La inteligencia artificial avanza a un ritmo que supera la capacidad de adaptación de muchas organizaciones y de sus marcos de gobernanza. Tanto el sector público como el privado se enfrentan al desafío de incorporar esta tecnología de forma segura, responsable y conforme a un escenario regulatorio cada vez más exigente. Con este contexto como telón de fondo, la Conferencia Europea de ISACA 2026 reunirá en Múnich, del 7 al 9 de octubre, a más de 50 ponentes internacionales para analizar cómo reforzar la supervisión, gestionar el riesgo y desarrollar resiliencia frente a los nuevos desafíos tecnológicos.
El encuentro coincide con la preparación de las organizaciones para la aplicación de la Ley de Inteligencia Artificial de la Unión Europea, junto con otras normas como NIS2, DORA y la Ley de Ciberresiliencia. En conjunto, estos marcos están redefiniendo las exigencias en materia de gobernanza, resiliencia operativa y confianza digital mientras la inteligencia artificial se integra de forma creciente en la actividad de empresas e instituciones.
El AI Act marca un punto de inflexión en la regulación
Desde el 2 de agosto de 2026, la mayor parte de las obligaciones del Reglamento Europeo de Inteligencia Artificial (AI Act) ya son exigibles. Esta normativa, la primera de su tipo a nivel mundial, establece un régimen escalonado hasta 2028 y busca garantizar que la IA se utilice de manera segura, transparente y respetuosa con los derechos fundamentales. Las empresas deben informar a los usuarios cuando interactúen con un sistema de IA, como chatbots o asistentes virtuales, aunque el etiquetado obligatorio de contenidos generados por IA se ha aplazado hasta diciembre de 2026 para ciertos modelos generativos.
El régimen sancionador es especialmente severo: las infracciones más graves pueden acarrear multas de hasta 35 millones de euros, especialmente cuando se empleen sistemas de IA prohibidos. Los incumplimientos relacionados con sistemas de alto riesgo pueden conllevar sanciones de hasta 15 millones de euros. Entre los usos ya prohibidos desde 2025 se encuentran los sistemas de puntuación social, la identificación biométrica remota en tiempo real en espacios públicos con fines policiales (salvo excepciones muy limitadas) y las herramientas que explotan la vulnerabilidad de menores o personas con discapacidad.
No obstante, algunas obligaciones se han retrasado. Los requisitos para sistemas de alto riesgo, como los usados en selección de personal, concesión de créditos o fijación de primas de seguros, se aplicarán a partir de diciembre de 2027. Un año después, en agosto de 2028, será el turno de los sistemas integrados en productos ya regulados, como dispositivos médicos o asistentes de conducción.
España avanza con su propia ley de gobernanza de la IA
En paralelo al reglamento europeo, el Gobierno español impulsa el proyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial, actualmente en tramitación parlamentaria. Esta norma no crea un régimen distinto, sino que adapta la aplicación del AI Act al ordenamiento jurídico español, definiendo las autoridades competentes, el sistema de supervisión y el procedimiento sancionador. También establece obligaciones específicas para el sector público, lo que refuerza la necesidad de que las administraciones se preparen para cumplir con los nuevos estándares.
Expertos como Giovanni Alessandrello, director general de BIP Iberia, advierten que el mayor riesgo es que las empresas interpreten las prórrogas como una razón para retrasar su adaptación. En su opinión, el nuevo marco representa una oportunidad para impulsar una IA explicable, auditada y gobernada. Guillermo Hidalgo, abogado especializado en tecnología de Maio Legal, añade que la normativa aporta seguridad jurídica al diferenciar entre aplicaciones de bajo impacto y aquellas que afectan a decisiones sobre créditos, empleo o educación.
Los agentes de IA autónomos abren una nueva superficie de riesgo
Mientras la regulación avanza, la realidad tecnológica se acelera. Los agentes de IA, capaces de interpretar instrucciones y actuar de forma autónoma dentro de las redes corporativas, se están desplegando a gran velocidad. Según una encuesta global de la Cloud Security Alliance (CSA) de abril de 2026, el 82% de las organizaciones tiene agentes de IA desconocidos operando en su infraestructura y el 65% ya ha experimentado incidentes de seguridad relacionados con estos agentes en los últimos 12 meses. De ese grupo, un 61% reportó exposición de datos, un 43% interrupciones operativas y un 35% pérdidas financieras.
El fenómeno del Shadow AI, o uso de herramientas de inteligencia artificial sin autorización de los equipos de tecnología, agrava el problema. El Cost of a Data Breach Report 2025, elaborado por el Ponemon Institute, reveló que el 97% de las organizaciones que sufrieron un incidente de seguridad relacionado con IA carecía de controles de acceso adecuados, y que el 63% no cuenta con políticas de gobernanza para gestionar la IA. Los incidentes de Shadow AI ya representan el 20% de todas las brechas y añaden, en promedio, 670.000 dólares al costo de un incidente.
Además, en mayo de 2026, investigadores de Google detectaron el primer ataque real que utilizó inteligencia artificial para explotar una vulnerabilidad de día cero, confirmando que la IA ofensiva ya es una realidad. Sectores como minería, energía e industria son especialmente vulnerables, ya que un agente con acceso a sistemas operacionales puede escalar un incidente desde lo digital hasta lo físico.
La Conferencia Europea de ISACA 2026 como respuesta al desafío
Ante este panorama, la Conferencia Europea de ISACA 2026, que se celebrará en Múnich del 7 al 9 de octubre, se presenta como un foro clave para abordar la gobernanza de la IA. Más de 50 ponentes internacionales participarán en más de 40 sesiones que cubrirán desde la gobernanza de la IA agéntica hasta la ciberresiliencia, la seguridad en la nube y la privacidad. Entre las sesiones destacan «La gobernanza de la IA alcanza la madurez: regulación, riesgo e IA agéntica» y «Cómo construir una defensa centrada en las personas frente a los ataques impulsados por la IA».
La conferencia comenzará con una ponencia magistral de Henry Ajder, especialista en IA generativa y deepfakes, asesor del Foro Económico Mundial y la Comisión Europea. También participará Mónica Verma, exdirectora de Seguridad de la Información y fundadora de Cyber Foyer, quien compartirá estrategias para fortalecer la ciberresiliencia y el liderazgo. ISACA presentará además nuevas credenciales avanzadas en IA: Advanced in AI Audit (AAIA), Advanced in AI Risk (AAIR) y Advanced in AI Security Management (AAISM), diseñadas para dotar a los profesionales de competencias específicas en auditoría, riesgos y ciberseguridad.
Antes del congreso se celebrarán dos talleres especializados: uno sobre la preparación de la certificación Advanced in AI Risk y otro sobre diseño e implantación de programas de privacidad. Los asistentes podrán obtener hasta 32 créditos de formación profesional continua (CPE) y establecer contactos con profesionales de toda Europa. La conferencia podrá seguirse tanto de forma presencial como mediante un paquete virtual, y las inscripciones ya están abiertas con tarifa reducida hasta el 28 de agosto de 2026.
La combinación de la entrada en vigor del AI Act, la tramitación de la ley española y la proliferación de agentes de IA autónomos subraya la urgencia de establecer marcos de gobernanza sólidos. Las organizaciones que no se preparen ahora se arriesgan a sanciones millonarias, incidentes de seguridad y pérdida de confianza. La gobernanza de la IA ya no es una opción, sino una necesidad estratégica para competir en un entorno cada vez más regulado y tecnológicamente complejo.