Gobernar.
Habilitar.
Escalar.
Cómo gobernar la IA en el ciclo de vida del software sin frenar a los equipos.
- El problema
- Seis capas de gobierno
- Casos y valor
- Madurez y métricas
- Los primeros 100 días
Índice
- Resumen ejecutivo3
- 01Todos usan IA. Casi nadie la gobierna.4
- 02Por qué ahora6
- 03Seis capas, un ciclo8
- 04Lo que ya han publicado y cómo lo miden14
- 05¿Dónde estás? Madurez y métricas17
- 06Los primeros 100 días19
- 07Cómo puede fracasar el gobierno21
- 08Hacia 2028: tres desenlaces22
- 09Gobernar para poder acelerar23
- Fuentes y sobre el autor24
Una tesis.
Tres pruebas.
Resumen ejecutivo
Los equipos de desarrollo ya usan IA a diario. La pregunta ya no es si adoptarla, sino cómo convertir ese uso disperso en un sistema controlado, medible y auditable que se pueda escalar sin multiplicar el riesgo.
Esta edición propone un modelo de gobierno en seis capas, desde el comité de dirección hasta la mejora continua, y lo contrasta con lo que han publicado seis entidades financieras. Su conclusión es exigente: los que escalan la IA no lo hacen a pesar de sus controles, sino gracias a ellos, y miden su valor.
Gobernar
Reglas, riesgos y controles decididos arriba y aplicados en cada fase.
Habilitar
Método y agentes que hacen fácil el camino correcto.
Escalar
Industrializar con gates, evidencias y métricas que cierran el ciclo.
Sin gobierno no hay escala.
Solo pilotos.
01 · El problema
Todos usan IA.
Casi nadie la gobierna.
La adopción ya no es el reto: es casi universal. El riesgo está en el uso que nadie ha inventariado, sin reglas comunes ni evidencias, justo cuando la regulación y los consejos empiezan a pedir cuentas.
de los profesionales de software ya usa IA en su trabajo
+14 puntos frente a 2024 · casi 5.000 encuestados · DORA, Google Cloud, 2025
tiene una política de gobierno de IA; el 29 % no tiene ninguna
220 profesionales de transformación · PEX Network, encuesta 2025
al día de mediana trabajando con IA entre quienes la usan
DORA, Google Cloud, 2025
Percepción declarada, no medida · DORA, Google Cloud, 2025
01 · El problema
El coste de no gobernar
Sin gobierno, la IA no deja de usarse: se usa sin que nadie lo vea. El código, los datos de clientes y los documentos internos salen por canales que nadie ha evaluado.
El segundo coste es el abandono: pilotos que no llegan a producción porque nadie definió su valor ni su riesgo. El tercero es la calidad: más código, más rápido, sin gates que lo prueben.
Fuga
de los empleados en Reino Unido ha usado herramientas de IA de consumo no aprobadas; el 51 % cada semana
Censuswide para Microsoft · más de 2.000 encuestados · publicado en 2026
Abandono
de los proyectos de IA agéntica se cancelarán a finales de 2027 por coste, valor difuso o controles insuficientes
Predicción · Gartner, junio 2025
Fallo
Un fallo en código generado por IA provocará una caída global en varios sectores
Predicción · Forrester, octubre 2026
No gobernar no es neutral:
es decidir no mirar.
02 · Por qué ahora
La regulación ya
tiene calendario
En banca y seguros, la IA ya no es solo una decisión tecnológica. El Digital Omnibus retrasó las obligaciones de alto riesgo del AI Act, pero no paró el reloj.
Calendario del AI Act
- 1 ago 2024Entrada en vigor
- 2 feb 2025Prácticas prohibidas
- 2 ago 2025Modelos de propósito general
- 2 ago 2026 · ya en vigorTransparencia (art. 50) y supervisión
- 2 dic 2027Alto riesgo del Anexo III
- 2 ago 2028Alto riesgo en productos (Anexo I)
Reglamento DORA
17 ene 2025
Se aplica a banca y seguros: riesgo TIC y de terceros, incluidos los proveedores de modelos y herramientas.
Alto riesgo en el sector
El Anexo III incluye la evaluación de solvencia y la tarificación de seguros de vida y salud: el núcleo del negocio.
Fechas vigentes: Reglamento (UE) 2026/1744 (Digital Omnibus), publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.
El retraso no es una pausa:
es el tiempo para llegar preparado.
02 · Por qué ahora
Un mercado que se
profesionaliza
El gobierno de la IA ha dejado de ser un documento de principios para convertirse en una categoría de mercado, con su primer Magic Quadrant de Gartner en 2026. La presión llega también desde los consejos y desde los propios productos.
más probabilidad de alcanzar una alta eficacia en gobierno de IA con una plataforma dedicada (360 organizaciones)
Previsión y encuesta · Gartner, nota de prensa del 17 de febrero de 2026
de los consejeros no ejecutivos cree que su consejo no está preparado para supervisar la IA
Gartner, 328 consejeros, nov 2024
de las aplicaciones empresariales incluirá agentes específicos de tarea en 2026, frente a menos del 5 % en 2025
Predicción · Gartner, agosto 2025
Los agentes llegan dentro de las herramientas
que ya usas, con o sin comité.
Seis capas,
un ciclo
Quién decide, cómo se incorpora cada componente de IA, con qué método se trabaja y cómo vuelven las evidencias de producción al principio del ciclo.
Seis capas,
un ciclo
Del comité de dirección a la mejora continua
El modelo separa quién decide, cómo se incorpora cada componente de IA, con qué método se trabaja y qué agentes actúan en cada fase. Las dos últimas capas industrializan la entrega y devuelven evidencias a las primeras.
Estrategia · Riesgo · Compliance · Seguridad · Arquitectura · KPIs · FinOps
LLM · Agente · Framework · Herramienta · Patrón, con 7 pasos de validación
La especificación es la fuente de verdad
El developer al centro, con copiloto
Spec · Arquitectura · QA · Trazabilidad
Copiloto · Code review · Testing
CI · QA gate · Security · Release · Deploy · Observability · Incident
Métricas y evidencias de producción que retroalimentan las capas 1 a 3
El gobierno se decide arriba
y se ejecuta abajo.
1Capa 1 · Gobierno global de IA
Lo que decide el comité
y lo que no
El Comité IA no opera en el día a día de los proyectos. Define el marco en el que trabajan todos los equipos. Su valor no está en aprobar cada caso, sino en hacer explícitos los límites para que los equipos se muevan rápido dentro de ellos.
Ocho pilares
- Estrategia
- Riesgo y control
- Compliance
- Seguridad
- Arquitectura
- KPIs y métricas
- FinOps de IA
- Formación y cultura
Decide
- Qué LLMs están aprobados para producción
- Qué datos puede procesar un agente
- El límite de autonomía sin supervisión humana
- La clasificación de riesgo por tipo de agente
- El presupuesto de tokens por equipo y mes
No decide
- Qué framework usa un equipo, dentro de los aprobados
- La arquitectura interna de cada agente
- Cómo se integra el agente en el SDLC
- La velocidad de adopción de cada equipo
En el comité: CIO/CTO, CDO, CISO, Riesgos, Legal y Compliance, Arquitectura y Negocio.
La IA no se gobierna agente a agente:
se gobierna como capacidad corporativa.
2Capa 2 · Incorporación y control
Siete pasos antes
de producción
Cualquier LLM, agente, framework, herramienta o patrón de automatización sigue el mismo camino, lo pida quien lo pida.
- 1Demanda
Solicitud documentada: problema, caso de uso, componente y urgencia
- 2Evaluación de encaje
¿Resuelve el problema? ¿Hay ya una alternativa aprobada? 2–5 días hábiles
- 3Riesgo y seguridad
CISO y Riesgos: datos, autonomía, superficie de ataque, regulación
- 4Piloto controlado
Sandbox, 2–3 personas, 2–4 semanas; se miden calidad, coste y riesgo
- 5Validación técnica
SLAs, integración con el stack, cobertura de tests y evidencia de compliance
- 6Industrialización
Guardrails, documentación, aprobación del Comité IA y publicación en el catálogo
- 7Monitorización
Uso, coste de tokens, anomalías, alertas y revisión trimestral
Lo que deja el proceso
- Guardrails automáticos
- Monitorización continua
- Registro de activos IA
- Comité de validación
- Revisión periódica
- Procedimiento de retirada
Un catálogo aprobado es más rápido que cien excepciones.
Capas 3 y 4 · Metodología y agentes
Dos métodos,
una gobernanza
El modelo no impone un único método. Distingue dos y decide cuándo usar cada uno. Lo común es la gobernanza: el mismo catálogo, los mismos gates y las mismas métricas.
| SDD | Desarrollo tradicional | |
|---|---|---|
| Capas | 3A · 4A | 3B · 4B |
| Fuente de verdad | La especificación | El código |
| Papel de la IA | Genera artefactos desde la spec | Asiste al developer |
| Agentes clave | Spec, arquitectura, QA, trazabilidad | Copiloto, code review, testing |
| Trazabilidad | Nativa, de extremo a extremo | Hay que construirla |
| Cuándo encaja | Proyectos nuevos o críticos, equipos con madurez de especificación | Deuda técnica alta, baja madurez de especificación, transición gradual |
- ComúnCatálogo de la capa 2
- ComúnGates de la capa 5
- ComúnMétricas de la capa 6
La especificación es la fuente de verdad.
El copiloto es un accesorio.
Capas 5 y 6 · Industrialización y mejora continua
Industrializar
y aprender
La IA no termina cuando genera código. Tiene que integrarse en la cadena de entrega con ocho agentes que trabajan en secuencia, y devolver lo aprendido al principio del ciclo.
Capa 5 · La cadena de agentes
- 1 →CIBuilds y artefactos
- 2 →QA gateCobertura y evidencias
- 3 →SeguridadSAST, SCA, secretos
- 4 →ReleaseNotas y checklist
- 5 →DespliegueCanary y rollback
- 6 →ObservabilidadLogs, métricas, trazas
- 7 →IncidentesDiagnóstico y causa raíz
- 8 ↺FeedbackAl backlog y la spec
Capa 6 · Cuatro motores de mejora
Métricas de calidad
Cobertura, defectos, lead time y métricas DORA, comparando SDD y tradicional
Evidencias de producción
Incidencias, SLAs reales, coste de tokens por funcionalidad y deuda generada
Feedback activo
Lo aprendido cambia specs, agentes y proceso, y sube al comité si toca una política
Optimización continua
Ajuste de guardrails, menos coste y retirada de agentes de bajo valor
Sin mejora continua, la adopción de IA
es un proyecto, no una capacidad.
04 · Casos públicos
Lo que ya han publicado
Cuatro entidades financieras han contado en público cómo escalan la IA. Las cifras son suyas, no auditadas, pero todas repiten el mismo patrón: adopción masiva sostenida por controles.
JPMorgan Chase
10–20%más productividad declarada por sus ingenieros con un asistente de código interno
Lección: más código generado exige más pruebas automáticas
Reuters, mar 2025 · QA Financial, jun 2026
BBVA
83%de sus 11.000 usuarios de ChatGPT Enterprise lo usa a diario; 2,8 h ahorradas por semana
Lección: formación, comunidad y catálogo común de asistentes
BBVA, may 2025
Morgan Stanley Wealth Management
98%de sus asesores usa el asistente interno de IA
Lección: entorno de pruebas, comité formal y humano en el bucle
CDO Magazine, 2025
Mapfre
150+casos de uso de IA en 2025, más de 60 en producción en España
Lección: un centro que coordina y fija criterios sin frenar el volumen
Interempresas, sep 2026
Quien escala la IA no la deja suelta:
la rodea de controles.
04 · Casos y valor
Lo que las cifras
no cuentan
Una tasa de adopción o unas horas ahorradas no demuestran valor por sí solas. Lo declarado y lo medido no son lo mismo.
de los profesionales de software confía poco o nada en lo que genera la IA, aunque la use a diario
La paradoja de la confianza · DORA, Google Cloud, 2025
Cuatro preguntas antes de comparar un caso
¿Cuál es la línea base?
Sin medir antes, cualquier mejora es una impresión.
¿Cuánto cuesta todo?
Licencias, inferencia, revisión humana, plataforma y formación.
¿Qué pasa con la calidad?
Defectos, retrabajo e incidentes, no solo velocidad.
¿Quién mide y cómo?
Datos del sistema frente a encuestas, y alguien independiente que lo valide.
Estas preguntas no restan mérito a los casos publicados. Indican qué pedir a cualquier proveedor, piloto o business case antes de decidir.
La adopción no es valor.
Es la condición para poder medirlo.
04 · Casos y valor
Dos bancos que
miden el valor
Pocos bancos ponen cifra al valor de la IA. Los que lo hacen tienen algo en común: un marco de gobierno, una forma explícita de medir y formación obligatoria antes de escalar.
DBS · Singapur
750 M→1.000 M
S$ de valor económico atribuido a IA · 2024 → 2025
- Cómo mide: clientes con IA frente a grupos de control (A/B testing)
- Escala: más de 2.000 modelos y 430 casos de uso
- Gobierno: marco PURE de uso de datos, comité de uso responsable y un grupo de trabajo de IA responsable
Lloyds Banking Group · Reino Unido
50 M→>100 M
£ de valor de IA generativa · 2025 → objetivo 2026
- Ingeniería: unos 5.000 ingenieros con asistente de código; +50 % en conversión de código de sistemas heredados
- Escala: más de 50 soluciones de IA generativa en 2025
- Gobierno: módulo obligatorio de uso responsable antes de cualquier otra formación
El valor de la IA solo existe si se mide.
05 · Madurez y métricas
¿Dónde estás?
Cinco niveles describen el camino de la IA improvisada a la IA como capacidad corporativa. Cada nivel se reconoce por lo que existe y se supera con un siguiente paso concreto.
- L0Ad hoc
Uso informal, sin política ni control de costes
→ Inventario, política de uso, comité provisional
- L1Experimental
Copilotos informales y pilotos aislados
→ Proceso de la capa 2, catálogo, ROI de pilotos
- L2Gestionado
Aprobación, catálogo, guardrails, QA y security gates
→ Piloto SDD, KPIs por equipo, feedback básico
- L3Definido
Las 6 capas operativas, SDD en proyectos críticos
→ Extender SDD, automatizar la mejora continua
- L4Optimizado
Ciclo cerrado, trazabilidad auditada, gobierno con datos
→ Revisión anual y extensión a otras áreas
Autoevaluación rápida
- ¿Comité IA con poder real de decisión?
- ¿Todo componente pasa por aprobación?
- ¿Guardrails automáticos en producción?
- ¿Agentes en tu pipeline de CI/CD?
- ¿Has hecho un piloto SDD?
- ¿Mides el ROI real de la adopción?
05 · Madurez y métricas
Qué medir
Un gobierno sin métricas es un gobierno de papel. Cinco familias de indicadores bastan para empezar, cada una conectada con la capa que la usa para decidir.
| Familia | Indicadores | Capa |
|---|---|---|
| Adopción | Usuarios activos, equipos que usan el catálogo, casos en producción | 1 |
| Calidad | Tasa de defectos, cobertura, retrabajo, porcentaje de código generado revisado | 3 · 4 · 5 |
| Entrega | Lead time, frecuencia de despliegue, tasa de fallo de cambios, tiempo de recuperación | 5 |
| Coste | Coste de tokens por funcionalidad, licencias por usuario activo, coste de revisión humana | 1 · FinOps |
| Riesgo | Incidentes atribuibles a IA, herramientas no aprobadas detectadas, tiempo de aprobación de componentes | 1 · 2 |
La regla
Cada indicador tiene un responsable, una línea base y una decisión asociada. Si no cambia ninguna decisión, sobra.
Lo que no se mide se vuelve a pagar.
06 · Ejecutar
Los primeros 100 días
Cien días bastan para pasar de L0 a L2 si el objetivo es habilitar, no redactar normas. La operación y el gobierno avanzan a la vez.
0–30 días
Ver
Inventario de herramientas y usos, incluidos los no autorizados. Política de uso aceptable.
Comité IA provisional, clasificación de riesgo inicial y línea base de métricas.
31–60 días
Ordenar
Proceso de incorporación con los 2–3 componentes más usados. Catálogo aprobado. Primer piloto controlado.
Presupuesto de tokens por equipo. QA gate y security gate en el pipeline.
61–100 días
Escalar
Guardrails automáticos, catálogo abierto a todos los equipos y decisión sobre un piloto SDD.
Cuadro de KPIs en el comité, plan a 12 meses y revisión trimestral.
En cada fase: arriba, la operación; debajo de la línea, el gobierno y la economía.
Criterio de éxito a los 100 días
Cuántos equipos usan componentes aprobados sin pedir una excepción. No cuántas políticas se han escrito.
El primer entregable del gobierno
no es una política: es un inventario.
06 · Ejecutar
Quién hace qué
El gobierno falla cuando todo el mundo es responsable de todo. Esta matriz reparte las seis decisiones que más se repiten.
| Decisión | Comité IA | Comité técnico | CISO y Riesgos | Plataforma | Equipos |
|---|---|---|---|---|---|
| LLMs y plataformas aprobadas | A | R | C | I | I |
| Límites de autonomía y datos | A | C | R | I | I |
| Incorporar un componente nuevo | I | A | C | R | R |
| Guardrails y gates en el pipeline | I | A | C | R | I |
| Presupuesto de tokens | A | C | I | R | I |
| Uso diario dentro del catálogo | I | I | I | C | R |
R = ejecuta · A = aprueba · C = consultado · I = informado. En «Incorporar», los equipos ejecutan la solicitud.
La fila que importa
Si un equipo necesita aprobación para usar algo que ya está en el catálogo, el gobierno se ha convertido en un cuello de botella.
07 · Riesgos
Cómo puede fracasar
el gobierno
Incluso un buen modelo puede fallar. Tres patrones aparecen una y otra vez, y cada uno tiene una mitigación concreta.
Gobierno burocrático
Comités que aprueban caso a caso y tardan semanas. La fricción empuja a los equipos al uso no autorizado.
Mitigación
Catálogo preaprobado y plazo máximo por paso.
Gobierno de papel
Políticas aprobadas que nadie aplica porque no están en el pipeline.
Mitigación
Cada regla relevante tiene un guardrail o un gate automático.
Gobierno sin datos
Decisiones basadas en entusiasmo o en encuestas de percepción.
Mitigación
Línea base, costes completos e incidentes medidos desde el primer día.
Y un riesgo de mercado
Depender de un único proveedor de modelos. El catálogo debe permitir sustituir un componente sin rehacer el proceso.
El gobierno que frena acaba saltándose.
08 · Futuro
Hacia 2028:
tres desenlaces
Son escenarios de elaboración propia, sin probabilidades asignadas. Pueden convivir dentro de la misma organización.
Gobierno como plataforma
Los controles viven en el pipeline y en el catálogo. Aprobar un componente cuesta días, no meses.
Señal: la mayoría de equipos usa IA dentro del catálogo y el comité decide con datos de producción.
Gobierno de cumplimiento
El regulador marca el ritmo y el gobierno se reduce a evidencias para la auditoría. Se cumple, pero la adopción es lenta y el valor se concentra en pocos casos.
Señal: el comité dedica más tiempo a auditorías que a decisiones.
Gobierno fragmentado
Cada área elige herramientas y reglas. El uso no autorizado crece, los costes se dispersan y los incidentes llegan antes que las métricas.
Señal: nadie sabe cuántas herramientas de IA hay en uso.
La diferencia entre el primero y los otros dos
no es tecnológica: es de diseño organizativo.
Gobernar para
poder acelerar
Gobernar, habilitar y escalar no son tres fases: son tres pruebas que cualquier programa de IA debe superar a la vez. Los bancos y aseguradoras que ya escalan la IA no lo hacen a pesar de sus controles, sino gracias a ellos.
Gobernar
Límites explícitos: modelos, datos, autonomía y presupuesto.
Habilitar
Un camino rápido: catálogo, siete pasos y métodos claros.
Escalar
Evidencias: gates, métricas con línea base y ciclo cerrado.
La IA no se frena
gobernándola: se escala.
Fuentes
- DORA · Google Cloud
- State of AI-assisted Software Development, 2025 · blog.google
- Gartner
- Más del 40 % de proyectos agénticos cancelados, jun 2025 · gartner.com
- Gartner
- 40 % de aplicaciones con agentes en 2026, ago 2025 · PEX Network
- Gartner
- Encuesta a consejeros, nov 2024 · CXOToday
- Gartner
- Mercado de plataformas de gobierno de IA, 17 feb 2026 · gartner.com
- Forrester
- Predicciones tecnológicas 2027, oct 2026 · STT Info
- Unión Europea · AI Act
- Digital Omnibus, Reglamento (UE) 2026/1744, DOUE 24 jul 2026 · ERTICO · EU AI Act 2026, jul 2026 · processexcellencenetwork.com
- Censuswide · Microsoft
- IA no aprobada en Reino Unido, publicado en 2026 · Nasstar
- JPMorgan Chase
- Reuters, mar 2025 · teiss · QA Financial, jun 2026 · Resultsense
- BBVA
- 11.000 licencias de ChatGPT Enterprise, may 2025 · bbva.com
- Morgan Stanley
- Entrevista a Atul Dalmia, Chief Analytics Officer, oct 2025 · CDO Magazine
- Mapfre
- Más de 150 casos de uso de IA, sep 2026 · Interempresas
- DBS
- Informe anual 2025 · dbs.com · resultados, feb 2026 · Fintech News SG
- Lloyds · Air Canada
- Valor de IA, ene 2026 · National Technology · Moffatt v. Air Canada, feb 2024 · Global News
Criterio de uso: los informes de analistas se citan solo desde fuentes públicas y con fecha. Las cifras de empresas proceden de comunicaciones corporativas y no están auditadas. Los escenarios son de elaboración propia.
Sobre el autor
Antonio Herrera
Más de 15 años en consultoría tecnológica, dirigiendo áreas de tecnología de más de 100 personas. Ayuda a equipos directivos a adoptar IA con control, escalar plataformas y tomar decisiones técnicas críticas. Fundador de Pensend.io.
Aviso legal. Documento divulgativo de reflexión estratégica. No constituye asesoramiento legal, regulatorio ni de inversión. Ningún caso representa a clientes del autor. Las opiniones son personales. Toda decisión requiere un análisis específico.
Modelo de Gobierno IA en el SDLC
Las seis capas de esta edición como guía navegable, con la madurez y los checklists.
Abrir →Una edición al mes
La revista mensual de estrategia tecnológica de Antonio Herrera. Recibe el aviso de cada número en LinkedIn.