Advierten riesgos para las empresas de Panamá y la región por el uso de IA sin controles adecuados

 

Advierten riesgos para las empresas de Panamá y la región por el uso de IA sin controles adecuados

Panamá ocupa el puesto 11 entre 20 países en el Índice Latinoamericano de Inteligencia Artificial 2026 de CENIA y CEPAL

Las organizaciones en Panamá necesitan reforzar la supervisión de la inteligencia artificial (IA) para evitar que la búsqueda de productividad y reducción de costos las lleve a asumir riesgos que no han evaluado adecuadamente, advierte SISAP.

Su unidad de AI Security identificó este desafío en conversaciones con entidades del sector bancario, gubernamental y otras industrias de Panamá y otros países de la región, que abarcaron al menos 10 mercados: las prácticas de ciberseguridad siguen siendo las mismas, pero la IA exige aplicarlas con mayor rapidez y reforzar la supervisión de uso en sus organizaciones.

En Panamá, la incorporación de estas herramientas ocurre en un ecosistema de IA todavía en desarrollo. El Índice Latinoamericano de Inteligencia Artificial 2026, elaborado por el Centro Nacional de Inteligencia Artificial de Chile (CENIA) y la Comisión Económica para América Latina y el Caribe (CEPAL), ubica al país en el puesto 11 entre 20, con 39,3 puntos sobre 100, dentro de la categoría de países “adoptantes”. La medición considera infraestructura y talento, investigación, desarrollo y adopción, así como gobernanza.

En el ámbito empresarial regional, los datos muestran una distancia entre incorporar la tecnología y establecer reglas para utilizarla. De acuerdo con el informe AI Readiness in Latin America 2026, de RSM, basado en una encuesta a más de 400 líderes empresariales de la región, alrededor del 40% de las organizaciones ya implementa IA y, entre ellas, el 68% planea ampliar su uso durante los próximos 12 meses. No obstante, solo el 18 % cuenta con marcos formales de gobernanza y apenas el 17% dispone de políticas de uso para sus colaboradores.

El riesgo va más allá de compartir información confidencial

Uno de los principales desafíos es la falta de visibilidad sobre las herramientas que utilizan los colaboradores. El acceso a modelos de IA puede producirse mediante cuentas personales, extensiones de navegador, funciones integradas en aplicaciones corporativas o dispositivos móviles, incluso sin que la organización lo identifique.

El Data Breach Investigations Report (DBIR) 2026 de Verizon, informe en el que SISAP participa como contribuidor se señala que el 67% de los usuarios accede a servicios de IA desde dispositivos corporativos con cuentas no corporativas. Además, el 45% de los empleados utiliza estas herramientas regularmente, frente al 15% del año anterior.

Los riesgos también alcanzan el desarrollo de software y la automatización de procesos. “Los asistentes de programación pueden acelerar la entrega de servicios digitales, pero el código que generan no es seguro por defecto y requiere revisión.

Por su parte, los agentes de IA, capaces de consultar bases de datos, enviar correos o modificar configuraciones, pueden comprometer operaciones si cuentan con permisos excesivos y carecen de mecanismos adecuados de supervisión”, señala José Amado, AI Security Manager de SISAP.

Las cifras reflejan estos desafíos: según la Encuesta de Desarrolladores 2026 de Stack Overflow, el 66% utiliza asistentes o agentes de código, pero solo el 24% indica que su empleador ha establecido herramientas aprobadas o lineamientos formales. Por su parte, el Observatorio de Agentic AI 2026 de CIONET y NTT DATA reporta que el 80,8% de las empresas evaluadas carece de mecanismos formales para controlar las decisiones de sus agentes de IA.

Ante este panorama, las organizaciones necesitan establecer controles que permitan validar el código generado, limitar los permisos de los agentes y supervisar sus acciones, incluidos mecanismos para detenerlas cuando sea necesario.

Ejes para gobernar la IA

Para atender estas brechas, SISAP plantea avanzar de forma coordinada en varios ejes. Gobernar la IA no depende de una herramienta ni de un proyecto aislado:

• Gobierno y responsables: Definir quién decide sobre la adopción de IA, mediante un comité con participación del negocio, tecnología, riesgo y seguridad, y establecer qué riesgos está dispuesta a aceptar la organización a cambio de los beneficios que espera obtener.

• Visibilidad sobre el uso real: Identificar qué herramientas utilizan los colaboradores, desde qué cuentas y dispositivos, incluidas las extensiones de navegador y las funciones de IA integradas en aplicaciones que ya forman parte de la operación. Sin este inventario, cualquier política se aplica a ciegas.

• Herramientas y cuentas corporativas: Sustituir las cuentas personales por licencias empresariales que permitan administrar usuarios, aplicar autenticación segura y asignar permisos según la función de cada colaborador.

• Protección de la información: Establecer qué datos pueden procesarse en cada plataforma y restringir el ingreso de credenciales, datos personales, información financiera o documentos internos en servicios no aprobados para ello.

• Desarrollo de software: Definir los asistentes de programación autorizados y someter el código generado a revisión y pruebas de seguridad antes de llevarlo a producción.

• Control de agentes: Limitar los permisos de los agentes a las tareas que realmente ejecutan, registrar sus acciones y contar con mecanismos para detenerlas cuando sea necesario.

• Capacitación y supervisión continua: Formar a los colaboradores en los riesgos y las buenas prácticas, y revisar de forma periódica el uso de las herramientas para detectar aplicaciones no autorizadas o desviaciones de la política.

Con estas medidas, SISAP busca promover decisiones informadas sobre los riesgos de la IA sin limitar su adopción. Una estrategia de gobernanza permite que la innovación responda a las necesidades del negocio y que sus beneficios se desarrollen con una visión clara de la seguridad y la continuidad operativa.