Ocho de cada diez organizaciones en Chile ya operan agentes de inteligencia artificial, pero apenas una de cada diez cuenta con marcos formales para gobernarlos. La brecha entre adopción y gobernanza no es nueva, pero con agentes autónomos —sistemas que toman decisiones y ejecutan acciones sin intervención humana directa— el riesgo de exposición regulatoria y operativa escala cualitativamente.
Los datos provienen de un relevamiento publicado en octubre de 2025 por El Ecosistema Startup, que midió el estado de adopción de agentes de IA en empresas chilenas. El 86% de las organizaciones consultadas declaró estar implementando o piloteando agentes de IA en algún proceso de negocio. El 9% reportó contar con políticas, controles o estructuras de gobernanza específicas para esos sistemas. El 5% restante no respondió o clasificó como indefinido. Según se informó, la muestra incluyó empresas de tecnología, servicios financieros y retail, aunque no se especificó el tamaño ni la composición exacta del universo encuestado.
Qué es un agente de IA y por qué su gobernanza difiere del software tradicional
Un agente de IA es un sistema que percibe su entorno, razona sobre él y ejecuta acciones de forma autónoma para cumplir un objetivo. A diferencia de un modelo de lenguaje consultado por un humano, un agente puede encadenar decisiones, llamar a APIs externas, modificar datos en sistemas productivos y actuar sobre otras herramientas digitales sin revisión intermedia. Esta autonomía rompe el modelo tradicional de control: ya no hay un usuario que aprueba cada paso, sino un flujo automatizado que puede atravesar múltiples sistemas en segundos.
Desde la perspectiva del DAMA-DMBOK, los agentes de IA son consumidores y productores de datos a la vez, lo que los convierte en nodos de data lineage —el rastro auditable de cómo los datos se originan, transforman y consumen— particularmente difíciles de mapear. Si el catálogo de datos de una organización no registra qué agente accede a qué activo, con qué frecuencia y con qué permiso, la trazabilidad se rompe. El EDM Council, en su marco CDMC (Cloud Data Management Capabilities), identifica el control de acceso y el linaje automatizado como capabilities críticas precisamente para entornos donde los consumidores de datos no son humanos.
Cuándo aplica la gobernanza de agentes — y cuándo no alcanza con las políticas existentes
La gobernanza de agentes de IA aplica en cualquier escenario donde el sistema tenga permisos de escritura, actualización o eliminación sobre datos; pueda invocar servicios externos en nombre de la organización; o tome decisiones que afecten a terceros —clientes, empleados, proveedores. No aplica, o aplica de forma simplificada, en agentes de solo lectura con alcance acotado y supervisados por un humano en cada iteración.
Las políticas de gobernanza de datos diseñadas para analistas y desarrolladores humanos no cubren automáticamente a los agentes. Un agente puede tener credenciales de servicio que le otorguen acceso más amplio que el de cualquier empleado individual, operar fuera del horario habitual de monitoreo y generar volúmenes de interacción que ningún log manual puede auditar. Sin un data steward —rol responsable de la calidad, el acceso y el uso correcto de un activo de datos— asignado explícitamente a los flujos de cada agente, el ownership del dato se vuelve difuso.
El marco regulatorio chileno y la presión regional sobre sistemas autónomos
Chile es el único país de América Latina con una ley de protección de datos personales modernizada ya promulgada: la Ley 21.719, publicada en diciembre de 2024, que establece principios de minimización, finalidad y responsabilidad proactiva alineados con el estándar GDPR. Aunque la ley no regula agentes de IA de forma explícita, sus principios de licitud del tratamiento y de rendición de cuentas implican que toda decisión automatizada que procese datos personales debe poder ser explicada y auditada. Una organización que despliega un agente con acceso a datos de clientes sin política documentada tiene una exposición directa bajo el artículo 14 de esa ley, que exige medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
En el plano regional, Brasil avanza con regulación de IA a nivel federal, mientras que Colombia y Perú tienen proyectos en consulta. Argentina trabaja con la Agencia de Acceso a la Información Pública (AAIP) en lineamientos para tratamiento automatizado. En todos estos marcos, la tendencia es la misma: el responsable del tratamiento —la empresa— responde por lo que hace el sistema, no el proveedor del modelo subyacente.
Tres puntos de control prioritarios para organizaciones con agentes en producción
Para un equipo de gobernanza que ya tiene agentes corriendo en producción, el punto de partida no es redactar una política desde cero, sino hacer un inventario de superficie de riesgo. Bob Seiner, referente en Non-Invasive Data Governance, argumenta que la gobernanza efectiva empieza por hacer visibles las interacciones que ya ocurren, no por prohibirlas. Aplicado a agentes de IA, eso significa:
- Mapear qué datos accede cada agente, con qué credenciales y en qué ventanas horarias — esto es la base del data lineage para sistemas autónomos.
- Asignar un data steward humano responsable de revisar periódicamente los logs de cada agente y validar que el uso del dato sigue siendo consistente con la finalidad declarada.
- Definir un umbral de decisión autónoma: qué puede resolver el agente solo y qué debe escalar a un humano antes de ejecutar — especialmente cuando el dato involucrado es personal, financiero o sensible.
Este inventario no requiere un proyecto de transformación: puede levantarse en dos semanas con las herramientas de observabilidad que la mayoría de las plataformas de agentes ya proveen de forma nativa. La brecha del 77 puntos porcentuales que muestra Chile no se cierra con una política marco genérica, sino con controles concretos sobre flujos concretos.
La Ley 21.719 chilena entra en vigor gradualmente durante 2025 y 2026; las organizaciones que hoy no pueden responder “quién es el data steward de este agente” tendrán dificultades para demostrar responsabilidad proactiva cuando la autoridad de control —el futuro Consejo para la Transparencia con funciones ampliadas— empiece a revisar tratamientos automatizados.
