Un estudio de Red Hat revela que, pese a que el 85% de los directores de tecnología confía en la seguridad de sus agentes de inteligencia artificial, solo el 30% conoce con precisión dónde se almacenan y procesan los datos.
La implantación de la inteligencia artificial (IA) en las empresas españolas avanza más rápido que su capacidad para supervisar los riesgos asociados. Aunque los agentes autónomos de IA ya están presentes en el 100% de las organizaciones españolas analizadas, persisten importantes carencias en el control de los datos, la cadena de suministro de software y la evaluación de los proveedores tecnológicos.
Así lo recoge un estudio de Red Hat, elaborado a partir de una encuesta a 1.400 directores de tecnologías de la información (CIO) de 14 países, entre ellos España. La investigación pone de manifiesto una diferencia entre la confianza que las empresas depositan en sus sistemas de inteligencia artificial y su capacidad para demostrar que funcionan de forma segura y conforme a la normativa.
En España, el 85% de los responsables tecnológicos consultados considera que sus agentes de IA operan de forma segura. Sin embargo, solo el 30% afirma conocer con precisión los flujos de datos de su organización y dónde se almacenan y procesan. Además, apenas el 22% dispone de una visión completa de las dependencias directas e indirectas de su cadena de suministro de software, mientras que solo el 28% evalúa de manera continua los riesgos de sus proveedores de inteligencia artificial una vez implantadas las soluciones.
La seguridad de los datos, uno de los principales puntos débiles
La confianza en los mecanismos de protección no siempre se corresponde con una supervisión exhaustiva de las operaciones. Según el informe, el 37% de los CIO españoles asegura confiar plenamente en sus barreras de seguridad, sistemas de monitorización e instrumentos de intervención automatizada. Otro 48% manifiesta una confianza razonable, aunque reconoce que todavía existen algunas lagunas en los controles.
La visibilidad de los flujos de información constituye uno de los principales desafíos. El 47% de las organizaciones consultadas admite pequeñas carencias en este ámbito, mientras que el 22% ha implantado funcionalidades de IA sin comprender completamente cómo circulan los datos. Por su parte, un 1% reconoce tener una visión muy limitada de dónde se almacena la información.
Estas deficiencias pueden adquirir especial relevancia cuando los datos circulan entre plataformas corporativas, servicios en la nube y modelos externos de inteligencia artificial. Sin una trazabilidad adecuada, las compañías se exponen a posibles fugas de información y dificultades para acreditar el cumplimiento de sus obligaciones legales.
El reto resulta especialmente significativo en España, donde las organizaciones deben operar conforme a marcos como el Reglamento General de Protección de Datos (RGPD) y la normativa europea sobre inteligencia artificial.
Las dependencias de software complican la gestión de las vulnerabilidades
La rapidez en la aplicación de actualizaciones de seguridad tampoco garantiza por sí sola el control de los riesgos tecnológicos. El 79% de las empresas españolas encuestadas afirma que instala los parches para corregir vulnerabilidades críticas en menos de 24 horas desde su publicación. El resto tarda unos días y ninguna declara superar una semana.
Sin embargo, conocer y actualizar los componentes utilizados en los sistemas empresariales continúa siendo una asignatura pendiente. Solo el 22% de las organizaciones cuenta con una visión completa y actualizada de los componentes de código abierto que utiliza, incluidos su procedencia, versiones y dependencias directas e indirectas. En el conjunto de los países analizados, la proporción se sitúa ligeramente por debajo del 33%.
El informe identifica distintos niveles de conocimiento dentro de las empresas españolas. Un 36% conoce bien los componentes y sus versiones, pero reconoce limitaciones para identificar su origen y las dependencias indirectas. Otro 35% tiene identificados los principales componentes de código abierto, aunque carece de una visión completa de su cadena de suministro de software.
Estas dependencias, habituales en los proyectos tecnológicos, incorporan librerías, herramientas y otros elementos desarrollados por terceros. Cuando no se identifican y evalúan adecuadamente, pueden introducir vulnerabilidades que afecten a los sistemas de las organizaciones.
Por ello, el estudio subraya que la gestión de la seguridad debe ir más allá de la aplicación rápida de parches y contemplar también la identificación y supervisión continua de los componentes que forman parte de las aplicaciones empresariales.
La evaluación de los proveedores de IA debe ser continua
La supervisión de los proveedores tecnológicos constituye otro de los ámbitos en los que las compañías tienen margen de mejora. Solo el 28% de las organizaciones españolas consultadas asegura contar con criterios cuantificables y monitorizados de forma continua para evaluar los riesgos asociados a sus proveedores de inteligencia artificial.
El 34% realiza una evaluación antes de implantar nuevas tecnologías, pero reconoce dificultades para mantener el seguimiento posterior. A su vez, el 32% se limita a una valoración inicial, una práctica que puede resultar insuficiente en un entorno en el que los modelos, los datos y las amenazas evolucionan con rapidez.
La comparación internacional muestra diferencias significativas. Mientras que Italia alcanza el 51% de organizaciones que evalúan de forma continua estos riesgos, en Países Bajos la proporción se sitúa por debajo del 22%.
El estudio también revela que las empresas españolas recurren mayoritariamente a mecanismos propios para valorar la seguridad de estas soluciones. Solo el 4% depende exclusivamente de auditorías externas, certificaciones y garantías contractuales, mientras que un 2% se apoya en la reputación del proveedor y en experiencias anteriores o carece de un enfoque estructurado.
Para Julia Bernal, responsable de la región mediterránea y country manager de Red Hat para España y Portugal, disponer de visibilidad sobre los flujos de datos, los componentes de software y el ciclo de vida de los agentes constituye un requisito para gobernar eficazmente la IA. La directiva advierte de que, al mismo tiempo que aumenta la productividad, esta tecnología también amplía los riesgos de vulnerabilidad, por lo que considera fundamental contar con una cadena de suministro de software segura y una gestión adecuada de las actualizaciones.
En la misma línea, Chris McBrayne, vicepresidente de ventas globales a grandes empresas de Red Hat, señala que la confianza de las organizaciones en sus mecanismos de control no siempre está respaldada por una transparencia completa sobre los datos, las dependencias de software y los proveedores.
La investigación apunta, por tanto, a que el siguiente paso en la adopción empresarial de la inteligencia artificial no consiste únicamente en ampliar su uso, sino en reforzar los mecanismos que permitan conocer, medir y controlar sus riesgos a lo largo de todo su ciclo de vida.
El estudio fue realizado por Censuswide entre el 24 de agosto y el 1 de septiembre de 2026, a partir de una encuesta a 1.400 CIO mayores de 25 años de Reino Unido, Francia, Italia, Alemania, España, Emiratos Árabes Unidos, Suecia, Turquía, Suiza, Polonia, Sudáfrica, Países Bajos, Bélgica y Arabia Saudí.