Gobernanza de agentes de IA: de riesgo empresarial a activo estratégico
La proliferación de agentes de IA en la empresa ha pasado de ser teórica a práctica a un ritmo notable. Estos agentes, ya sean desarrollados internamente o bajo licencia, se integran cada vez más en los flujos de trabajo comerciales principales. Si bien prometen avances sustanciales en automatización y productividad, también introducen una nueva y compleja clase de riesgos de seguridad que exigen atención inmediata.
El desafío central no es si adoptar agentes de IA, sino cómo gobernarlos de manera efectiva. Un enfoque disciplinado para equilibrar la innovación con la seguridad es esencial para cualquier organización que busque aprovechar la IA sin exponerse a riesgos inaceptables.
Investigaciones recientes resaltan la urgencia del problema. Un estudio exhaustivo encontró que el 82% de las empresas ya utilizan agentes de IA, y el 53% admite que acceden a información sensible a diario. Esta adopción rápida, que a menudo ocurre sin una supervisión adecuada, crea vulnerabilidades significativas. El imperativo es claro: las organizaciones deben establecer marcos de gobernanza robustos para gestionar esta nueva fuerza laboral digital.
El problema del ciclo de vida del agente de IA: descubrimiento y propiedad
La cuestión de la propiedad presenta otro obstáculo crítico. Los agentes de IA a menudo se introducen en los flujos de trabajo sin líneas claras de responsabilidad. Cuando el desarrollador o líder del proyecto que introdujo un agente abandona la organización, la empresa se queda con un agente huérfano. Esto crea una brecha peligrosa tanto en la responsabilidad como en la seguridad, ya que no hay un propietario designado responsable de su mantenimiento, actualizaciones o desaprovisionamiento.
Uno de los mayores desafíos en la gestión de agentes de IA es su ciclo de vida. En entornos empresariales complejos y extensos, el seguimiento manual de cada agente implementado simplemente no es factible. Para que la gobernanza sea efectiva, cualquier agente recién creado, bajo licencia o implementado debe ser descubrible automáticamente. Sin esta capacidad fundamental, las organizaciones corren el riesgo de crear un ecosistema oculto de agentes no gobernados que operan fuera de los controles de seguridad y cumplimiento.
La cuestión de la propiedad presenta otro obstáculo crítico. Las tendencias de la industria indican que la propiedad de un agente de IA generalmente cambia de manos cuatro veces durante su primer año. La fase inicial involucra la propiedad y el patrocinio ejecutivo, donde los líderes empresariales establecen los objetivos y definen las metas de automatización dentro de un grupo específico. Una vez que se logra una prueba de valor (POV) o prueba de concepto (POC), la propiedad generalmente pasa al equipo de IA, responsable del entrenamiento final y el refinamiento del modelo. A continuación, el equipo de operaciones en la nube asume el control para implementar el agente y proporcionar monitoreo continuo. Finalmente, los equipos de seguridad de aplicaciones y datos intervienen para garantizar el cumplimiento de las políticas organizacionales y la aplicación adecuada de los estándares de seguridad de datos a lo largo del ciclo de vida operativo del agente.
Cuando los agentes de IA se introducen en los flujos de trabajo sin líneas claras de responsabilidad, surgen brechas, particularmente si un líder de proyecto o desarrollador abandona la organización, dejando agentes huérfanos. Esto crea un lapso peligroso tanto en la responsabilidad como en la seguridad, ya que puede no haber un propietario designado responsable del mantenimiento, las actualizaciones o el desaprovisionamiento.
Para mitigar esto, los protocolos formales de gestión del ciclo de vida no son solo una mejor práctica, sino una necesidad. Estos protocolos deben incluir una asignación clara de propiedad desde el momento de la creación del agente y definir procedimientos para transferir la propiedad cuando ocurran cambios de personal. Esto garantiza que cada agente siga siendo un activo bajo control, en lugar de convertirse en un pasivo no gestionado.
Definir barreras de seguridad, no suposiciones
Una gobernanza efectiva de agentes de IA requiere parámetros de seguridad claramente definidos. Las organizaciones deben responder preguntas críticas sobre los límites operativos de cada agente:
- ¿Dónde está autorizado a operar el agente?
- ¿Cómo se configuran y aplican sus permisos?
- ¿A qué fuentes de datos, aplicaciones y sistemas puede acceder?
- ¿Quién es responsable de supervisar sus acciones y mantener el cumplimiento a lo largo del tiempo?
Sin respuestas definitivas a estas preguntas, el potencial de riesgo se multiplica. Un agente con permisos demasiado amplios podría acceder y filtrar datos sensibles, interrumpir sistemas críticos o ser manipulado por actores maliciosos para comprometer la empresa.
La solución es una gobernanza centralizada, establecida a través de la colaboración multifuncional. Al igual que con los marcos de cumplimiento establecidos como el GDPR, la visibilidad comienza con un registro integral del comportamiento del agente, un requisito previo para implementar controles de cumplimiento efectivos a medida que los agentes de IA se vuelven omnipresentes. Los equipos de identidad, seguridad, operaciones en la nube y desarrollo de IA deben trabajar juntos para crear y aplicar un conjunto unificado de reglas, permisos y marcos. Esto garantiza que los agentes de IA operen tanto con la agilidad necesaria para ofrecer valor como con la responsabilidad necesaria para mantener la seguridad.
El papel estratégico de la identidad en la gobernanza de la IA
El auge de los agentes de IA brinda una oportunidad para que la función de seguridad de identidad sirva como un conector estratégico en toda la empresa. Al establecer una alineación regular con los equipos de seguridad y nube, la identidad puede garantizar que el aprovisionamiento, la supervisión y la aplicación de políticas sigan siendo consistentes para todos los tipos de identidad, incluidos los agentes de IA.
El enfoque de seguridad debe estar en garantizar que cada agente esté adecuadamente protegido, mientras que la identidad proporciona la visibilidad necesaria a través de inventarios completos, certificaciones de acceso y pistas de auditoría detalladas. Esta sinergia multifuncional fortalece la postura de seguridad general y mejora la eficiencia operativa.
El valor de un programa maduro de seguridad de identidad se subraya con investigaciones que muestran que la gestión de identidades y accesos (IAM) proporciona el mayor retorno de inversión entre los dominios de seguridad, con un 30%. Al invertir en gobernanza de identidad para agentes de IA, las organizaciones no solo mitigan el riesgo, sino que también maximizan el retorno de sus inversiones de seguridad más amplias. A medida que los modelos de IA se vuelven más sofisticados y cada vez más capaces de trabajar juntos, una base de identidad sólida será crucial para orquestar sus tareas colectivas de manera segura.
La innovación exige responsabilidad
Los agentes de IA ya no son una tecnología periférica; están integrados en el núcleo de la empresa moderna. Su capacidad para acelerar flujos de trabajo y mejorar la productividad es clara, pero también lo son los riesgos que surgen de la falta de gobernanza.
El éxito en esta nueva era se definirá no solo por la velocidad de adopción, sino por la disciplina de la gobernanza que la acompaña. Sin visibilidad y control unificados sobre los agentes de IA, la brecha entre el contexto de identidad y el contexto de seguridad continuará ampliándose, dejando a las organizaciones expuestas. Las empresas que cierren con éxito esta brecha estarán mejor posicionadas para capturar los beneficios transformadores de la IA mientras mantienen la confianza y la seguridad que su negocio exige. El camino a seguir requiere innovación equilibrada con responsabilidad.
Sobre el autor: Matt Fangman es un líder técnico consumado con más de 26 años de experiencia en software empresarial, servicios en la nube, IA, soluciones de datos e integración estratégica. Sus roles recientes en Microsoft y SailPoint se han centrado en impulsar la innovación a través de transformaciones impulsadas por IA, iniciativas de madurez de datos y soluciones modernas para el lugar de trabajo.
Como Field CTO en SailPoint (desde febrero de 2025), Matt es responsable de alinearse con los equipos de ventas y técnicos de campo para liderar compromisos estratégicos con cuentas. Se especializa en integrar las plataformas de gobernanza de identidad de SailPoint con las tecnologías de Microsoft, con un enfoque en pioneros agentes de IA y sistemas multiagente para mejorar la seguridad y la eficiencia operativa. Matt aprovecha su profundo conocimiento tanto de las soluciones de SailPoint como del ecosistema más amplio de Microsoft para crear soluciones impactantes para los clientes de SailPoint.
Antes de unirse a SailPoint, Matt fue el líder de datos e IA para cuentas estratégicas dentro del segmento de manufactura de Microsoft. En este rol, gestionó a los clientes más grandes de Microsoft, guiándolos en la adopción de capacidades avanzadas de datos e IA. Lideró un equipo especializado, trabajando estrechamente con asociaciones de ingeniería para ofrecer soluciones alineadas con el mercado que abordaran desafíos industriales complejos y aceleraran la madurez del cliente en el espacio de datos e IA.
Anteriormente, Matt se desempeñó como CTO del negocio de lugar de trabajo moderno de Microsoft en el segmento empresarial de EE. UU., que incluía Office 365, Enterprise Mobility Suite y ofertas de Windows. Orquestó estrategias de ventas y comercialización, liderando una gran organización de profesionales de ventas, gerentes y equipos de soporte. Bajo su liderazgo, la organización generó $16.5 mil millones en ingresos anuales a través de la innovación técnica y la habilitación del ecosistema.
La amplia experiencia y el historial comprobado de Matt lo convierten en un activo valioso para SailPoint, impulsando iniciativas estratégicas y fomentando la innovación dentro del panorama de gobernanza de identidad.
