Solo el 30% de las empresas españolas controla sus datos de IA
Un estudio de Red Hat detecta carencias en la trazabilidad de la información, la supervisión de proveedores y el control de las dependencias de software.
La inteligencia artificial está ganando protagonismo en las empresas españolas, pero su expansión plantea nuevos desafíos relacionados con la seguridad, la gestión de datos y el cumplimiento normativo. Un estudio de Red Hat revela que solo el 30 % de los responsables tecnológicos consultados en España afirma conocer con precisión dónde se almacenan y procesan los datos que utilizan sus sistemas de inteligencia artificial.
El informe también identifica una diferencia entre la confianza empresarial en la seguridad de estas herramientas y la capacidad real de supervisar su funcionamiento. Aunque el 85 % de los directores de tecnologías de la información (CIO) encuestados confía en que sus agentes de IA funcionan de manera segura y conforme a la normativa, muchas organizaciones reconocen limitaciones en la trazabilidad de los datos y en el control de sus proveedores tecnológicos.
Los resultados, publicados por Europa Press el 28 de octubre de 2026, muestran que la adopción de la IA debe acompañarse de medidas de gobernanza, auditoría y supervisión continua.
La inteligencia artificial avanza más rápido que su supervisión
La investigación de Red Hat, elaborada por Censuswide con la participación de 1.400 directores de tecnologías de la información de 14 países, analiza la adopción de la IA empresarial y los riesgos relacionados con su utilización.
Entre las organizaciones españolas incluidas en la muestra, el 100 % declaró utilizar agentes autónomos de inteligencia artificial. Este dato se refiere a las empresas participantes en el estudio y no significa que todas las compañías españolas utilicen esta tecnología.
Los agentes de IA son sistemas capaces de realizar tareas y ejecutar determinadas acciones con distintos grados de autonomía. Pueden integrarse en procesos empresariales, consultar información, utilizar herramientas y colaborar en actividades que anteriormente requerían una intervención humana más directa.
Su implantación puede facilitar la automatización de procesos y mejorar la productividad. Sin embargo, también obliga a las organizaciones a conocer qué información utilizan estos sistemas, qué permisos tienen y con qué plataformas o servicios externos intercambian datos.
Cuando estos aspectos no están suficientemente controlados, la empresa puede tener dificultades para detectar accesos indebidos, reconstruir el recorrido de la información o demostrar que cumple sus obligaciones de protección de datos.
Solo tres de cada diez empresas conocen completamente sus flujos de datos
Uno de los principales hallazgos del estudio es que únicamente el 30 % de los CIO españoles consultados afirma tener una visión precisa de los flujos de datos de su organización y conocer dónde se almacenan y procesan.
El 47 % reconoce pequeñas carencias en la visibilidad de esos flujos, mientras que el 22 % admite haber implantado funcionalidades de inteligencia artificial sin comprender completamente cómo circula la información utilizada.
Además, el 1 % de los encuestados declara tener una visión muy limitada sobre dónde se almacenan los datos.
Estas cifras ponen de relieve la importancia de disponer de inventarios actualizados, registros de actividad y herramientas que permitan seguir el recorrido de la información. Para gestionar adecuadamente una solución de IA, no basta con saber qué herramienta se utiliza: también es necesario conocer qué datos procesa, qué servicios intervienen y dónde se ejecutan las operaciones.
La visibilidad resulta especialmente importante cuando los sistemas empresariales se conectan con plataformas en la nube, aplicaciones externas y modelos de inteligencia artificial de distintos proveedores.
La cadena de suministro de software también presenta riesgos
El informe señala deficiencias en el conocimiento de los componentes de software que utilizan las organizaciones. Solo el 22 % de los responsables tecnológicos españoles consultados afirma disponer de una visión exhaustiva de las dependencias directas e indirectas de su cadena de suministro de software.
Las dependencias son los componentes que necesita una aplicación para funcionar. Pueden incluir bibliotecas, frameworks, paquetes de código abierto y otras herramientas desarrolladas por terceros. Una aplicación puede incorporar varios niveles de dependencias, por lo que una vulnerabilidad en un componente indirecto también puede afectar al sistema final.
El 78 % de los encuestados reconoce que no evalúa eficazmente las dependencias indirectas. Esta limitación puede dificultar la identificación del origen de una vulnerabilidad y la determinación de qué aplicaciones deben actualizarse.
El estudio también indica que el 79 % de las empresas participantes afirma aplicar parches críticos en menos de 24 horas. Sin embargo, actualizar rápidamente un componente no garantiza que la organización conozca todas las dependencias que utiliza ni que pueda identificar de inmediato todos los sistemas afectados.
Por este motivo, los inventarios de componentes de software y los procesos de análisis de vulnerabilidades son elementos importantes para reducir riesgos tecnológicos.
El control de los proveedores de inteligencia artificial
Otra de las áreas examinadas por Red Hat es la evaluación de los proveedores externos de IA. Solo el 28 % de las empresas españolas participantes declara estar bien preparada para evaluar de forma continua los riesgos asociados a estos proveedores mediante criterios cuantificables y supervisados durante las operaciones diarias.
El informe señala que el 34 % de las organizaciones realiza evaluaciones de riesgos antes de implantar nuevas tecnologías de inteligencia artificial, pero reconoce dificultades para mantener esa vigilancia después de su puesta en marcha.
Esta diferencia entre la evaluación inicial y la supervisión posterior es relevante porque los servicios tecnológicos pueden cambiar con el tiempo. Pueden modificarse las condiciones de uso, los modelos disponibles, los permisos, las integraciones y los tipos de datos procesados.
Una revisión previa a la contratación o implantación de una herramienta no sustituye la necesidad de comprobar periódicamente su funcionamiento y los riesgos que presenta. Las empresas necesitan criterios para evaluar a los proveedores, registrar los cambios y establecer procedimientos de respuesta ante incidentes.
La confianza en la seguridad no siempre implica control verificable
El estudio refleja que el 85 % de los CIO españoles encuestados confía en que sus agentes de IA funcionan de manera segura y conforme a la normativa. No obstante, los resultados sobre visibilidad de datos y evaluación de proveedores muestran que esa confianza no siempre está acompañada de mecanismos completos de supervisión.
El 37 % afirma confiar plenamente en las barreras de seguridad probadas, la monitorización continua y los sistemas automatizados de intervención. Otro 48 % manifiesta una confianza razonable, aunque reconoce algunas lagunas en las medidas de control y supervisión.
Estos resultados no demuestran que todas las empresas que declaran confianza estén expuestas a un incidente. Sí indican que la percepción de seguridad y la capacidad de aportar pruebas sobre el funcionamiento de los sistemas son cuestiones diferentes.
Una organización puede disponer de controles de acceso y políticas internas, pero seguir teniendo dificultades para rastrear todos los datos procesados por un agente o conocer todas las dependencias de una aplicación. Por ello, la gobernanza de la IA requiere combinar políticas organizativas con controles técnicos verificables.
Las obligaciones regulatorias aumentan la importancia de la trazabilidad
La supervisión de la inteligencia artificial también está vinculada a las obligaciones europeas en materia de protección de datos, ciberseguridad y regulación de la IA. Las exigencias concretas dependen de la actividad de la empresa, el tipo de información utilizada y las características del sistema implantado.
Cuando una organización no puede identificar el recorrido de los datos, puede tener dificultades para determinar si se ha producido una transferencia no prevista, responder a una solicitud de información o investigar una posible brecha de seguridad.
En este contexto, Red Hat defiende que las empresas deben mejorar la visibilidad de los flujos de datos, los componentes de software y el ciclo de vida de los agentes de IA antes de ampliar su uso.
Para las compañías, esto implica integrar la evaluación de riesgos en las decisiones de compra, desarrollo e implantación tecnológica, en lugar de tratar la seguridad como una revisión puntual.
Qué pueden hacer las empresas para mejorar el control de la IA
Los resultados del estudio permiten identificar varias áreas de actuación para las organizaciones que utilizan inteligencia artificial:
- Inventariar los datos: documentar qué información utiliza cada sistema, dónde se procesa y qué servicios tienen acceso.
- Revisar los permisos: limitar las capacidades de los agentes de IA a las tareas que realmente necesitan realizar.
- Controlar las dependencias: mantener un inventario de los componentes de software y evaluar las vulnerabilidades que puedan afectarlos.
- Supervisar a los proveedores: realizar evaluaciones periódicas y comprobar las condiciones de seguridad de los servicios externos.
- Registrar las operaciones: conservar evidencias que permitan auditar las acciones de los sistemas y reconstruir incidentes.
- Establecer protocolos de respuesta: definir cómo actuar ante accesos no autorizados, filtraciones o comportamientos inesperados.
Estas medidas pueden ayudar a reducir la incertidumbre y facilitar una adopción más controlada de la inteligencia artificial. La estrategia debe adaptarse al tamaño de la empresa, la sensibilidad de los datos y el nivel de autonomía de las herramientas utilizadas.
Conclusión
El informe de Red Hat revela una brecha entre la confianza en la inteligencia artificial y la capacidad de las empresas españolas para supervisar completamente sus datos y proveedores tecnológicos. Solo el 30 % de los CIO consultados afirma conocer con precisión dónde se almacenan y procesan los datos, mientras que únicamente el 28 % declara disponer de una evaluación continua de los riesgos de sus proveedores de IA.
La adopción de estas tecnologías puede ofrecer oportunidades para automatizar procesos y mejorar la productividad, pero su utilización exige una gestión responsable de los datos, las dependencias de software y los accesos.
El desafío para las empresas no consiste únicamente en incorporar herramientas de inteligencia artificial, sino en garantizar que su funcionamiento sea comprensible, verificable y coherente con las obligaciones de seguridad y protección de datos.
¿Qué porcentaje de empresas españolas tiene visibilidad total de sus datos de IA?
El 30 % de los responsables tecnológicos españoles consultados en el estudio de Red Hat afirma conocer con precisión dónde se almacenan y procesan los datos de sus sistemas de inteligencia artificial.
¿Qué porcentaje confía en la seguridad de sus agentes de IA?
El 85 % de los CIO españoles participantes declara confiar en que sus agentes de IA funcionan de forma segura y conforme a la normativa.