9 conclusiones del Hype Cycle™ de Gartner® para tecnologías de gobernanza de IA de 2026

Gartner ha publicado el Hype Cycle para tecnologías de gobernanza de IA de 2026, una lectura esencial para arquitectos de plataformas y responsables de seguridad de la información. Esta es la primera edición que trata las herramientas de gobernanza de IA como un mercado independiente, separado de las disciplinas de gobernanza a las que sirve, y llega en el momento en que la mayoría de las empresas descubren que sus documentos de políticas de IA carecen de una superficie de aplicación real.

TrueFoundry ha sido nombrado proveedor de muestra en dos perfiles de este Hype Cycle: puertas de enlace de IA (AI Gateways) e ingeniería de IA. Esas dos categorías se sitúan en extremos opuestos del mismo problema. Una es el punto de control en tiempo ejecución por el que pasan todas las llamadas a modelos, llamadas a herramientas MCP y saltos de agentes. La otra es la disciplina que Gartner califica como transformadora, definida en el informe como "la disciplina de diseñar, desarrollar, entregar, operar y gobernar herramientas y sistemas que utilizan/despliegan/aplican IA para generar valor empresarial". 

Ser reconocidos en ambas refleja la postura que hemos mantenido desde nuestros inicios: la gobernanza que se añade una vez construida la plataforma nunca se aplicará, y una plataforma que no puede aplicar políticas no es una plataforma empresarial. A continuación, presentamos las nueve conclusiones que consideramos más importantes.

Obtenga acceso gratuito al informe completo aquí: Hype Cycle™ de Gartner® para tecnologías de gobernanza de IA, 2026

1. Gartner divide la gobernanza de la IA en dos Hype Cycles

‍

Ahora existen dos Hype Cycles complementarios. Uno cubre las disciplinas de gobernanza, los modelos operativos y las capacidades organizativas, abordando qué debe gobernar una organización. Este cubre las tecnologías que responden a una pregunta diferente, que Gartner plantea como: "¿Cómo implementarán las organizaciones la gobernanza a escala?".

La relación entre ambos es importante. Como señala el informe:

"Algunos mercados tecnológicos responden a los desafíos operativos urgentes más rápido de lo que las organizaciones pueden evolucionar sus modelos operativos de gobernanza".

La consecuencia es que varias de estas tecnologías están madurando junto a, o por delante de, las disciplinas a las que debían servir. Para los líderes de plataformas, esto invierte la secuencia habitual. Sus decisiones sobre herramientas llegarán antes que sus decisiones sobre políticas, lo que significa que el punto de control que seleccione este año definirá el límite máximo de lo que su programa de gobernanza podrá aplicar durante los próximos tres.

2. La pérdida de control se señala como el riesgo empresarial definitorio de la IA

Entre las suposiciones de planificación estratégica del informe:

"Para 2028, la pérdida de control, donde los agentes persiguen objetivos desalineados o actúan fuera de las restricciones, será la principal preocupación para el 40% de las organizaciones de la lista Fortune 1000".

Este es un cambio sustancial en lo que se le exige a la gobernanza. El riesgo del modelo es una propiedad que se puede evaluar antes del despliegue, mediante evaluación, documentación y revisión. El riesgo conductual es una propiedad de un sistema en movimiento, y solo puede abordarse donde realmente ocurre la acción. Esa distinción explica la composición de este Hype Cycle, donde las innovaciones más recientes y en etapas iniciales son, en su gran mayoría, puntos de aplicación en tiempo de ejecución en lugar de marcos de evaluación.

Dos suposiciones adicionales añaden contexto a este hallazgo. Gartner proyecta que las tecnologías de gobernanza reducirán los costes de cumplimiento normativo en un 70% para 2028, y que para 2029 las empresas que implementen gobernanza de IA superarán a sus competidores sin gobernanza en un 25% en cuanto a adopción de IA.

3. La gobernanza de la IA ha absorbido el problema de la responsabilidad financiera

La encuesta de consejos de administración de Gartner de 2026 reveló que el 91% de los miembros encuestados ven la IA como una oportunidad para generar valor para los accionistas. La encuesta de IA de Gartner de 2025, centrada en CIO y líderes tecnológicos, reveló que el 74% de los CIO informan que los costes de implementación igualan o superan los beneficios obtenidos.

El mecanismo detrás de esa brecha es la economía de agentes, que Gartner describe de la siguiente manera:

"La IA de agentes cambia el patrón de gasto de un modelo predecible de 'por usuario por sesión' a uno impredecible de 'por ruta de decisión', que puede ramificarse, reintentar, invocar herramientas, ampliar el contexto o involucrar a múltiples agentes".

El informe agrupa tres capacidades emergentes en este sentido: gestión financiera para IA, FinOps para IA de agentes y control de uso de IA. Gartner también cita su previsión de que los agentes específicos para tareas estarán presentes en aproximadamente el 40% de las aplicaciones empresariales para finales de 2026, frente a menos del 5% en 2025.

La conclusión operativa es inequívoca. La atribución de costes debe resolverse en función de la ruta de decisión y no del usuario o la aplicación. La aplicación de presupuestos, el enrutamiento de modelos, el almacenamiento en caché y la atribución por paso son controles de gobernanza en un entorno de agentes, y deben situarse en el mismo punto de control que el acceso.

4. La unidad de gobernanza ha pasado del modelo a la ruta de llamada

En el informe de Gartner, el tema principal es que la gobernanza de agentes se está volviendo operativa, abarcando la orquestación de agentes, la gestión de habilidades de los agentes, la reversión de acciones y la seguridad de la IA de agentes. El informe es claro sobre lo que sucede sin un plano de control:

"Sin orquestación, los agentes de IA se propagarán por toda la empresa y se volverán caóticos e inmanejables, limitando el impacto empresarial".

La orquestación de agentes se encuentra actualmente con una penetración de mercado inferior al 1% con una Emergente calificación de madurez, lo que indica lo temprana que es la capa de aplicación en relación con la curva de despliegue.

Curiosamente, la reversión de acciones de agentes de IA, calificada como embrionaria, identifica y revierte los efectos de las acciones de un agente sobre los datos, los objetos de identidad y el estado de la infraestructura. El planteamiento del informe sobre por qué existe merece ser leído por cualquiera que crea que los mecanismos de protección son suficientes:

"Los mecanismos de protección de la IA de agentes pueden limitar la actividad del agente, pero no remedian sus consecuencias".

La prevención y la remediación son capacidades distintas, y la mayoría de los programas de agentes empresariales actuales no cuentan con ninguna de las dos a nivel de salto. 

5. La gobernanza y la ciberseguridad convergen en una superficie de control compartida

"A medida que los sistemas de IA adquieren mayor autoridad en la toma de decisiones y requieren menos intervención humana directa, los equipos de gobernanza y ciberseguridad necesitan cada vez más capacidades compartidas para la gestión de inventarios, la aplicación de políticas y la supervisión".

Las tecnologías que Gartner agrupa bajo este tema incluyen plataformas de gobernanza de IA, plataformas de gobernanza de datos y análisis (D&A), IA explicable, automatización del cumplimiento continuo de ciberseguridad, herramientas de gobernanza de Microsoft 365, tecnología GRC para aseguramiento y software de gestión de auditorías. El informe también señala una sorprendente brecha de eficacia:

"Las organizaciones que han implementado plataformas de gobernanza de IA son más de tres veces más eficaces en sus programas de gobernanza de IA que aquellas que no las implementaron".

La implicación organizativa es la que la mayoría de las empresas entenderán mal. Cuando dos funciones requieren de forma independiente el mismo inventario y el mismo punto de aplicación, el resultado por defecto es tener dos de cada uno, sin que ninguno sea definitivo. Establecer la propiedad del punto de control desde el principio es considerablemente más barato que reconciliar dos registros parciales más adelante.

6. El contexto es ahora un activo gobernado, no un detalle de implementación

La postura del informe sobre el origen de los fallos de la IA es algo que los equipos de plataforma deberían interiorizar:

"Las organizaciones reconocen cada vez más que los fallos de la IA suelen deberse a un contexto inadecuado, una base deficiente y activos de conocimiento mal gestionados."

Las tecnologías facilitadoras en este ámbito son la ingeniería de contexto, los grafos de contexto, las puertas de enlace de IA, las plataformas de inteligencia de decisiones y la gestión del ciclo de vida de los prompts. La taxonomía de modos de fallo de contexto del informe proporciona a los equipos de plataforma un vocabulario preciso para problemas que ya están depurando sin saber cómo llamarlos: información perdida en medio de una ventana larga, envenenamiento por contenido alucinado repetido, distracción cuando un contexto excesivo desplaza al conocimiento de entrenamiento, confusión por contenido irrelevante y conflictos entre fuentes contradictorias.

7. La garantía continua está sustituyendo a la revisión periódica

"Las organizaciones están pasando progresivamente de las revisiones de gobernanza periódicas a la garantía continua. Lo logran supervisando el comportamiento de la IA en tiempo real y aplicando controles automatizados, que integran la gobernanza directamente en las operaciones de IA."

Cuatro tecnologías sustentan esta tendencia: observabilidad de LLM, defensa en tiempo de ejecución de IA, monitorización como código y desarrollo basado en evaluaciones. La observabilidad de LLM se clasifica como embrionaria, con una penetración del 1% al 5%, y el informe explica por qué las pilas de monitorización existentes no son transferibles:

"A medida que los sistemas de IA generativa se integran en flujos de trabajo críticos para el negocio, los enfoques de monitorización tradicionales resultan insuficientes para detectar la degradación de la calidad, las alucinaciones o los riesgos de cumplimiento."

La latencia y el tiempo de actividad no dicen nada sobre la tasa de alucinación, la precisión factual, el sesgo, la toxicidad o la utilización de tokens. Gartner predice además que la IA explicable impulsará la inversión en observabilidad en la mitad de las implementaciones de IA generativa para 2028.

De las cuatro, el desarrollo basado en evaluaciones es donde deberíamos concentrar nuestros esfuerzos primero. Aplicar principios de desarrollo basado en pruebas a sistemas no deterministas, con evaluaciones que actúen como funciones de aptitud tanto en el desarrollo como en la producción, es el único método fiable para extraer previsibilidad de componentes que no la proporcionan de forma nativa.

8. La soberanía se ha convertido en una decisión de arquitectura, no en un requisito de cumplimiento

"Las crecientes exigencias de residencia de datos, supervisión jurisdiccional e independencia de la infraestructura están impulsando el interés por la IA soberana."

Gartner sitúa las inversiones consolidadas en gestión de la privacidad, gestión de metadatos y descubrimiento de datos como los controles fundamentales sobre los que se construye la IA soberana, siendo la nube soberana y los modelos de lenguaje pequeños para IA soberana las tecnologías que permiten su operatividad. Estos últimos se califican con un beneficio alto y una madurez emergente.

Una recomendación de ese perfil tiene aplicaciones que van mucho más allá de la soberanía:

"Evalúe las cargas de trabajo de IA por coste, latencia, sensibilidad de los datos y riesgo normativo, no solo por la capacidad del modelo."

Para los líderes de plataforma, esto se reduce a una cuestión de topología de despliegue. Si la puerta de enlace, el plano de control y el servicio de modelos pueden operar completamente dentro de su propio perímetro ya no es un punto más en un cuestionario de seguridad. En los sectores de servicios financieros, sanidad y sector público, esto determina si el programa sigue adelante.

9. Los planos de control son más críticos que las puertas de enlace de propósito único

Las puertas de enlace de IA tienen una penetración de mercado del 1% al 5% con una calificación de madurez embrionaria. Gartner es explícito sobre la trayectoria:

"A medida que el mercado madure, cabe esperar una consolidación en una oferta única que admita múltiples casos de uso."

El perfil de Ingeniería de IA llega a la misma conclusión desde el punto de vista de la entrega. Gartner identifica la fragmentación de herramientas como un obstáculo crítico, describiendo cómo "las empresas acumulan herramientas independientes para canalizaciones, registros de modelos, observabilidad, evaluación y gobernanza", con una deuda de integración que ralentiza la entrega y socava la auditabilidad. 

La guía de compra de Gartner para puertas de enlace se deriva del mismo análisis: realice una prueba de concepto rigurosa, evalúe frente a requisitos técnicos y operativos reales antes del despliegue completo, y dé mucho peso a la hoja de ruta de innovación del proveedor, ya que las normas y reglamentos en este espacio siguen cambiando y las adaptaciones son costosas.

Cómo aborda esto TrueFoundry

Nuestra inclusión tanto en los perfiles de AI Gateways como de AI Engineering refleja una posición arquitectónica, no dos líneas de producto independientes.

Gartner define una puerta de enlace de IA (AI gateway) como "una herramienta que actúa como intermediario entre las aplicaciones y diversos servicios o modelos de inteligencia artificial", proporcionando un punto central para la seguridad, la gobernanza y la observabilidad. La TrueFoundry AI Gateway es ese punto central para modelos, servidores MCP y agentes, con control de acceso, gestión de claves, límites de presupuesto y tasa, barreras de seguridad, gestión de prompts y seguimiento completo de solicitudes integrados en la ruta de datos en lugar de añadidos externamente.

Nuestro modelo de gobernanza de agentes opera directamente en la ruta de llamada. En cada salto, la puerta de enlace identifica tanto al usuario final como al agente que realiza la llamada como entidades distintas, evalúa la autorización antes de emitir cualquier token, genera un token con alcance limitado exclusivamente al siguiente destinatario en lugar de reenviar uno sin cambios, aplica barreras de seguridad al contenido de la solicitud y la respuesta, y registra el sujeto, la cadena de actores, la decisión y el alcance para su auditoría.

La arquitectura de plano dividido permite que el plano de control, el plano de puerta de enlace y el plano de computación se ejecuten dentro de su propia cuenta en la nube o entorno local, lo que responde a los requisitos de soberanía descritos en el sexto tema del informe.

Para evaluar esto en relación con su propia arquitectura, hable con nuestro equipo y analizaremos sus rutas reales de llamadas de agentes.