Hasta hace muy poco, las empresas aprovechaban la IA generativa mediante una conversaci\u00f3n: alguien preguntaba y el modelo respond\u00eda. Un agente, en cambio, consulta datos, utiliza herramientas, encadena tareas y act\u00faa en nombre de una persona o de un proceso. Y cuando una m\u00e1quina act\u00faa, la pregunta ya no es \u00ab\u00bfqu\u00e9 dice?\u00bb, sino \u00ab\u00bfqu\u00e9 hace, con qu\u00e9 permisos y qui\u00e9n es responsable de ello?\u00bb. Lo vemos cada semana en muchas empresas: los proyectos piloto llegan antes que las pol\u00edticas, y los agentes entran en la empresa antes que las herramientas para gobernarlos.<\/p>\n
Los agentes no inventan riesgos nuevos desde cero; lo que hacen es amplificar los que ya ten\u00edamos. Si una organizaci\u00f3n tiene datos sobreexpuestos, permisos heredados que nadie ha revisado o una clasificaci\u00f3n poco rigurosa de la informaci\u00f3n, un agente los encontrar\u00e1, los utilizar\u00e1 y los expondr\u00e1 a una velocidad que solo una m\u00e1quina puede alcanzar. Esto se nota especialmente en tres \u00e1mbitos. La buena noticia es que no hace falta empezar de cero. La clave es tratar cada agente como a un miembro m\u00e1s de la organizaci\u00f3n: con identidad propia, una persona responsable, acceso limitado a lo que necesita y un registro de todo lo que hace. En la pr\u00e1ctica, aplicamos dos principios que tambi\u00e9n recoge OWASP en su Top 10 para aplicaciones ag\u00e9nticas. La agencia m\u00ednima: no solo hay que limitar a qu\u00e9 puede acceder el agente, sino tambi\u00e9n cu\u00e1nta libertad tiene para actuar sin consultar a una persona, porque conceder autonom\u00eda a un agente es un acto de confianza, no una forma de trasladar la responsabilidad. Y la observabilidad: saber qu\u00e9 hace el agente, por qu\u00e9 y en nombre de qui\u00e9n.<\/p>\n Estos principios no se aplican con una pol\u00edtica que nadie lee. Se necesitan tecnolog\u00edas dise\u00f1adas para la IA y los agentes, con la gobernanza integrada desde el dise\u00f1o y no a\u00f1adida posteriormente como un parche.
\nIdentidad.<\/strong> Un agente opera dentro de nuestros sistemas, pero no es una persona ni una cuenta de servicio convencional: decide c\u00f3mo utiliza el acceso que tiene y, adem\u00e1s, puede ser manipulado. Un correo o un documento con instrucciones ocultas (inyecci\u00f3n de prompts) puede hacer que ejecute acciones leg\u00edtimas con fines ileg\u00edtimos.
\nPermisos<\/strong>. La tentaci\u00f3n es conceder al agente todos los permisos \u00abpor si acaso\u00bb, para que funcione a la primera. Es el patr\u00f3n que m\u00e1s encontramos cuando revisamos agentes antes de llevarlos a producci\u00f3n. Un agente manipulable, con acceso amplio y un canal de salida, es una puerta abierta a la filtraci\u00f3n de datos.
\nTrazabilidad<\/strong>. Debemos poder responder qui\u00e9n ha activado el agente, con qu\u00e9 identidad ha actuado, qu\u00e9 datos ha consultado y por qu\u00e9. Sin esta visibilidad no es posible investigar un incidente ni demostrar el cumplimiento del Reglamento europeo de IA y del RGPD.
\nA todo ello hay que sumar la proliferaci\u00f3n de agentes en las organizaciones, procedentes de distintas fuentes: integrados en las aplicaciones que ya utilizamos, creados por los propios usuarios, de terceros que entran por la puerta trasera (IA en la sombra) y desarrollados internamente. Cuando hacemos el primer inventario con un cliente, casi siempre hay m\u00e1s agentes de los que la empresa cre\u00eda tener.<\/p>\nHay que gobernar los agentes como lo que son: identidades que act\u00faan<\/h2>\n
Tecnolog\u00eda moderna para un riesgo moderno<\/h2>\n
\nIdentidades y permisos<\/strong>. Cada agente debe tener una identidad propia en el directorio corporativo, acceso condicional, una persona responsable asignada y permisos que puedan revocarse al instante. Adem\u00e1s, solo debe poder ver lo mismo que la persona que lo invoca, con etiquetas de confidencialidad y prevenci\u00f3n de p\u00e9rdida de datos.
\nMecanismos de protecci\u00f3n en tiempo de ejecuci\u00f3n<\/strong> que detecten intentos de inyecci\u00f3n de prompts y bloqueen las acciones sensibles o las supediten a una aprobaci\u00f3n humana.
\nUn plano de control centralizado<\/strong> que inventar\u00ede todos los agentes, mida su uso, detecte los que no tienen responsable o incumplen las pol\u00edticas e integre su actividad en la supervisi\u00f3n de seguridad. En el ecosistema de Microsoft, por ejemplo, Agent 365 cubre esta capa de gobernanza, mientras que Entra ID, Purview y Defender se encargan de la seguridad.<\/p>\nGobernar para acelerar, no para frenar<\/h2>\n