe interpretarse únicamente como una carga de cumplimiento puesto que si se gestiona debidamente, puede convertirse en un factor de madurez e innovación responsable. Inventariar sistemas de IA, clasificar casos de uso, documentar flujos de datos, evaluar riesgos, definir responsables funcionales y establecer controles de supervisión humana dejarán de ser buenas prácticas voluntarias para convertirse en capacidades estructurales. La convergencia entre innovación, ciberseguridad, cumplimiento normativo y sostenibilidad operativa será, por tanto, uno de los elementos diferenciales de los próximos años. Las organizaciones que integren estos criterios desde el diseño estarán mejor posicionadas para adoptar IA con garantías, evitar dependencias tecnológicas innecesarias y demostrar confianza ante clientes, reguladores y socios estratégicos.

Conclusiones

La principal lección aprendida desde la irrupción de los LLM hasta la consolidación de los agentes autónomos es que la ventaja competitiva no pertenece a quienes automatizan más rápido, sino a quienes consiguen automatizar de forma segura, comprensible y económicamente sostenible. La madurez de la inteligencia artificial no se medirá por el número de agentes desplegados ni por el volumen de procesos automatizados, sino por la capacidad de las organizaciones para integrar estas tecnologías con criterios de gobierno, resiliencia y visión estratégica a largo plazo.

Etxahun Sanchez Bazterretxea

Área de Innovación