Durante años, las estrategias de ciberseguridad empresarial se construyeron alrededor de una pregunta fundamental: ¿quién puede acceder a los sistemas de una organización? La expansión de la automatización y los agentes de inteligencia artificial está obligando a agregar otra: ¿qué pueden hacer de manera autónoma las identidades digitales una vez obtienen ese acceso?
El desafío adquiere relevancia en un momento en que la inteligencia artificial está ampliando simultáneamente las capacidades de defensa y ataque. Esta semana, más de 100 compañías tecnológicas y de ciberseguridad hicieron un llamado a fortalecer la preparación frente a amenazas impulsadas por IA, mientras en Colombia la conversación sobre ciberseguridad viene ganando espacio en las juntas directivas y en la gestión empresarial.
Para KPMG, uno de los riesgos menos visibles está dentro de las propias organizaciones. El análisis Acceso invisible, riesgos visibles señala que las identidades no humanas (Non-Human Identities o NHI) ya superan en número a los usuarios humanos en una proporción de 82 a 1. Estas identidades pueden operar de manera autónoma y acceder a sistemas críticos a gran velocidad, en ocasiones con elevados privilegios y sin intervención humana permanente.
“La adopción de agentes de IA cambia la escala del problema. Durante años las compañías han fortalecido los controles para determinar qué puede hacer cada empleado dentro de sus sistemas; ahora necesitan aplicar la misma rigurosidad a agentes, aplicaciones y credenciales que pueden ejecutar acciones sin supervisión humana constante. El riesgo aparece cuando la velocidad de adopción supera la capacidad de gobernar esos accesos”, señaló Alaín Almeida, Socio Information Technology Advisory KPMG en Colombia.
El nuevo reto: saber quién, o qué, tiene acceso
Una identidad no humana puede ser una cuenta de servicio, una clave de API, un token, una credencial utilizada por una máquina o una identidad asociada a un agente de IA. Son elementos esenciales para que aplicaciones y procesos automatizados interactúen entre sí, pero su proliferación puede dificultar saber cuáles siguen activas, qué nivel de privilegio tienen y quién es responsable de ellas.
El problema no está en su existencia, sino en una gobernanza insuficiente. Una credencial con permisos excesivos, una identidad que continúa activa después de que dejó de utilizarse o un agente con acceso a más información de la necesaria puede convertirse en una puerta de entrada o ampliar el alcance de un incidente.
Antes de escalar agentes, las empresas necesitan conocer sus accesos
Para KPMG, gestionar este nuevo escenario comienza por hacer visible lo que hoy puede ser invisible. El primer paso es mantener un inventario continuo de las identidades no humanas existentes, incluyendo quién es responsable de cada una, sus privilegios, el estado de sus credenciales y la información necesaria para monitorear su actividad.
El segundo consiste en priorizarlas según riesgo. No todas las identidades tienen el mismo potencial de impacto: una cuenta con acceso a información sensible o capacidad para ejecutar acciones críticas requiere mayores controles que otra con permisos limitados. La firma recomienda aplicar el principio de mínimo privilegio, detectar identidades huérfanas o mal configuradas y mantener trazabilidad suficiente para responder ante incidentes.
Finalmente, la gobernanza debe cubrir todo el ciclo de vida. Esto implica retirar automáticamente accesos cuando dejan de ser necesarios, rotar credenciales, establecer límites de uso y monitorear anomalías en tiempo real.
“Antes de preguntarse cuántos agentes de IA puede desplegar una organización, conviene preguntarse cuántas identidades digitales tiene hoy y si realmente sabe qué pueden hacer. Inventario, responsabilidades claras, privilegios mínimos y capacidad de retirar accesos rápidamente son controles básicos para que la automatización pueda crecer sin multiplicar silenciosamente la exposición al riesgo”, explicó Almeida.
La ciberseguridad también debe escalar con la IA
La preocupación no significa frenar la adopción tecnológica. El informe Consideraciones en Ciberseguridad 2026 plantea precisamente que la función de seguridad está evolucionando desde un modelo principalmente defensivo hacia uno capaz de habilitar innovación con confianza y resiliencia. Proteger los sistemas de IA y gobernar las identidades no humanas forman parte de esa transición.
Para las empresas, esto implica evitar que la adopción de agentes avance como una iniciativa exclusivamente tecnológica. Áreas de ciberseguridad, riesgos, cumplimiento, tecnología y negocio necesitan acordar desde el diseño qué accesos requiere cada agente, qué decisiones puede ejecutar, dónde debe intervenir una persona y quién responde por su comportamiento.
“La discusión no debería ser entre innovar o protegerse. Una buena gobernanza permite hacer ambas cosas. Las organizaciones que incorporen seguridad desde el diseño tendrán mejores condiciones para escalar la inteligencia artificial con confianza, mientras aquellas que intenten agregar los controles después podrían encontrarse administrando una superficie de ataque que ya creció más rápido que su capacidad de supervisión”, concluyó Alaín Almeida.
