La inteligencia artificial dejó de solo responder preguntas. Hoy los "agentes de IA" interpretan instrucciones, toman decisiones y actúan de forma autónoma dentro de las redes corporativas.
Columnas al director
Esa autonomía promete grandes ganancias de productividad, pero cuando se despliega sin la gobernanza adecuada, también abre una nueva superficie de riesgo que muchas organizaciones no saben que existe.
El fenómeno ya es masivo. Según una encuesta global de la Cloud Security Alliance (CSA) publicada en abril de 2026, que consultó a más de 400 profesionales de TI y ciberseguridad de distintos tamaños y regiones del mundo, el 82% de las organizaciones tiene agentes de IA desconocidos operando en su infraestructura y el 65% ya experimentó incidentes de seguridad relacionados con estos agentes en los últimos 12 meses. De ese grupo, un 61% reportó exposición de datos, un 43% interrupciones operativas y un 35% pérdidas financieras.
Francisco Carrasco M.
Ante esto, Pablo García, BDM Cyber de TIVIT, explica que:
“Vemos empresas que adoptan agentes de IA a gran velocidad, especialmente en sectores intensivos en datos, pero sin la gobernanza adecuada para controlarlos. La pregunta ya no es si adoptar IA agéntica, sino cómo gobernarla. Las empresas que despliegan agentes autónomos sin visibilidad, control de permisos ni auditoría están abriendo una puerta que no saben que existe".
De la persona infiltrada al agente autónomo
Durante años, los riesgos internos de seguridad se asociaron principalmente a errores o descuidos de las personas. Hoy, a esa dimensión se suma la de un agente de IA con acceso a sistemas críticos, bases de datos y plataformas financieras que, sin la supervisión adecuada, puede ampliar la superficie de exposición.
El desafío se agrava con el fenómeno del "Shadow AI", es decir, el uso de herramientas de inteligencia artificial sin autorización ni supervisión de los equipos de tecnología.
Francisco Carrasco M.
El Cost of a Data Breach Report 2025, elaborado de forma independiente por el Ponemon Institute, reveló que el 97% de las organizaciones que sufrieron un incidente de seguridad relacionado con IA carecía de controles de acceso adecuados, y que el 63% no cuenta con políticas de gobernanza para gestionar la IA o prevenir el Shadow AI. Los incidentes de Shadow AI ya representan el 20% de todas las brechas y agregan, en promedio, 670.000 dólares al costo de un incidente.
"La amenaza también tiene una cara ofensiva. En mayo de 2026, investigadores de Google detectaron el primer ataque real que utilizó inteligencia artificial para explotar una vulnerabilidad de "día cero", es decir, una falla desconocida para la que aún no existía defensa, confirmando que la IA ofensiva ya es una realidad".
Francisco Carrasco M.
Sectores críticos en la mira
El desafío es especialmente sensible en minería, energía e industria, donde los agentes de IA evolucionan desde la automatización de tareas administrativas hacia la ejecución de flujos de trabajo completos. En estos entornos, un agente con acceso a sistemas operacionales (OT) requiere una gestión especialmente cuidadosa, porque un incidente puede escalar desde lo digital hacia lo físico.
Frente a este escenario, TIVIT recomienda gobernar la IA agéntica desde el diseño y no como un parche posterior, como indica el BDM Cyber de TIVIT:
"Esto implica aplicar el principio de menor privilegio a cada agente, implementar visibilidad y auditoría sobre sus acciones, detectar y ordenar el Shadow AI, y elevar el tema a nivel de directorio. La IA agéntica será uno de los grandes motores de productividad de la década, y su potencial se aprovecha plenamente cuando la seguridad avanza al mismo ritmo que la innovación".
Francisco Carrasco M.
