La predicción: En 2027, los compradores de servicios basados en IA con un impacto significativo exigirán cada vez más evidencia actual y pertinente para el despliegue antes de activar o ampliar su uso.

Un proveedor de IA lanza una nueva capacidad. El desarrollo ha terminado, la función está disponible y los clientes pueden activarla.

Sin embargo, algunos clientes podrían esperar.

La cuestión es si las garantías proporcionadas anteriormente siguen cubriendo lo que el servicio puede hacer ahora. Una revisión de seguridad completada o una evaluación previa pueden generar confianza en el despliegue original, pero no responder a preguntas sobre nuevas funcionalidades, conexiones de datos o condiciones operativas.

Esperamos que estas preguntas cobren más importancia en las decisiones de compra, activación y ampliación durante 2027.

Esto cambia la importancia comercial de la gobernanza de la IA. Un proveedor puede estar técnicamente preparado para ofrecer una capacidad, pero no ser capaz de demostrar que sus controles siguen siendo adecuados para el despliegue que contempla un cliente.

La investigación de OneTrust destaca el desafío de aportar evidencia. Solo el 28 % de las personas encuestadas incluye la evidencia de gobernanza y los registros de auditoría entre sus actividades actuales de gobernanza. Mientras tanto, el 38 % prioriza la preparación para normativas, estándares o auditorías durante los próximos 12 meses.

El informe también analiza las nuevas expectativas de los clientes en torno a la trazabilidad, la supervisión y la intervención. La tendencia apunta a garantías que ayuden a resolver una decisión empresarial concreta, en lugar de depender exclusivamente de evidencia recopilada durante una revisión anterior.

¿Qué cambia para las empresas?

Para los proveedores de IA, la capacidad de ofrecer garantías pertinentes puede influir cada vez más en la aceptación por parte de los clientes y en el ritmo de expansión. Los equipos comerciales, de producto, seguridad y gobernanza deberán determinar qué evidencia corresponde a cada capacidad y quién puede resolver las dudas pendientes.

Para los compradores, las garantías pasan a formar parte de la decisión de activar un servicio, limitar su uso o exigir controles adicionales.

Antes de ampliar la inversión, los responsables financieros y empresariales también deberán valorar si el valor que aporta una capacidad de IA justifica sus costes operativos y los riesgos asociados.

Qué observar en 2027

• Clientes que solicitan garantías actualizadas antes de habilitar nuevas capacidades de IA.
• Contratos que exigen una nueva evaluación o evidencia tras cambios sustanciales.
• Un mayor escrutinio de la exposición a riesgos relacionados con la IA en decisiones comerciales y de seguros.

La predicción: En 2027, los principales programas de agentes de IA con un impacto significativo incorporarán a sus criterios de despliegue autoridad específica para cada tarea, intervención probada y registros protegidos de forma independiente.

Se asigna a un agente la tarea de reducir el gasto en la nube sin incumplir los plazos de procesamiento de pedidos. Reduce la capacidad que no se utiliza y aplaza trabajos por lotes; ambas acciones están dentro de sus permisos técnicos. La factura operativa mejora, pero el procesamiento nocturno de pedidos incumple su plazo. Aunque cada acción estaba permitida por separado, su efecto combinado incumplió una condición de la tarea autorizada por la empresa.

Este ejemplo ilustra un problema creciente en la gobernanza de los agentes de IA: tener acceso para realizar acciones individuales no implica estar autorizado a producir todos los resultados que esas acciones hacen posibles.

A medida que las organizaciones desplieguen más flujos de trabajo conectados y autónomos, deberán definir qué pueden lograr los agentes, qué compensaciones son inaceptables y cuándo se requiere intervención humana.

Esa autoridad debe seguir siendo efectiva después del despliegue.

Un agente que obtiene una nueva conexión o responsabilidad podría influir en resultados empresariales que nunca se tuvieron en cuenta en su aprobación inicial.

En la investigación de OneTrust, el 48 % de las personas encuestadas afirma que durante el último año se produjo al menos un incidente relacionado con acciones no aprobadas de sistemas o agentes de IA.

Solo el 28 % informa de que cuenta con evidencia de gobernanza y registros de auditoría.

Estos resultados convierten la autoridad para actuar y la reconstrucción de incidentes en cuestiones operativas actuales.

El siguiente desafío consiste en determinar si un agente actuó dentro del propósito para el que fue aprobado.

Un registro de acciones técnicamente permitidas puede ayudar a explicar lo ocurrido. Sin embargo, para evaluar el resultado general es necesario comparar esas acciones y sus consecuencias con los límites autorizados para la tarea.

¿Qué cambia para las empresas?

Las organizaciones que amplíen los flujos de trabajo con agentes de impacto significativo necesitarán criterios de despliegue más estrictos.

Los responsables de negocio deben definir los resultados inaceptables, mientras que los equipos de seguridad e ingeniería comprueban si las restricciones, las escalaciones y la revocación funcionan allí donde se ejecutan las acciones.

Los equipos de auditoría y gobernanza necesitarán registros que el agente no pueda modificar por su cuenta, para poder reconstruir decisiones importantes e investigar fallos en sistemas conectados.

Si no se pueden demostrar estas condiciones, las empresas quizá deban limitar la autoridad de un agente o mantener puntos de control humanos.

Qué observar en 2027

• Revisiones de despliegue de agentes que definan explícitamente el propósito empresarial y los límites de cada tarea.
• Pruebas que demuestren que las acciones no autorizadas pueden detenerse o escalarse.
• Registros independientes que faciliten las investigaciones entre distintos sistemas.
• Primeras evaluaciones de resultados perjudiciales derivados de acciones permitidas por separado.

La predicción: En 2027, las principales empresas empezarán a tratar los cambios sustanciales en la IA que compran, desarrollan e integran como motivos para reevaluar las aprobaciones existentes, incluso cuando no se incorpore ningún proveedor nuevo.

Una empresa puede operar un modelo internamente, contratar acceso a un servicio de IA alojado y utilizar agentes integrados en aplicaciones empresariales existentes.

Sin embargo, estas condiciones pueden cambiar sin que se tome una nueva decisión de compra. Un nuevo conector podría dar acceso a un asistente a más información de clientes; un cambio de configuración podría ampliar sus permisos; o una actualización del modelo podría afectar a la fiabilidad de un control utilizado anteriormente para aprobar su despliegue.

Por tanto, la pregunta clave es si la evidencia que respaldó la decisión original sigue siendo válida a medida que evoluciona el sistema.

La investigación de OneTrust destaca los desafíos que ya afrontan las organizaciones para mantener la visibilidad sobre la IA de terceros.

El 39 % identifica la visibilidad limitada sobre los componentes, proveedores o fuentes de datos de IA de terceros como un factor que retrasa las iniciativas de IA. Por otro lado, el 28 % afirma que se adoptaron herramientas de IA de proveedores antes de realizar una evaluación completa.

Estos resultados refuerzan la necesidad de una supervisión que continúe después de la aprobación inicial.

En 2027, esperamos que las principales organizaciones definan los cambios sustanciales como motivos para reevaluar. Esto implica identificar cuándo un cambio afecta al uso previsto, al acceso a los datos, a los sistemas conectados o a la eficacia de los controles existentes.

No es necesario realizar una revisión completa después de cada actualización de software. La respuesta debe ser proporcional al cambio en la exposición, a la importancia empresarial de la capacidad y a la evidencia que siga siendo válida.

¿Qué cambia para las empresas?

La aprobación se convierte en una responsabilidad continua que abarca todo el entorno de IA.

Los equipos de tecnología y datos necesitarán visibilidad sobre los modelos, las aplicaciones, los conectores y los flujos de información de impacto significativo. Los equipos de compras y legal quizá necesiten derechos contractuales más claros de notificación e intervención. Los responsables de negocio deben saber cuándo pueden seguir utilizando una capacidad que ha cambiado y cuándo se debería restringir su uso.

En los flujos de trabajo críticos, estas decisiones también pueden requerir planes alternativos que garanticen la continuidad del negocio.

El objetivo es que la reevaluación responda a cambios relevantes sin generar una carga de revisión innecesaria.

Qué observar en 2027

• Reevaluaciones de IA que se activan sin que haya un nuevo proceso de compra.
• Notificaciones de cambios vinculadas a las aplicaciones y los usos empresariales afectados.
• Decisiones documentadas para continuar, restringir, corregir o sustituir capacidades que hayan cambiado.
• Mayor atención a los planes alternativos para flujos de trabajo críticos que dependen de la IA.

La predicción: En 2027, los primeros en adoptar experiencias de cliente mediadas por IA empezarán a vincular las decisiones explícitas sobre el uso de datos con el tratamiento que estas autorizan. Así, la negativa y la retirada del permiso serán más efectivas dentro de cada servicio.

Una persona pide a un asistente de IA que reserve un abrigo en una tienda cercana.

Durante la conversación, explica que es un regalo y describe las preferencias de quien lo recibirá.

Esa información ayuda al asistente a completar la tarea inmediata.

También puede revelar detalles que un formulario de reserva convencional nunca habría solicitado.

¿Qué ocurre si el servicio quiere utilizar después esos detalles con fines publicitarios?

La conversación inicial no autoriza automáticamente un uso con otro propósito.

Cuando se requiere una decisión adicional, la organización debe explicar el uso propuesto y asegurarse de que la respuesta del cliente cambie lo que ocurre a continuación.

Las conversaciones con IA hacen más visible este desafío porque la información recopilada puede ser amplia, no estructurada y depender del contexto.

La información proporcionada para completar una tarea puede acabar disponible para usos que el cliente no esperaba.

La investigación de OneTrust muestra el desafío más amplio de la gobernanza de datos.

El 52 % de las personas encuestadas identifica inquietudes relacionadas con la calidad, el acceso, la privacidad o la seguridad de los datos como factores que retrasan las iniciativas de IA.

El 39 % prioriza una mayor visibilidad de los riesgos y del uso de los datos.

Estos resultados no demuestran que los mecanismos de autorización conversacional estén ampliamente adoptados, pero refuerzan la importancia de entender y gobernar cómo circula la información por los flujos de trabajo de IA.

Esperamos que los primeros avances en 2027 se centren en servicios individuales, donde las organizaciones puedan vincular la decisión de un cliente con el tratamiento posterior que esta controla.

La aplicación fiable de estas decisiones entre distintos agentes y proveedores es una posibilidad menos madura.

¿Qué cambia para las empresas?

Los equipos de producto, marketing, privacidad e ingeniería quizá deban reconsiderar cómo presentan las opciones sobre el uso de datos durante las interacciones mediadas por IA.

Deberán distinguir entre la información necesaria para atender una solicitud y el tratamiento adicional que requiere una decisión independiente.

Cuando corresponda, los sistemas también deberían demostrar que la negativa o la retirada del permiso modifica los usos posteriores.

Si un cliente rechaza la publicidad opcional, el servicio debería respetar esa decisión y, siempre que sea posible, completar la tarea original.

Las preferencias de los clientes, los permisos técnicos y el consentimiento legal deben seguir siendo conceptos distintos.

Una instrucción a un asistente no constituye automáticamente un consentimiento legal, y el mero registro de un permiso no demuestra que el tratamiento sea lícito.

Qué observar en 2027

• Experiencias de IA que solicitan decisiones sobre el uso de datos cuando se propone un uso adicional.
• Registros que vinculan las decisiones de los clientes con su propósito y destinatario previsto.
• Evidencia de que rechazar o retirar el permiso cambia el tratamiento posterior.
• Primeros proyectos piloto que abordan las decisiones cuando los flujos de trabajo de IA pasan de un servicio a otro.