La Inteligencia Artificial ya no sólo responde preguntas. Dentro de las empresas comienza a ejecutar tareas, conectarse con aplicaciones, consultar bases de datos y realizar acciones en nombre de las personas.

Ese salto promete mayor productividad, eficiencia y automatización, pero también abre un nuevo frente para la ciberseguridad: ¿quién controla a esas nuevas identidades digitales?

Para TEC360, empresa con más de trece años de experiencia, especialista en gestión de identidades y accesos, la velocidad con la que las organizaciones están adoptando a agentes de IA está provocando que, en algunos casos, la innovación avance más rápido que los controles necesarios para utilizarla de manera segura.

"Todo el mundo quiere utilizar los agentes y ser más productivo, pero no quieren que ese agente exponga todos sus estados de cuenta en internet, todos sus números de tarjeta o vaya a hacer alguna transacción no autorizada", explica Carlos Meyer, VP Implementación y Desarrollo de TEC360.

El riesgo aparece porque, para ser verdaderamente útil, un agente necesita interactuar con sistemas y datos. El problema surge cuando recibe permisos excesivos o permanentes, utiliza credenciales con altos privilegios o accede directamente a información sensible sin restricciones suficientes.

Innovar con control

La gobernanza busca precisamente establecer límites sin frenar las ventajas de esta tecnología. Ricardo Shuck, Chief Revenue Officer CRO de TEC360, señala que principios utilizados desde hace años en seguridad, como Zero Trust y mínimo privilegio, deben extenderse ahora a las identidades no humanas.

Por seguridad, un agente sólo debería acceder a aquello que necesita para realizar una tarea y sus permisos también deberían depender de quién solicita la acción. Así, un agente podría proporcionar determinada información comercial a un vendedor, pero negarla a un colaborador que no cuente con ese perfil. De igual forma, debe existir un mecanismo que permita desactivar inmediatamente al agente si comienza a realizar acciones inesperadas.

"No podemos asumir que si un agente fue desplegado vamos a confiar siempre en él y vamos a poder dejar que haga todo", advierte Shuck.

Para TEC360, una estrategia de gobernanza comienza por responder preguntas básicas: ¿dónde están los agentes?, ¿quién es responsable de ellos?, ¿cómo se controla su ciclo de vida? y ¿cómo pueden detenerse?

El desafío es más grande cuando no todos los agentes han sido creados dentro de las áreas de Tecnología. Un colaborador puede crear herramientas conectadas con correo, calendarios u otras aplicaciones sin que la organización tenga completa visibilidad sobre ellas. Es lo que TEC360 identifica como un escenario de Shadow AI: agentes desplegados o desarrollados sin un control centralizado.

Lleva identidad a la IA

Ante este escenario, TEC360 ha trasladado sus más de 13 años de experiencia en Identity and Access Management al ecosistema de agentes de Inteligencia Artificial.

La compañía desarrolló un framework denominado Identity Fabric, que incorpora las identidades no humanas y permite abordar capacidades de gobernanza, ciclo de vida, mínimo privilegio, autenticación y autorización. Para ello trabaja con distintas tecnologías y fabricantes, entre ellos Okta, su principal socio tecnológico en esta materia.

El acompañamiento puede comenzar incluso antes de implementar una solución tecnológica. TEC360 realiza primero un assessment para conocer qué tiene la organización, dónde se encuentra y cuál es su estrategia; posteriormente define procesos, procedimientos y políticas alineados con su transformación digital.

Este proceso de consultoría puede durar entre tres y ocho semanas y permite determinar si la infraestructura que ya posee el cliente es suficiente o requiere incorporar otras soluciones. Después, TEC360 puede acompañar la implementación y ofrecer servicios administrados y soporte posterior.

La meta no es poner un freno a la adopción de Inteligencia Artificial, sino construir las condiciones para aprovecharla sin perder el control.

"Una empresa no puede gobernar a un agente si no sabe que existe. Tiene que saber quién lo controla y a qué tiene acceso", resume Shuck.

4 claves para gobernar agentes:

- Visibilidad: Saber qué agentes existen y dónde operan.

- Responsabilidad: Asignar un propietario a cada agente.

- Ciclo de vida: Controlar identidad, permisos y accesos.

- Kill switch: Poder detener o revocar al agente.