El mercado GRC en 2026: qué dicen Forrester, Verdantix y GRC 20/20 sobre la IA y las plataformas

Por qué merece la pena fijarse en los analistas en 2026

En 2026, casi todos los proveedores de software GRC hablan de agentes de IA. Sin embargo, quien lee los análisis actuales de los grandes observadores del mercado encuentra un balance bastante más sobrio. Forrester, Verdantix y GRC 20/20 Research llegan, de forma independiente, a una conclusión similar: las plataformas GRC tienen que cambiar de raíz, y las funciones de IA que se venden hoy apenas lo consiguen por ahora.

Para las organizaciones que están eligiendo una plataforma GRC o modernizando su sistema de gestión de la seguridad de la información, esta es una orientación importante. Este artículo resume los resultados públicamente disponibles de los tres análisis, muestra sus puntos en común y extrae preguntas clave para la selección.

Los tres análisis de un vistazo

Forrester: del System of Record al System of Action

A finales de mayo de 2026, Forrester publicó su Wave sobre plataformas de gobernanza, riesgo y cumplimiento, para la que evaluó a doce proveedores. Los analistas Paul McKay y Cody Scott describen un mercado con fuertes vientos en contra: muchas plataformas siguen exigiendo demasiada introducción manual de datos, solo ofrecen una automatización sencilla de flujos de trabajo y resultan demasiado complejas, pesadas y caras para su propósito actual. Forrester

Al mismo tiempo, Forrester prevé que el propósito de estas plataformas cambie de raíz en los próximos 18 a 24 meses. Hasta ahora, las herramientas GRC eran ante todo un System of Record: registran los resultados de las evaluaciones de riesgos, las revisiones de cumplimiento y las auditorías internas. En el futuro deberán convertirse en un System of Action que orqueste el trabajo y entregue resultados, en lugar de limitarse a almacenar datos. La plataforma sigue siendo el lugar de los datos de referencia, pero aprovecha la automatización en un ecosistema más amplio. Para ello, los proveedores colaboran cada vez más con especialistas en datos de riesgo y contenidos regulatorios, en lugar de desarrollarlo todo por su cuenta.

Otros cuatro hallazgos son especialmente relevantes para elegir una plataforma:

• Hoy la IA aporta poco valor añadido. La mayoría de las funciones de IA mejoran lo existente en lugar de transformar el trabajo de raíz. Los clientes citan como obstáculos las limitaciones funcionales y los costes elevados. Lo más demandado es algo muy concreto: evaluaciones de riesgos y revisiones de cumplimiento mucho más rápidas.
• La monitorización continua de controles es el criterio más débil de toda la evaluación. Muchas plataformas solo la utilizan para recopilar evidencias para la auditoría interna. Según Forrester, su verdadero valor está en supervisar de forma continua si los controles son eficaces y si se cumplen las políticas, y en impulsar correcciones cuando se producen desviaciones. Puede leer más sobre este enfoque en Monitorización continua de controles: sepa qué demuestra la señal.
• Más datos no significa automáticamente mejor. Forrester establece un paralelismo con la analítica de seguridad: allí, solo la concentración en casos de uso claramente definidos aportó un beneficio real. Para GRC, los analistas recomiendan bibliotecas con casos de monitorización concretos y umbrales habituales, de modo que solo se recopilen los datos que realmente se necesitan.
• Nadie sabe cómo fijar el precio de la IA. Los modelos van desde la inclusión gratuita hasta la facturación por caso de uso de IA gobernado, pasando por paquetes adicionales fijos. A menudo los clientes pagan dos veces: por la IA de la plataforma y por un módulo independiente de gobernanza de la IA. Muchos clientes de referencia no fueron capaces de valorar el retorno de su inversión en IA.

Verdantix: las funciones crecen más rápido que su explicabilidad

Para el Green Quadrant GRC Software 2025, Verdantix comparó a 15 proveedores en diez categorías de capacidades y contrastó los resultados con datos financieros y de clientes. Verdantix El artículo que lo acompaña sobre la IA en GRC incluye un hallazgo que llama la atención: todas las plataformas que obtuvieron la puntuación máxima en funciones de IA integradas solo alcanzaron entre uno y dos puntos en explicabilidad y gobernanza de los modelos. Blog de Verdantix

Es decir, los chatbots y las pruebas de controles automatizadas llegan al mercado más rápido que las pistas de auditoría, los indicadores de confianza y los informes de riesgo de modelos que las autoridades de supervisión exigirán en el futuro. Verdantix remite expresamente al Reglamento de IA de la UE: la factura por la falta de explicabilidad vencerá pronto. Puede consultar qué normas están surgiendo en este ámbito en ISO/IEC 27090, EN 18286 e IEEE 2863: las 3 nuevas normas de gobernanza de la IA de 2026 de un vistazo.

Otros tres resultados encajan con esto:

• Una puntuación alta en IA no basta para vender. La IA avanzada despierta interés, pero si los módulos GRC subyacentes son escasos, los interesados dudan. El crecimiento sostenible sigue dependiendo de la amplitud de la cobertura y de la implantación tras la compra.
• La fortaleza en IA no se traduce en mayores tasas de renovación. Verdantix no encontró ninguna correlación fiable. Los clientes se fijan más en la estabilidad de la plataforma, una implantación rápida y un buen soporte.
• La profundidad requiere inversión. La correlación más clara se dio entre el presupuesto de desarrollo y una madurez real en IA. Sin una inversión sostenida, todo se queda en widgets de IA superficiales.

Para los próximos años, Verdantix prevé que las funciones de IA sencillas, como la búsqueda generativa y los resúmenes, se conviertan en estándar. La competencia se desplaza así hacia la transparencia, la supervisión y la adecuación regulatoria. Para los proveedores con una alta proporción de inversión en desarrollo, Verdantix ve una oportunidad poco habitual de adelantar a los proveedores establecidos, siempre que cumplan en profundidad de la IA, calidad de los datos y transparencia.

GRC 20/20: la orquestación requiere responsabilidad

En octubre de 2026, Michael Rasmussen, fundador de GRC 20/20 Research, publicó una Market Perspective de 143 páginas sobre «GRC 7.0 – GRC Orchestrate». GRC 20/20 Su tesis: la IA hace que las funciones de software visibles sean baratas e intercambiables. Lo que gana valor, en cambio, es la información fiable, el contexto de negocio, la metodología especializada y una ejecución de la que alguien responde.

Describe GRC 7.0 como una arquitectura que sitúa tres sistemas alrededor de los systems of record de referencia: uno que detecta e interpreta los cambios, otro que ejecuta el trabajo dentro de unas facultades claramente definidas y verifica su resultado, y un tercero que permite adaptar las capacidades GRC de forma trazable. Rasmussen lo distingue expresamente de una simple acumulación de funciones de IA. Hemos resumido cómo es este modelo en detalle y qué significa en la práctica en GRC 7.0: qué significa GRC Orchestrate de Michael Rasmussen para las organizaciones.

Qué tienen en común los tres análisis

Si se leen los tres análisis en paralelo, aparecen cuatro líneas comunes:

Los análisis no se contradicen en ningún punto esencial. Iluminan el mismo cambio desde tres direcciones: Forrester desde la perspectiva de las valoraciones de los clientes, Verdantix contrastando las funciones con las cifras de negocio y GRC 20/20 desde la perspectiva de la arquitectura.

En qué deben fijarse las organizaciones al elegir

Para las organizaciones que están eligiendo una plataforma GRC, por ejemplo para NIS2, ISO/IEC 27001 o el Reglamento de IA de la UE, de los hallazgos de Forrester y Verdantix se derivan cuatro preguntas que conviene plantear:

• ¿De dónde procede una evaluación? ¿Es posible rastrear, para cada resultado de un agente de IA, en qué requisito, en qué evidencia y en qué justificación se basa?
• ¿Qué se supervisa? ¿La plataforma solo recopila evidencias para la próxima auditoría o muestra de forma continua si los controles son eficaces?
• ¿Qué ahorra en concreto? ¿Cuánto más rápidas son las evaluaciones de riesgos y los análisis de brechas? Según Forrester, ese es el beneficio que más buscan los clientes.
• ¿Cómo se fija el precio de la IA? ¿Está claro cuánto cuestan las funciones de IA y qué aportan, o hace falta un módulo adicional para la gobernanza de la IA?

Encontrará el catálogo completo de criterios de selección en Cómo elegir el mejor software GRC.

Cómo lo vemos en Secani

Los análisis confirman una dirección que seguimos con Secani. El agente de Secani debe asumir un amplio trabajo preparatorio: reunir información, proponer correspondencias, consolidar evidencias y explicar las brechas. La decisión sigue en manos de una persona, y debe poder rastrearse más adelante. Cómo entendemos la conexión entre requisito, evidencia y juicio se describe en el artículo IA en GRC: citar no es verificar.

Por tanto, la vara de medir no es cuántas funciones de IA tiene una plataforma, sino si para cada evaluación se puede responder por qué es válida, quién responde de ella y qué tendría que cambiar para que se vuelva a revisar.

Conclusión

En 2026, Forrester, Verdantix y GRC 20/20 describen el mismo cambio: las plataformas GRC deben realizar el trabajo y entregar resultados, en lugar de limitarse a almacenar datos. La IA es una herramienta importante para ello, pero ya no es un factor diferenciador. Lo que marca la diferencia es la trazabilidad, una responsabilidad clara y unas bases sólidas. Quien elija una plataforma GRC debería preguntar exactamente por estos aspectos y pedir que le muestren las respuestas en su propio caso de uso.

Fuentes

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 de mayo de 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 de agosto de 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octubre de 2026)