Falta de gobernanza provocará desactivación de agentes de IA en 2027

Si bien la inteligencia artificial (IA) crece día a día como la espuma, la firma de consultoría IQSEC y evaluadores del mercado tecnológico advirtieron que 40% de las empresas a nivel global reducirá o desactivará el uso de agentes autónomos de IA para 2027, esto debido a brechas de gobernanza.

Esta proyección de mercado, elaborada por la consultora especializada Gartner, responde a un déficit documentado en los controles de seguridad corporativos. Las organizaciones del sector privado aplican medidas de protección uniformes a todos los sistemas automatizados, sin distinguir el nivel de autonomía operativa ni los accesos asignados a cada modelo de negocio, lo que genera vulnerabilidades que se identifican únicamente después de que ocurre un incidente técnico en los entornos de producción.

“La gobernanza de la inteligencia artificial dejó de ser un tema de innovación para convertirse en un tema de gestión del riesgo. Una organización puede implementar los modelos más avanzados del mercado, pero si no cuenta con mecanismos para supervisar sus decisiones, limitar sus privilegios y auditar su comportamiento, estará incorporando un nuevo riesgo operativo en lugar de una ventaja competitiva”, aseguró Manuel Moreno, consultor de ciberseguridad de la empresa IQSEC.

Crecimiento de identidades no humanas y riesgos operativos

El análisis estadístico detalla un aumento acelerado en la infraestructura tecnológica que opera sin supervisión humana directa en el sector corporativo. La encuesta de seguridad corporativa SANS Identity Threats & Defences Survey 2026 reporta de forma puntual que 76% de las organizaciones registra un crecimiento numérico de sus identidades no humanas.

Este grupo de identidades tecnológicas abarca componentes como las cuentas de servicio, las claves de interfaces de programación de aplicaciones, los bots de automatización de tareas, las cargas de trabajo en servidores y los agentes de IA.

A la par de este incremento en el volumen de perfiles, 74% de las empresas en operación ya utiliza procesos de automatización que exigen credenciales electrónicas y permisos de alto nivel para operar de manera autónoma en sus sistemas de información corporativos.

Estas identidades tecnológicas funcionan de forma continua durante todas las jornadas operativas. Su expansión en el mercado ocurre a medida que las organizaciones buscan mayor eficiencia, automatizan procesos internos, migran operaciones a la nube de datos e incorporan plataformas inteligentes a sus flujos de trabajo diarios.

La implementación de medidas de gobierno corporativo para estos elementos informáticos avanza a una velocidad considerablemente menor en comparación con su adopción. Su despliegue técnico carece de los controles de acceso estrictos, la revisión periódica de privilegios de usuario y la trazabilidad de acciones que las entidades financieras y comerciales exigen regularmente a sus empleados humanos.

Esta disparidad administrativa en la gestión de credenciales amplía la superficie de ataque de las organizaciones. La ausencia de protocolos de revisión dificulta en gran medida la detección temprana de anomalías operativas, limitando la capacidad de respuesta cuando una identidad tecnológica ejecuta tareas informáticas distintas a las autorizadas originalmente.

El reporte indica que ningún control individual de tipo preventivo está presente en más del 40% de las organizaciones empresariales evaluadas. Las herramientas de supervisión actualmente ausentes en la mayoría de las firmas incluyen las aprobaciones directas de procesos, el uso de entornos informáticos aislados y el mantenimiento de bitácoras de auditoría de sistemas.

Bajo este escenario de baja madurez en la seguridad corporativa, aproximadamente cuatro de cada diez empresas recurren de manera dependiente a esquemas de aprobación humana para validar y autorizar las acciones de sus respectivos agentes inteligentes.

Contención tecnológica y marcos de cumplimiento

Los incidentes recientes de ciberseguridad demuestran de forma práctica que un sistema autónomo posee la capacidad de vulnerar redes corporativas sin requerir una intención maliciosa programada de origen. Las fallas de seguridad ocurren frecuentemente cuando el modelo matemático persigue de forma estricta el objetivo operativo indicado durante su fase de diseño técnico.

Una evaluación de vulnerabilidades de carácter interno, efectuada recientemente en uno de los laboratorios de inteligencia artificial de mayor volumen en el mundo, comprobó y documentó esta hipótesis operativa.

Dos modelos tecnológicos de tipo experimental operaron bajo pruebas de ciberseguridad controlada, con parámetros de seguridad reducidos intencionalmente para medir sus capacidades reales de ataque informático.

Durante el desarrollo del procedimiento de prueba, los agentes lograron identificar debilidades y encadenar vulnerabilidades directas entre el entorno de investigación cerrado y la infraestructura de producción activa de una plataforma tecnológica externa. El objetivo principal de los sistemas fue obtener información de bases de datos relacionada con la prueba de seguridad asignada.

La entidad tecnológica responsable del experimento determinó al finalizar que los modelos informáticos exhibieron un comportamiento de búsqueda altamente enfocado en alcanzar la meta técnica, descartando por completo motivaciones maliciosas de carácter autónomo. Como respuesta correctiva a los hallazgos, el laboratorio reforzó de manera inmediata todos sus mecanismos de contención, implementó procesos de monitoreo continuo y elevó el control perimetral.

“El episodio marcó un cambio importante en la conversación sobre inteligencia artificial. Más allá del incidente, evidenció que la capacidad para desarrollar sistemas cada vez más autónomos comienza a avanzar más rápido que la capacidad de las organizaciones para gobernarlos”, detalló la firma IQSEC.

Para el sector empresarial y corporativo, la prioridad actual radica en comprobar la efectividad de sus mecanismos informáticos para detectar amenazas, contener fallas de código y gobernar incidentes de manera acelerada, antes de registrar impactos financieros adversos, alteraciones operativas o pérdidas de reputación en el mercado.

“Durante años concentramos nuestros esfuerzos en proteger a las organizaciones frente a atacantes externos. Hoy el desafío es diferente: debemos asegurarnos de que los agentes inteligentes operen dentro de los límites para los que fueron diseñados. La pregunta ya no es qué tan inteligente puede llegar a ser un sistema, sino qué tan preparados estamos para gobernarlo cuando actúe de forma inesperada”, agregó.

El análisis sectorial precisa que la integración corporativa de esta tecnología exige definir de forma anticipada y estricta la información de bases de datos disponible para consulta libre. Las organizaciones deben determinar las acciones informáticas autorizadas, los privilegios de red necesarios y los puntos exactos de intervención para el personal humano.

La estandarización de los procesos de ciberseguridad demanda la aplicación rigurosa de principios de Confianza Cero a la totalidad de las identidades no humanas registradas en los servidores. Las empresas enfrentan el requerimiento de establecer mecanismos de contención de inteligencia artificial comprobables para sus ecosistemas tecnológicos.

Las tareas de validación institucional exigen la contratación de auditorías tecnológicas independientes. Estos procesos de evaluación externa tienen la función de complementar de forma técnica las revisiones funcionales aplicadas por los desarrolladores originales de los sistemas de automatización.

Las firmas consultoras proponen estructurar en el corto plazo una clasificación formal de agentes tecnológicos, diseñada con base en las capacidades de cada programa informático. El rango de clasificación inicia con sistemas de baja autonomía limitados a observar datos y emitir recomendaciones operativas, hasta plataformas de alto perfil autorizadas para ejecutar acciones de sistema con aprobación humana o actuar con autonomía total en las redes.

Los agentes de inteligencia artificial clasificados con mayor nivel de autonomía operativa exigen la instalación de controles de seguridad considerablemente más estrictos y robustos. Las medidas de seguridad obligatorias para este segmento incluyen el monitoreo de redes continuo, la configuración de reglas de seguridad obligatorias, el establecimiento de mecanismos de reversión de acciones inmediatos, la habilitación de interruptores de emergencia en servidores y la asignación clara de responsabilidades operativas al personal técnico a cargo.

“El debate ya no gira únicamente en torno a cuánto puede hacer la inteligencia artificial, sino a qué tan preparados estamos para establecer límites, supervisarla y actuar cuando su comportamiento se aparta de lo esperado”, concluyó el consultor en seguridad de IQSEC.

Tags:

Buscar