La majoria d'organitzacions no tenen dificultats per adoptar la IA. Tenen dificultats per governar-la bé. El 88% de les organitzacions utilitzen activament la IA en totes les funcions empresarials, però només el 8% tenen un marc de governança integral de la IA, i tancar aquesta bretxa, no afegir més capacitat de model, és ràpid. convertint-se en el repte definitiu de enterprise IA el 2026.
Aquesta publicació analitza què significa realment la governança de la IA, els errors específics impulsant la majoria d'incidents avui, per què el seguiment de la governança de la IA ha de ser continu en lloc de periòdic, i com la governança contextual proporciona la visibilitat estratègica que els documents polítics per si sols no aconseguiran mai.
Què és la governança de la IA?
La governança de la IA és la combinació de polítiques, controls i infraestructura tècnica que determina a què poden accedir els sistemes d'IA, quines accions poden dur a terme i si aquestes accions estan registrades i auditables. No és un document únic ni una revisió puntual; és una capacitat operativa que ha de seguir el ritme de la rapidesa amb què avança l'adopció de la IA.
Aquest ritme és el problema central. El 85% de les organitzacions han integrat la IA a les operacions bàsiques o l'han desplegat en múltiples funcions, però només el 25% informen de visibilitat completa sobre com s'utilitza realment. Reivindicar la governança i dirigir la governança són dues coses completament diferents, i la distància entre elles és exactament on s'originen la majoria dels errors de governança de la IA.
Els errors de governança més comuns del 2026
Els errors de governança de la IA poques vegades comencen amb el model en si. Comencen amb la visibilitat, la propietat i l'accés, les parts de la governança que no apareixen en una demostració.
- Els marcs de governança existeixen sobre el paper però no s'implementen. Com s'ha esmentat anteriorment, la bretxa entre les organitzacions que executen IA a escala (85%) i les que tenen visibilitat real sobre aquest ús (25%) és un dels errors de governança de la IA més evidents registrats, i significa que la majoria de la IA "governada" funciona amb molta menys supervisió de la que assumeixen els líders.
- Shadow AI prolifera més ràpid del que ningú pot rastrejar-lo. El 85% de les organitzacions han integrat la IA a les operacions bàsiques o l'han implementada en múltiples funcions, però només el 25% informen d'una visibilitat completa de l'ús de la IA pels empleats. Els GPT personalitzats, els agents sense codi i els LLM de proveïdors es distribueixen entre els equips sense passar per cap revisió formal, i quan els equips de governança ho descobreixen, les eines ja estan integrades en els fluxos de treball diaris.
- Agentic AI està superant la governança creada per a ell. El 74% de les organitzacions tenen previst adoptar la IA agentiva en un termini de dos anys, però només el 21% tenen un model de governança madur per a això. Un estudi de Cloud Security Alliance i Token Security va descobrir que el 63% de les organitzacions no poden aplicar limitacions de finalitat als seus agents d'IA i el 60% no poden cancel·lar un agent amb mal comportament un cop s'està executant. No es tracta d'una bretxa hipotètica: a l'abril del 2026, el 65% de enterpriseamb agents d'IA desplegats havien experimentat un incident de seguretat confirmat.
- La governança uniforme falla perquè no tota la IA comporta el mateix risc. Gartner adverteix que enterpriseL'aplicació d'una governança uniforme a tots els agents d'IA, independentment del nivell d'autonomia o l'abast, es dirigeix cap a errors generalitzats en el desplegament, i prediu que el 2027, el 40% de enterprisedegradaran o desactivaran agents autònoms a causa de llacunes de governança identificades només després que es produeixin incidents de producció. Tractar un agent de resum de documents igual que un que modifica els registres de producció no és precaució; és un defecte de disseny de governança que produeix exactament el resultat que es pretenia evitar.
- Quan la governança de la IA falla, normalment és una fallada de visibilitat, no una fallada de model. El 63% de les organitzacions que van experimentar bretxes relacionades amb la IA no tenien cap política de governança de la IA o encara n'estaven desenvolupant una. El patró recurrent en gairebé tots els incidents documentats és el mateix: un sistema d'IA tenia accés que ningú no estava seguint, va dur a terme una acció que ningú no va revisar i l'error va aparèixer només després del fet.
Per què el seguiment de la governança de la IA ha de ser continu
Una política de governança que es revisa trimestralment és, funcionalment, una política de governança que no existeix durant les altres onze setmanes. El seguiment de la governança de la IA és la pràctica de fer un seguiment continu del que fan els sistemes d'IA, no només del que van ser aprovats per fer, i les dades deixen clar per què és important la distinció.
Gartner projecta la mitjana de grans enterprise executarà més de 150,000 agents d'IA el 2028. Cadascun d'aquests agents és un vector d'accés potencial, una ruta d'exfiltració de dades potencial, una acció potencial sense registre en un sistema de producció sense rastre d'auditoria. Un document de política no pot supervisar 150,000 agents. Només la supervisió contínua pot fer-ho.
El canvi en la supervisió de la governança de la IA requereix un canvi estructural: la governança ha de passar d'una política estàtica a una supervisió contínua, supervisant el comportament dels agents, detectant desviacions i ajustant els controls a mesura que els sistemes evolucionen. Això és una disciplina fonamentalment diferent de la d'escriure una política d'ús acceptable un cop l'any. Significa:
- Seguiment del comportament, no només de les subvencions d'accés. Conèixer un agent té Permís per modificar una base de dades no és el mateix que saber què és realment va fer amb aquest permís, en quin registre i per què.
- Detecció de desviacions dels patrons esperats, la mateixa lògica de comportament que s'utilitza en la detecció d'amenaces tradicional, s'aplica específicament al que sembla la "normalitat" per a un agent o model d'IA determinat.
- Manteniment d'una pista d'auditoria per defecte, no reconstruir-ne un després que ja hagi ocorregut un incident.
El cost de saltar-se això és mesurable. Les organitzacions sense un seguiment dedicat de la governança de la IA estan descobrint problemes de la mateixa manera que es descobreixen la majoria de fallades operatives: després que alguna cosa ja hagi anat malament. El març del 2026, un agent intern de Meta va publicar informació tècnica incorrecta sense aprovació humana i va desencadenar dues hores d'exposició no autoritzada de dades, accessibles a empleats no autoritzats a veure-les, el segon error de control d'agents a l'empresa en setmanes.
Governança contextual i visibilitat estratègica de la IA
Les normes generals fallen perquè el risc de la IA no és uniforme, i aquí és on la governança contextual de la IA es guanya el seu lloc: aplicar el nivell de supervisió que coincideix amb el que un model, agent o integració específic pot fer realment, no una única política estesa a tots els casos d'ús.
Una eina de resum de documents que només llegeix articles interns de la base de coneixements comporta un risc fonamentalment diferent que un agent que pot aprovar factures, enviar correus electrònics de cara al client o modificar registres en un CRM en directe. Tractar-los de manera idèntica produeix exactament la taxa de fracàs de la qual adverteix Gartner. La governança contextual significa calibrar els controls a la capacitat: una supervisió més lleugera per a un agent que només observa, fluxos de treball d'aprovació explícits i registre d'auditoria proporcional al risc per a un que actua.
Aquesta calibració només és possible amb una visibilitat estratègica genuïna, una imatge precisa i actualitzada contínuament de cada actiu d'IA de l'organització, a què pot accedir i què fa realment amb aquest accés. Sense això, la governança contextual és només una teoria; amb això, els equips de governança poden prendre decisions proporcionals al risc.cisions en lloc de restringir excessivament les eines útils o deixar els agents d'alt risc sense supervisió.
La superfície d'atac s'està allunyant de la infraestructura i cap a vies d'accés basades en la identitat. Els errors de governança de la IA emergeixen cada cop més a través d'integracions i permisos en lloc de comprometre directament el sistema. La visibilitat estratègica d'aquestes relacions d'accés, no només dels models en si, és el que converteix la governança contextual de la IA d'una aspiració en quelcom que un equip de seguretat o de compliment pot operar realment diàriament.
Per què les apostes augmenten ràpidament
3Es van registrar 62 incidents relacionats amb la IA el 2025, en comparació amb les 233 del 2024, un augment del 55% interanual. La pressió reguladora està agreujant aquesta tendència en lloc de suavitzar-la: les disposicions d'aplicació completa de la Llei d'IA de la UE per a sistemes d'IA d'alt risc entren en vigor el 2 d'agost de 2026, i cobreixen la qualificació creditícia, l'ocupació, la subscripció d'assegurances i altres àmbits regulats, amb multes que arriben als 15 milions d'euros o al 3% de la facturació anual global per incompliment. El 78% de enterpriseromanen sense estar preparats per a aquestes obligacions.
Les organitzacions que avancen ho tracten com una infraestructura en lloc de paperassa. Les organitzacions que implementen plataformes de governança d'IA dedicades tenen 3.4 vegades més probabilitats d'aconseguir una alta eficàcia en els seus programes de governança que les que no ho fan, i les organitzacions amb IA totalment integrada (no només la piloten) tenen gairebé quatre vegades més probabilitats de reportar un creixement dels ingressos, un 58% enfront d'un 15%, i la mateixa bretxa de maduresa gairebé amb tota seguretat s'aplica a la manera com es governa aquesta IA al llarg del procés.
Per als equips de programari i seguretat específicament, aquesta mateixa bretxa de governança s'estén molt més enllà d'una política de chatbot: els assistents de codificació d'IA, els agents autònoms i les connexions MCP ja s'executen a tot el SDLC, sovint sense que se'ls apliqui cap de la visibilitat o supervisió contextual descrita anteriorment. Xygeni aborda això com una extensió del mateix problema, mapejant cada model d'IA, agent i servidor MCP al llarg del cicle de vida del desenvolupament i correlacionant al que cadascun pot accedir amb el risc que realment representa, de manera que la governança contextual i la supervisió contínua s'apliquen al codi generat per IA i a les dependències introduïdes per IA amb el mateix rigor que qualsevol altre actiu d'IA.
Comença gratis. XígeniEl pla per a desenvolupadors és de 0 €: 10 repositoris, 200 escanejos al mes, fins a 5 col·laboradors, sense targeta de crèdit. Sign up with GitHub, GitLab o Google i vegeu la vostra pròpia petjada d'IA cartografiada en menys de 10 minuts.
FAQ
Quina diferència hi ha entre la governança de la IA i la monitorització de la governança de la IA?
La governança de la IA és el conjunt de polítiques, controls i infraestructura que defineixen què pot fer la IA i qui n'és responsable. La monitorització de la governança de la IA és la pràctica contínua i operativa de fer un seguiment de si els sistemes d'IA es comporten realment dins d'aquests límits, en temps real, en lloc de dependre de revisions periòdiques.
Què causa la majoria dels errors de governança de la IA?
La majoria dels errors de governança de la IA es deuen a la visibilitat i l'accés, no al comportament dels models: eines d'IA a l'ombra que ningú ha revisat, agents amb permisos més amplis que els que ningú ha rastrejat i polítiques uniformes aplicades a sistemes amb nivells de risc molt diferents. Els incidents normalment es descobreixen després perquè la supervisió no era contínua.
Què significa a la pràctica la governança contextual de la IA?
Significa calibrar la supervisió al que realment pot fer un sistema d'IA específic, en lloc d'aplicar una política a cada model o agent. Un agent que només llegeix documents interns necessita una governança molt més lleugera que un que pot modificar dades de producció o enviar comunicacions en nom d'una empresa.
Per què la governança de la IA necessita visibilitat estratègica en lloc d'un simple document polític?
Perquè els errors de governança de la IA es produeixen cada cop més a través d'integracions, permisos i vies d'accés que un document de política no supervisa. La visibilitat estratègica, un inventari real i actualitzat contínuament del que existeix en la IA i a què pot accedir, és el que fa possible una governança contextual i proporcional al risc en lloc de teòrica.
