A medida que las organizaciones adoptan agentes de inteligencia artificial capaces de acceder a sistemas empresariales, tomar decisiones y colaborar con otros agentes, la seguridad y la gobernanza adquieren una nueva dimensión. Estos sistemas pueden hacer mucho más que ofrecer recomendaciones: también pueden ejecutar acciones con consecuencias reales para el negocio.

El reto consiste en aprovechar su potencial sin perder visibilidad, control ni responsabilidad. Para lograrlo, las empresas deben ampliar sus prácticas de seguridad e identidad y adaptarlas a sistemas que operan con mayor autonomía y a la velocidad de las máquinas.

## De asistentes a agentes: un cambio en el perfil de riesgo

Los asistentes de IA suelen generar información o sugerir posibles respuestas. Los agentes autónomos, en cambio, pueden consultar datos empresariales, utilizar aplicaciones, comunicarse con otros agentes y actuar en nombre de una persona o de un proceso de negocio. Esa capacidad amplía sus beneficios, pero también el impacto potencial de un error, una manipulación o una vulneración de seguridad.

Un agente puede tener una identidad válida y acceso legítimo a un sistema, pero aun así actuar fuera de su propósito previsto. Si opera en varios entornos, una decisión incorrecta puede desencadenar una cadena de acciones difícil de detectar, explicar o revertir.

Por eso, la gobernanza debe abarcar más que el modelo de IA. Cada agente necesita un propósito empresarial definido, una persona o unidad responsable y límites claros sobre los datos, sistemas y acciones a los que puede acceder. Las actividades sensibles o de alto impacto requieren salvaguardas adicionales, además de registros que permitan reconstruir qué ocurrió y por qué.

## Identidades no humanas bajo control

Una proporción creciente de la actividad digital empresarial ya depende de aplicaciones, API, cuentas de servicio, automatizaciones y agentes, en lugar de empleados. Estas identidades no humanas cobran especial importancia cuando pueden interpretar información, decidir y poner en marcha acciones, no solo ejecutar instrucciones predefinidas.

Las organizaciones necesitan mantener un inventario fiable de esas identidades y conocer el propósito, el responsable y los permisos asociados a cada una. Sin esta visibilidad, los privilegios excesivos, las credenciales de larga duración y las cuentas que siguen activas después de haber cumplido su función pueden convertirse en importantes vías de exposición.

La colaboración entre agentes también ofrece oportunidades. Agentes especializados podrían coordinar tareas complejas en atención al cliente, operaciones, ingeniería de software o ciberdefensa. Sin embargo, esa colaboración crea cadenas de confianza y dependencia: un agente comprometido o mal configurado podría propagar información incorrecta, influir en las decisiones de otro o intentar aprovechar los privilegios de un agente con mayor autoridad.

Para reducir estos riesgos, cada agente debe evaluarse de manera independiente. La identidad, el propósito y las facultades de uno no deberían transferirse automáticamente a otro. La colaboración debe producirse dentro de límites empresariales y de seguridad definidos, con mecanismos para identificar quién inició una acción y bajo qué autoridad.

## Autonomía proporcional al riesgo

El nivel de autonomía de un agente debe depender del impacto de sus actividades, la sensibilidad de la información que utiliza y la posibilidad de revertir sus acciones. Un agente que resume información pública puede necesitar una supervisión ligera. En cambio, uno que accede a datos de clientes, modifica infraestructura de producción, toma decisiones regulatorias o inicia transacciones financieras requiere límites mucho más estrictos.

Una estrategia gradual permite adaptar los controles a la madurez y al riesgo. Algunos agentes pueden limitarse a ofrecer recomendaciones; otros pueden preparar acciones para aprobación humana. Los agentes más desarrollados podrían operar de forma independiente dentro de límites autorizados y derivar los casos excepcionales a una persona responsable.

La supervisión humana sigue siendo esencial, pero aprobar cada acción puede anular las ventajas de eficiencia y generar fatiga de aprobación. La intervención humana aporta más valor cuando una acción tiene consecuencias financieras importantes, implicaciones legales, es difícil de revertir o queda fuera del ámbito habitual del agente.

El objetivo no es conceder la máxima autonomía posible, sino la autonomía necesaria para aportar valor sin superar el nivel de riesgo aceptable. Las tareas rutinarias y reversibles pueden automatizarse; las decisiones trascendentes requieren controles más rigurosos y responsabilidad claramente asignada.

## Adaptar los marcos de seguridad existentes

Los marcos actuales de ciberseguridad, gestión de identidades y gobernanza ofrecen una base sólida, pero deben ampliarse para responder a las características de la IA agéntica. Principios y capacidades como Zero Trust, la gestión de identidades, la administración de accesos privilegiados y la gestión de riesgos de IA siguen siendo relevantes. Lo que cambia es la necesidad de aplicarlos de forma más dinámica.

Muchos controles tradicionales se diseñaron para conceder acceso a una persona, aplicación o servicio y revisarlo periódicamente. Un agente, en cambio, puede consultar varias fuentes, utilizar diversas herramientas e interactuar con otros agentes durante un único proceso. La autenticación, por sí sola, no garantiza que cada acción posterior sea apropiada.

Como mínimo, cada agente debería tener una identidad única, un propósito aprobado, un responsable y un ciclo de vida gestionado. Sus permisos deben limitarse a la tarea correspondiente y mantenerse solo durante el tiempo necesario. También hacen falta salvaguardas reforzadas para el acceso a información sensible, el uso de herramientas privilegiadas y las acciones con un impacto empresarial significativo.

La organización debe poder reconstruir cómo se llegó a un resultado: qué persona o proceso inició la actividad, qué agentes participaron, qué datos y herramientas utilizaron, qué acciones ejecutaron y cuál fue el efecto. Esta trazabilidad facilita la supervisión, las investigaciones, el cumplimiento normativo y la intervención rápida ante un problema.

## Una evolución de la gobernanza empresarial

La IA agéntica no exige descartar los marcos de control existentes ni crear un entorno aislado de seguridad. Exige evolucionarlos para gobernar de forma continua la identidad, las facultades y las acciones de cada agente.

Las organizaciones que definan responsabilidades, apliquen permisos proporcionales al riesgo y mantengan una visibilidad completa estarán mejor preparadas para ampliar la automatización con confianza. Así podrán obtener los beneficios de la colaboración entre agentes y, al mismo tiempo, preservar el control y la rendición de cuentas en toda la empresa.

from Latest from TechRadar https://ift.tt/lDxrtyd
via IFTTT IA