El AI Pulse Poll 2026 de ISACA revela que muchas organizaciones aún carecen de visibilidad, responsables definidos y capacidad para responder ante incidentes relacionados con inteligencia artificial, mientras los atacantes ya aprovechan esta tecnología para acelerar sus operaciones.
Ejes de análisis
- La gobernanza no sigue el mismo ritmo
- Un desafío que también alcanza a Ecuador
Más de la mitad de los profesionales de confianza digital consultados por ISACA no sabe cuánto tiempo le tomaría a su organización detener un sistema de inteligencia artificial si se produjera un incidente de seguridad. El dato, recogido en el AI Pulse Poll 2026, resume una brecha que crece a medida que las empresas incorporan IA sin desarrollar al mismo ritmo sus capacidades de supervisión, respuesta y control.
El estudio global reunió las respuestas de más de 3.400 profesionales de auditoría, ciberseguridad, privacidad y gobernanza. ISACA también publicó un análisis específico para Europa, basado en 681 participantes, que muestra cómo la adopción de esta tecnología convive con vacíos de visibilidad y preparación.
Chris Dimitriadis, director de Estrategia Global de ISACA, señala que la IA ha modificado el panorama de amenazas: quienes atacan pueden automatizar tareas, probar distintas variantes y ejecutar campañas con mayor rapidez, mientras las organizaciones siguen sujetas a procesos internos de aprobación, responsabilidades distribuidas y controles que no siempre fueron diseñados para esta tecnología.
El problema no es únicamente la velocidad de los ataques. En Europa, el 35% de los profesionales consultados no pudo determinar si su organización había sido afectada por un ciberataque impulsado por IA. La cifra evidencia una brecha de visibilidad: antes de responder a una amenaza, la empresa necesita reconocer que ocurrió y establecer cómo intervino la inteligencia artificial.
La gobernanza no sigue el mismo ritmo
Los resultados muestran que la asimetría no se resuelve solamente con más herramientas de seguridad. También requiere reglas internas, responsables definidos y capacidad para reconstruir las decisiones tomadas por los sistemas de IA.
Solo el 18% de las organizaciones exige y hace cumplir la declaración del uso de IA en los productos de trabajo. Otro 20% cuenta con ese requisito, pero no lo aplica de manera consistente, mientras que el 32% no tiene ninguna disposición al respecto.
Tampoco está claro quién debe responder cuando un sistema causa un daño o toma una decisión incorrecta. Uno de cada cinco participantes no pudo identificar al responsable final y solo el 38% ubicó esa rendición de cuentas en el directorio o en un ejecutivo de alto nivel.
La supervisión humana está presente, aunque de manera desigual. El 36% señala que las acciones generadas por IA reciben aprobación humana antes de ejecutarse y otro 26% indica que determinadas decisiones o patrones son revisados después. Estos controles conviven con vacíos de trazabilidad y con una capacidad limitada para explicar lo ocurrido: menos de la mitad confía en que su organización podría investigar y presentar un incidente grave de IA ante la alta dirección o un regulador, y apenas el 11% se considera completamente preparado para hacerlo.
Un desafío que también alcanza a Ecuador
Aunque los resultados combinan una encuesta global con un análisis específico de Europa, el problema también plantea interrogantes para América Latina. En Ecuador, las organizaciones incorporan IA en actividades como atención al cliente, automatización, generación de contenidos y análisis de información. El riesgo aparece cuando esa adopción no está acompañada por un inventario de las herramientas utilizadas, controles sobre los datos ingresados, responsables definidos y procedimientos para detener o aislar un sistema ante un incidente.
La regulación internacional avanza precisamente sobre estos aspectos. El Reglamento de Inteligencia Artificial de la Unión Europea establece obligaciones diferenciadas según el nivel de riesgo e incorpora requisitos relacionados con documentación, supervisión humana, trazabilidad y responsabilidades.
Ecuador también ha comenzado a construir su hoja de ruta. En enero de 2026 se expidió oficialmente la Estrategia para el Fomento del Desarrollo y Uso Ético y Responsable de la Inteligencia Artificial, mientras continúa pendiente una regulación integral de esta tecnología.
El diagnóstico de ISACA deja una advertencia aplicable al país: incorporar IA no es suficiente. Las organizaciones necesitarán saber qué sistemas utilizan, qué información procesan, quién responde por sus decisiones y cómo actuar cuando algo sale mal. La diferencia entre adoptar la tecnología y gobernarla estará en la capacidad de mantener control, trazabilidad y seguridad durante todo su uso.
