La adopción de inteligencia artificial dentro de las organizaciones ya no puede ser considerada un ejercicio técnico de laboratorio. Hoy comanda las prioridades estratégicas y los presupuestos en las mesas de los directorios. Sin embargo, en medio del entusiasmo por automatizar procesos y ganar competitividad, persiste una peligrosa desconexión en el gobierno corporativo: tratar a la IA, la ciberseguridad y la protección de datos personales como silos operativos independientes.
El ecosistema actual no perdona la improvisación. Cuando los modelos comienzan a ejecutar acciones directas en los sistemas corporativos, el volumen de fallas técnicas alcanza récords históricos y los marcos legales fijan plazos fatales, la falta de una visión unificada transforma cualquier ventaja competitiva en un pasivo corporativo de alto impacto.
La conversación ejecutiva sobre IA ya no se limita a pedirle a un modelo de lenguaje que redacte textos o resuma reportes. La frontera actual está en la IA agéntica, que son sistemas dotados de autonomía para interactuar con el entorno mediante el uso de herramientas, tales como llamadas a APIs, consultas directas a bases de datos relacionales, ejecución de código e integración con ERPs o CRMs.
Dotar a un modelo de capacidad operativa multiplica su retorno de inversión, pero también eleva exponencialmente los riesgos de ejecución no autorizada, inyección indirecta de instrucciones (prompt injection) y exfiltración de información sensible.
Para gobernar este riesgo surge el Harness Engineering (o ingeniería de arneses de ejecución). Este enfoque trasciende el clásico refinamiento de texto (prompt engineering) y se centra en diseñar la arquitectura de contención y control que rodea al modelo:
Gobernar la IA no significa frenar la innovación, sino exigir desde el directorio que cada agente cuente con el arnés de ingeniería adecuado para operar de forma segura y predecible.
El despliegue de sistemas inteligentes se produce sobre una infraestructura digital sometida a tensiones inéditas. Durante este año, el ritmo de descubrimiento y reporte de vulnerabilidades ha alcanzado cotas históricas: a octubre de 2026 ya se han registrado más de 81.000 vulnerabilidades y exposiciones comunes (CVE).
Esta cifra récord evidencia el límite de los esquemas reactivos tradicionales:
La ciberseguridad ha dejado de ser un asunto meramente técnico para consolidarse como una disciplina central de gestión del riesgo del negocio.
En el plano regulatorio, el estándar legal en Chile ha cambiado de escala con la promulgación de la Ley 21.719 sobre Protección de Datos Personales. El calendario definitivo ya está en marcha: la ley entrará en plena vigencia el 15 de octubre de 2027, fecha en que también comenzará sus funciones la nueva Agencia de Protección de Datos Personales (APDP).
A simple vista, un plazo que culmina a finales de 2027 puede generar una peligrosa sensación de holgura. Sin embargo, postergar la adaptación técnica y organizativa es una trampa estratégica:
La cultura del dato no se decreta por memorándum ni se improvisa en la recta final; se entrena con tiempo como un estándar de conducta corporativa.
La estrategia digital de una empresa no puede sostenerse sobre pilares desconectados:
El desafío de los directorios ya no es decidir si adoptar o no estas tecnologías, sino ejercer un liderazgo unificado: construir sobre arquitecturas ciberseguras, exigir arneses de control para la IA y promover una cultura anticipada de respeto y gobierno de datos.