IA en sectores regulados: El modelo de gobernanza de Itaú para pymes
El caso Itaú prueba que el valor de la IA reside en la gobernanza, no en el modelo. Descubre cómo debe cambiar tu criterio de contratación para evitar riesgos.
La gobernanza de IA en empresas es la capa de control, cumplimiento y supervisión que rodea a cualquier modelo o automatización: políticas de uso, trazabilidad de datos, control de accesos y alineación con el AI Act y el RGPD. Sin ella, contratar IA en 2026 es un riesgo legal. El modelo no basta; manda el gobierno.
Diciembre. OpenAI desvela cómo Itaú, el gigante bancario, ha logrado domesticar la IA generativa. No presumen de un modelo revolucionario, sino de IARA: una plataforma de gobernanza que orquesta el procesamiento de documentos legales, ajusta costes y garantiza que cada decisión sea auditable (OpenAI). La lección para tu pyme no es tecnológica, sino estratégica. Mientras otros persiguen el último modelo, el banco entendió que la verdadera ventaja competitiva —y el salvoconducto legal— reside en la tubería de control, no en la potencia del motor.
¿Por qué la gobernanza es ahora el verdadero cuello de botella?
Durante dos años, la conversación fue sobre el modelo: cuál es más potente, cuál alucina menos, cuál cuesta menos por token. Esa carrera se ha estabilizado. Los modelos base son buenos y accesibles. El problema que frena la adopción masiva en empresas españolas es distinto: cómo usarlos de forma segura, auditable y legal.
La literatura técnica lo confirma. La adopción de IA en empresas requiere marcos de gobernanza estructurados para garantizar el cumplimiento normativo, la seguridad y la confianza (Databricks, Blue Prism). No es un adorno de cumplimiento: es la condición para escalar.
Y el contexto español no ayuda a la complacencia. Según Finanzas.com, casi un 20% de las empresas españolas encuestadas ya usaban IA Interpretación nuestra, no dato: buena parte de ese porcentaje no está usando IA porque la haya decidido, sino porque la hereda. Viene embebida en el ERP, el CRM, el contact center o el software documental que ya tenías contratado. Eso tiene nombre: IA en la sombra.
¿Qué dice exactamente el AI Act y qué no?
Aquí conviene separar hechos de interpretación, porque se está contando mal.
Hecho: la normativa europea (AI Act) establece obligaciones específicas de gobernanza, supervisión y transparencia (Comisión Europea, AI Act). Hecho: desde el 2 de agosto de 2026 el Reglamento es aplicable de forma general, incluyendo obligaciones de transparencia (Codurance).
Matiz importante, y no menor: el AI Act no se enciende de golpe un día. Tiene un calendario escalonado. Hay obligaciones que llegan antes y otras después de agosto de 2026. Presentar esa fecha como un interruptor único es engañoso. Lo que sí es cierto es la dirección: la ventana para improvisar se está cerrando.
Segundo matiz, que te ahorra sustos y sobrecostes. El AI Act clasifica los sistemas por riesgo. La mayoría de los usos típicos de una pyme (un chatbot de atención, una automatización de correos, un generador de borradores) son de riesgo limitado (te obligan básicamente a transparencia) o mínimo. No son "alto riesgo". El scoring crediticio de un banco sí lo es. Por eso trasladar literalmente el marco de un Itaú a tu pyme es sobredimensionar obligaciones. El caso sirve como referencia de principios, no como plantilla.
Y un tercer punto que casi nadie te explica: el AI Act no sustituye al RGPD ni a la normativa sectorial. Conviven. Tu gobernanza útil tiene que integrar ambas capas, no elegir una. Lo desarrollamos en nuestro análisis sobre responsabilidad civil de la IA y las cláusulas para tus contratos.
¿Qué cambia esto en tu decisión de contratación?
Lo resumimos sin rodeos: deja de buscar solo "desarrolladores de IA" y empieza a buscar quien integre cumplimiento desde el día uno.
Un integrador de APIs te conecta un modelo y te enseña una demo bonita. Un consultor con criterio de gobernanza te pregunta primero dónde se procesan tus datos, si alimentan el entrenamiento de un tercero, qué logs quedan y quién supervisa los resultados. La diferencia entre ambos perfiles es la diferencia entre un proyecto que luce y un proyecto que aguanta una auditoría.
Esto conecta con una decisión previa que muchas pymes se saltan: elegir entre solución a medida o producto de terceros. Lo tratamos en IA a medida vs. SaaS, y la conclusión de gobernanza es clara: si compras SaaS, heredas decisiones de gobernanza que no has tomado tú, y sigues siendo responsable de ellas ante el regulador y tus clientes.
¿Qué patrones técnicos debes distinguir antes de contratar?
No todos los proyectos de IA tienen el mismo riesgo ni requieren las mismas cláusulas. Meterlos en el mismo saco es el error más caro que vemos. Separa estos tres escenarios desde el presupuesto:
¿Qué patrones técnicos debes distinguir antes de contratar?
| Patrón | Qué es | Riesgo de gobernanza | Qué debes exigir | Fuente |
|---|---|---|---|---|
| IA embebida en SaaS de terceros | Funciones generativas dentro de tu ERP, CRM o contact center | Heredas decisiones ajenas sin saberlo (IA en la sombra) | DPA, prohibición de uso de datos para entrenamiento, ubicación del procesamiento | Perspectiva comprador pyme (dossier Expertuno) |
| Copilots internos con RAG | Asistente sobre tus propios documentos corporativos | Fuga y mezcla de datos, trazabilidad de fuentes | Aislamiento de datos, logging de prompts y resultados, control de accesos | Perspectiva técnico-arquitectónica (dossier Expertuno) |
| Agentes con capacidad de actuar | Sistemas que ejecutan acciones en tus sistemas | El más alto: pueden operar solos | Aprobación humana, pruebas, fallback, tasa de escalado a humano | Perspectiva técnico-arquitectónica (dossier Expertuno) |
La idea de fondo es la que mostró Itaú: una capa de observabilidad y control que orquesta todo. En su escala, eso es una plataforma propietaria con equipos legales y de gestión integrados, como también hace Endava en su rediseño de entrega de software con informes de gobernanza (OpenAI). En tu escala, no necesitas eso. Necesitas un "control plane" ligero: un inventario de herramientas con IA, una política de uso, revisión contractual y un punto único donde sigues coste, accesos e incidencias.
Sobre eficiencia, el caso de Itaú cita ganancias en tareas sobre documentos de entre el 20% y el 80% (OpenAI). Lo tratamos con pinzas: es un rango muy amplio, cubre tareas y fases distintas, y usar el 80% como titular sería vendértelo selectivamente. Como evidencia puntual del caso, vale. Como promesa para tu pyme, no.
¿Cómo auditar la IA que ya tienes sin equipo técnico?
Antes de aprobar un nuevo proyecto de IA, mira hacia dentro. El riesgo más inmediato no suele estar en lo que vas a contratar, sino en lo que ya tienes funcionando sin gobierno explícito. Por eso recomendamos arrancar con un ejercicio sencillo y barato: un piloto de 'IA en la sombra' de 30 días.
La mecánica no requiere equipo técnico. Reúne a los responsables de cada área y haz una pregunta directa: ¿qué herramientas usáis que generen texto, resuman documentos, redacten correos o respondan a clientes de forma automática? Anótalo todo. El ERP que ahora sugiere descripciones, el CRM que redacta correos, el software de atención que responde solo, la suite ofimática con funciones generativas activadas por defecto. En muchas pymes, la mitad de la IA en uso no se decidió nunca en una reunión: llegó con una actualización.
Con ese inventario en la mano, por cada herramienta responde a tres preguntas: quién la usa, qué datos entran y dónde se procesan. Eso ya es el 80% de una primera foto de gobernanza. Y te da argumentos para hablar con los proveedores con datos, no con intuiciones. Si quieres priorizar qué merece la pena automatizar y qué conviene dejar en manos humanas antes de ampliar, nuestra guía de marketing con IA: qué automatizar y qué no sirve de criterio aplicable a otras áreas.
El coste relevante no es el token
Un último punto sobre dinero, porque aquí se cuela mucha sobreingeniería. El relato de 'controlar el coste por token' pertenece a la economía de escala de un banco con 90 millones de documentos. Para tu pyme, el coste que importa no es el token: es el de implantación, gobernanza y auditoría frente al ahorro operativo real.
Aplica proporcionalidad. Montar una capa de gobernanza centralizada y compleja para dos automatizaciones de riesgo mínimo es tirar el dinero. En muchos casos, basta con controles contractuales sólidos y una política de uso ligera. La gobernanza pesada tiene sentido cuando subes de escala, procesas datos sensibles o entras en casos de uso de alto riesgo. Ni antes, ni menos.
Qué significa para tu empresa
No hay una respuesta única. Depende de cómo entra la IA en tu organización. Te lo damos por perfiles.
Micro o pyme con IA heredada en SaaS. Tu prioridad no es desarrollar nada, es auditar lo que ya corre. Completa el inventario de 'IA en la sombra', clasifica cada uso por riesgo (casi todo será limitado o mínimo) y exige a cada proveedor un anexo de gobernanza. Aquí eres deployer, no provider: usas un sistema de un tercero, pero sigues respondiendo ante tus clientes y ante el regulador por cómo lo usas. No puedes escudarte en 'es que lo hace el software'.
Pyme con desarrollo a medida. Asumes más responsabilidad y más control. Integra la gobernanza en el pliego, no al final. Y separa en la compra los tres escenarios de la tabla anterior: no evalúes con las mismas cláusulas un copilot interno y un agente que ejecuta acciones.
Empresa con agentes que actúan en sistemas. Es el nivel más exigente. Pide pruebas de funcionamiento y límites: tasa de escalado a humano, tipos de tareas prohibidas, controles ante alucinaciones y un mecanismo para desactivar funciones si cambia el riesgo normativo o contractual.
El checklist de due diligence: 8 evidencias mínimas
Antes de firmar con cualquier proveedor o consultor, exige por escrito un anexo de gobernanza con estas ocho evidencias:
- Finalidad del sistema y caso de uso concreto.
- Modelos subyacentes que utiliza.
- Ubicación del procesamiento de los datos.
- Política de retención.
- Uso o no de tus datos y prompts para entrenamiento de terceros.
- Medidas de seguridad.
- Logging y capacidad de auditoría.
- Procedimiento de supervisión humana.
Si el proveedor no sabe responder a varias de estas, no es un problema menor: es la señal de alerta.
Pide una matriz RACI desde el arranque
Una gobernanza útil define quién hace qué. Desde el inicio del proyecto, acuerda por escrito quién aprueba los casos de uso, quién valida los datos, quién monitoriza los outputs, quién gestiona los incidentes y quién responde ante una auditoría o un requerimiento de un cliente o del regulador. Sin ese reparto, la responsabilidad se diluye hasta desaparecer el día que algo falla.
A quién acudir
Esto no lo resuelve un integrador que solo conecta APIs. Busca perfiles que crucen tecnología y cumplimiento. En el directorio puedes filtrar por especialistas en compliance, y combinarlo con perfiles de strategy cuando lo que necesitas es ordenar primero qué contratar y bajo qué marco. Dos lecturas complementan esta decisión: nuestro análisis de por qué la normativa europea retrasa funciones de IA como Apple HomeView en España te muestra cómo el cumplimiento condiciona hasta a los gigantes, y el informe de ENISA sobre ciberseguridad en la cadena de IA te ayuda a entender el riesgo que heredas de tus proveedores.
La opinión de Expertuno
Afirmamos sin rodeos: integrar IA sin una capa de gobernanza sólida es un riesgo inaceptable en 2026. El entorno regulatorio se ha endurecido y el margen para el error se estrecha día tras día. Itaú nos ofrece una hoja de ruta conceptual, no una receta universal. Evidentemente, no vas a replicar IARA, pero sí debes implementar un 'control plane' ligero y blindarte mediante cláusulas contractuales rigurosas con tus proveedores. Separamos hechos de interpretaciones: es innegable que el marco del AI Act marca una senda de cumplimiento obligatorio (OpenAI, Codurance). Por eso, nuestra recomendación es ignorar a quien te deslumbra con demos rápidas. Prioriza consultores capaces de articular un marco de cumplimiento real desde el primer minuto; aquel que audita tus datos antes de mostrarte una interfaz es quien protegerá tu negocio. En nuestro directorio encontrarás expertos en estrategia y compliance con los que poner a prueba esta premisa. Compara, exige evidencias y elige a quien priorice el control sobre la improvisación.
Metodología y fuentes
El laboratorio de Expertuno trianguló cada afirmación con al menos tres fuentes independientes y sometió los datos sensibles (cifras de eficiencia, calendario del AI Act, tasa de adopción) a una segunda verificación. Marcamos explícitamente como no confirmado todo lo que el dossier no permitía sostener como hecho, incluida la replicabilidad directa del modelo de Itaú y la nomenclatura de los modelos citados en el caso.
Fuentes y metodología
- OpenAI Blog · OpenAI
- Finanzas.com · Grupo ED
- Databricks Blog · Databricks
- Integre una gobernanza de IA en la que pueda confiar · Blue Prism
- IA en banca, pharma y sectores regulados: casos de uso reales y claves de gobernanza · Skilia
- Ley de Inteligencia Artificial de la UE · EU AI Act
- AI Act para empresas: del cumplimiento a la transformacion · Codurance