La gobernanza de identidades se vuelve crítica mientras se dispara el gasto empresarial en IA
Google News ha puesto de relieve una advertencia: el gasto empresarial en IA está creciendo más rápido de lo que muchas compañías pueden gobernar las identidades que operan detrás de ella. El conflicto ya no se limita a los chatbots experimentales. Los agentes de IA ahora solicitan datos, llaman a aplicaciones empresariales, generan credenciales y ejecutan tareas en sistemas corporativos.
Esta expansión cambia la cuestión de seguridad. Antes, las empresas se centraban en decidir qué empleados podían acceder a un recurso. Ahora deben gobernar a usuarios humanos, cuentas de servicio, identidades de aplicaciones, herramientas de automatización y agentes de IA dentro del mismo entorno.
La presión recae sobre los directores de información, los responsables de seguridad y los equipos de identidad. Se les pide que impulsen un despliegue más rápido de IA, manteniendo al mismo tiempo una propiedad clara, permisos limitados y registros de auditoría fiables. Estos objetivos suelen entrar en conflicto cuando un agente puede planificar trabajo, delegar tareas y cruzar los límites entre aplicaciones.
Por tanto, la cuestión central no es si las empresas gastarán más en IA. Es si la gobernanza de identidades puede evitar que ese gasto cree una capa creciente de autoridad sin seguimiento.
Qué cambió al acelerarse el gasto empresarial en IA
La IA empresarial está pasando de software que recomienda acciones a sistemas que pueden ejecutarlas.
Un empleado que utiliza un chatbot plantea un problema de gobernanza conocido. La organización debe decidir a qué información pueden acceder ese empleado y esa aplicación. Un agente de IA plantea un problema más complejo porque puede conectarse a varios sistemas, conservar credenciales, invocar herramientas y realizar trabajo sin que una persona apruebe cada paso.
Esta diferencia cobra importancia cuando los agentes entran en flujos de trabajo de producción. Un agente de atención al cliente podría leer registros de cuentas, resumir interacciones anteriores, emitir una solicitud de reembolso y actualizar un ticket. Un agente de programación podría inspeccionar repositorios, abrir herramientas de desarrollo, crear cambios de infraestructura y enviar código para revisión.
Cada acción requiere una identidad. También requiere autorización, que define lo que esa identidad puede hacer después de autenticarse. Un inicio de sesión por sí solo no responde si el agente debe leer toda una base de datos de clientes o solo los registros necesarios para una tarea asignada.
Los sistemas tradicionales de gestión de identidades y accesos se diseñaron principalmente para empleados, contratistas, aplicaciones y cuentas de servicio relativamente predecibles. Por lo general, suponen que los administradores pueden definir un rol estable y asociarle un conjunto estable de permisos.
Los agentes de IA ponen a prueba ese modelo. Sus tareas pueden cambiar durante la ejecución, y un agente puede pedir a otro agente o servicio que complete parte de un flujo de trabajo. La cadena de delegación resultante dificulta determinar de dónde provino la autoridad original.
El gasto empresarial añade urgencia porque más proyectos financiados crean más conexiones. Cada despliegue en producción puede introducir claves API, cuentas de servicio, conectores de datos, endpoints de modelos, plug-ins y políticas de acceso. Un proyecto que parece ser una sola aplicación de IA puede crear varias identidades entre bastidores.
Gartner informó que el 84 por ciento de los encuestados en su encuesta de CIO de 2026 esperaba que sus organizaciones aumentaran la financiación de IA generativa durante el año. Su análisis sobre la gobernanza de confianza cero se centró en verificar los datos y actualizar las políticas de gobernanza existentes a medida que se extiende la información generada por IA.
Ese gasto no produce automáticamente sistemas inseguros. Sin embargo, aumenta el número de proyectos que los equipos de identidad deben descubrir, clasificar y supervisar. También reduce el tiempo disponible para diseñar controles antes de que las unidades de negocio esperen resultados.
El titular de Google News refleja este cambio, pero el fenómeno real es más amplio que un solo informe. La gobernanza de identidades se está convirtiendo en parte de la infraestructura de IA porque los agentes no pueden operar de forma segura sin una propiedad definida y una autoridad revocable.
Las organizaciones ya no pueden tratar la revisión de identidades como una comprobación final de cumplimiento. Necesitan tomar decisiones de identidad durante el diseño, el despliegue, la ejecución y la retirada. De lo contrario, un agente abandonado puede dejar credenciales o permisos activos tras el final de su proyecto original.
Por qué Google News señala una brecha de control en IA
El auge del gasto expone una brecha de control entre quién responde por la IA y quién puede limitar realmente su comportamiento.
IBM describió esa brecha en un estudio de junio de 2026 sobre directores de información y tecnología. Dos tercios de los líderes encuestados afirmaron que eran responsables de sistemas de IA que no controlaban por completo, según el estudio de control de IA de la compañía.
Este hallazgo importa porque la responsabilidad sin control genera ambigüedad organizativa. Un CIO puede dirigir el programa empresarial de IA mientras departamentos individuales seleccionan modelos, conectan fuentes de datos y crean automatizaciones de forma independiente. El equipo de seguridad puede ver la identidad resultante solo después de una revisión o un incidente.
La adquisición de IA también puede fragmentar la autoridad. Un departamento podría comprar una aplicación que contiene agentes integrados sin describirla como un proyecto de agentes. Otro equipo podría crear un flujo de trabajo interno utilizando una API de modelo y varias herramientas de automatización existentes.
Ambos despliegues pueden crear identidades no humanas. Estas identidades pueden distribuirse entre plataformas en la nube, servicios de software, bases de datos internas y entornos de desarrollo. Ningún inventario único captura necesariamente la ruta completa.
El problema no es simplemente el número de cuentas. La gobernanza de identidades debe conectar cinco datos: qué es el agente, quién es su propietario, por qué existe, a qué recursos puede acceder y cuándo debe expirar su autoridad.
Los empleados humanos proporcionan anclajes naturales para varias de esas preguntas. Su responsable aprueba el acceso, un puesto de trabajo limita los permisos y su salida activa un proceso de baja. Los agentes de IA no tienen un estatus organizativo equivalente a menos que la empresa cree uno.
Un agente también puede utilizar autoridad prestada de un usuario humano. Este diseño puede simplificar el despliegue, pero debilita la atribución si los registros no pueden distinguir las acciones de la persona de las del agente. Las credenciales compartidas crean una brecha aún mayor porque los investigadores pueden no saber qué flujo de trabajo las utilizó.
Por tanto, los equipos de seguridad enfrentan presión desde ambos lados. Los líderes empresariales quieren ciclos de despliegue más cortos, mientras que reguladores y clientes esperan un acceso controlado a información sensible. Los equipos de identidad deben respaldar ambos objetivos sin convertir cada solicitud de agente en una prolongada revisión manual.
La brecha de control también alcanza a los sistemas de conocimiento. Un asistente de IA conectado a una base de conocimiento corporativa puede recuperar información que parece inocua de forma aislada. Aun así, podría inferir hechos sensibles al combinar varios documentos que el flujo de trabajo solicitante nunca debía analizar conjuntamente.
Por eso el control de acceso debe ir más allá de un permiso de carpeta. Las organizaciones necesitan comprender las relaciones entre usuarios, agentes, fuentes de datos y resultados generados. Una base de conocimiento de IA bien estructurada puede mejorar la recuperación de información, pero su valor depende de preservar límites adecuados.
El desafío se vuelve más difícil cuando la IA cambia más rápido que las revisiones de acceso. Un proceso trimestral de certificación podría aprobar un agente para un propósito. Semanas después, los desarrolladores podrían añadir otra herramienta o permitirle procesar una nueva categoría de datos.
Entonces, la aprobación estática deja de reflejar el sistema desplegado. La gobernanza de identidades debe rastrear cambios materiales, incluidas nuevas integraciones, alcances más amplios, rutas de delegación alteradas y reglas de retención modificadas.
Google News está destacando un problema de seguridad que el crecimiento presupuestario hace visible. Las compañías están financiando la capacidad de actuar mediante IA, pero muchos programas de gobernanza todavía se centran en controlar la capacidad de iniciar sesión.
Los agentes de IA convierten los permisos en la principal disyuntiva
La disyuntiva central es sencilla: los agentes se vuelven más útiles a medida que se amplía su autoridad, pero una autoridad más amplia aumenta las consecuencias de un fallo.
Un agente que solo puede redactar texto presenta un riesgo operativo limitado. Un agente que puede acceder a archivos de clientes, llamar a sistemas de pago, modificar infraestructura o enviar mensajes externos puede generar más valor. También puede causar más daño por error, manipulación o robo de credenciales.
El principio de mínimo privilegio consiste en conceder únicamente el acceso necesario para una tarea definida. Aplicarlo a empleados ya es difícil porque los roles evolucionan y los permisos se acumulan. Aplicarlo a agentes es más difícil porque la tarea requerida puede desarrollarse de forma dinámica.
Pensemos en un agente encargado de resolver una disputa de factura. Podría necesitar leer la factura, inspeccionar un pedido, comparar un contrato, contactar a un aprobador interno y crear un ajuste propuesto. No debería obtener acceso permanente a todas las facturas ni la capacidad de aprobar su propio ajuste.
Una cuenta de servicio con permisos amplios facilita la creación de ese flujo de trabajo. Una identidad con alcance limitado facilita su gobernanza, pero exige un diseño de políticas más preciso. Esta tensión suele aparecer solo después de que un piloto se convierte en un servicio de producción.
La delegación añade otra capa. Un agente orquestador podría pedir a un agente especializado que recupere datos o ejecute un análisis. La empresa debe decidir si el segundo agente hereda todos los permisos, recibe un subconjunto reducido u obtiene acceso temporal para una operación.
Si la autoridad pasa por varios agentes, los registros deben preservar esa cadena. Los investigadores necesitan saber qué persona o servicio inició la tarea, qué agente tomó cada decisión, qué recursos se utilizaron y si la acción resultante se mantuvo dentro del propósito aprobado.
McKinsey estimó que la tecnología centrada en agentes podría absorber hasta el 15 por ciento de los presupuestos empresariales de ciberseguridad en tres años. Su análisis indicó que el gasto se concentraría en identidad y gobernanza, junto con la protección de datos.
Esta previsión refleja un cambio en la arquitectura de seguridad. Las organizaciones han pasado años construyendo controles en torno a redes, dispositivos y cuentas humanas. Los sistemas agénticos convierten la identidad en un punto central de aplicación de controles porque un agente puede operar en los tres ámbitos.
La autorización continua ofrece una posible respuesta. En lugar de aprobar el acceso una sola vez al iniciar sesión, un sistema evalúa si una acción específica sigue permitida en el momento en que se solicita. La decisión puede considerar al agente, la tarea, el recurso, la hora, el nivel de riesgo y el usuario de origen.
Las credenciales temporales también reducen la exposición. Un agente puede recibir una credencial para una tarea y perderla automáticamente cuando esta termina. Este enfoque limita el valor de un token robado y reduce la probabilidad de que un acceso obsoleto sobreviva indefinidamente.
Ninguna de las dos técnicas resuelve todo el problema de gobernanza. Un motor de políticas sigue necesitando información fiable sobre el propósito y la propiedad del agente. Una credencial temporal puede ser peligrosamente amplia aunque caduque rápidamente.
Las empresas también necesitan separación de funciones. Un agente que propone un pago no debería necesariamente autorizarlo ni ejecutarlo. Las acciones de alto impacto pueden requerir una revisión humana, un segundo agente que opere con una autoridad distinta o una regla de negocio determinista.
Ese control reduce la autonomía, lo que puede decepcionar a los equipos que esperan flujos de trabajo totalmente automatizados. Sin embargo, el objetivo no debería ser la máxima autonomía. Debería ser el mayor nivel de autonomía que preserve evidencias, rendición de cuentas y opciones de recuperación aceptables.
Aquí es donde el gasto empresarial en IA se cruza más directamente con la gobernanza de identidades. El dinero compra modelos, infraestructura y trabajo de integración. También debe financiar los controles que determinan qué acciones pueden realizar esos sistemas.
El mercado de la seguridad de identidades tiene su propio problema de evidencia
Las encuestas de proveedores apuntan en la misma dirección, pero sus cifras requieren una interpretación cuidadosa.
Los proveedores de seguridad han publicado varios estudios que describen una rápida adopción de agentes y controles de identidad débiles. Estos informes ofrecen señales útiles porque los proveedores observan los entornos de los clientes y los patrones de incidentes. También respaldan productos comercializados por las organizaciones que los publican.
Teleport informó que los sistemas de IA con privilegios excesivos se asociaban con tasas de incidentes 4,5 veces mayores en su estudio empresarial de 2026. La empresa también afirmó que el 92 por ciento de las compañías encuestadas estaba desplegando IA mientras los controles de identidad quedaban rezagados, según su informe de seguridad empresarial.
Estas cifras no deben tratarse como mediciones universales. Los resultados dependen de la muestra, la redacción de las preguntas, las definiciones y la forma en que los encuestados clasifican un despliegue de IA o un incidente de seguridad. Una organización que experimenta con un asistente de programación no equivale a una que permite a los agentes modificar sistemas de producción.
El patrón general sigue siendo creíble incluso cuando los porcentajes exactos varían. Las empresas están añadiendo identidades no humanas, y muchos programas de identidad existentes tienen dificultades para inventariar cuentas de servicio y claves de API. Los agentes de IA añaden un comportamiento más dinámico a ese problema ya establecido.
Otra limitación es la terminología. Los proveedores usan de manera distinta términos como agente de IA, identidad de máquina, identidad de carga de trabajo, cuenta de servicio e identidad no humana. Una encuesta puede parecer que mide la gobernanza de agentes mientras combina varias categorías de automatización.
Esa ambigüedad afecta las afirmaciones sobre el gasto. Una empresa podría clasificar un sistema de acceso privilegiado actualizado como una inversión en seguridad de IA. Otra podría financiar el mismo control a través de su plataforma en la nube o de su presupuesto general de identidad.
IDC informó que el 16,7 por ciento de la inversión global planificada en IA se destinó a la seguridad y gobernanza de agentes de IA. Su análisis de las prioridades de los CISO también identificó la proliferación de herramientas, la deuda técnica, las brechas de habilidades y la dependencia de proveedores como obstáculos para las decisiones de compra.
Esa cifra muestra una atención significativa por parte de los compradores, pero no demuestra que el gasto esté produciendo una gobernanza madura. Las organizaciones pueden adquirir herramientas superpuestas sin crear un inventario de identidades fiable ni un modelo de aprobación coherente.
La integración sigue siendo la parte difícil. Los datos de identidad pueden residir en un proveedor de identidad, una plataforma en la nube, un gestor de secretos, un sistema de recursos humanos, un catálogo de aplicaciones y una plataforma de operaciones de seguridad. Los metadatos de los agentes pueden estar en un entorno independiente de desarrollo u orquestación.
Un producto de gobernanza solo puede mostrar lo que revelan los sistemas conectados. La IA en la sombra, es decir, el uso de IA no aprobado o no detectado, puede quedar fuera de esa visión. Un empleado podría conectar una herramienta de IA para consumidores a datos empresariales sin registrar una aplicación formal.
La investigación de Okta de 2026 describió una desconexión entre la confianza de los ejecutivos y el comportamiento de los empleados. Vinculó esa brecha con políticas poco claras, herramientas de IA no aprobadas y salvaguardas insuficientes dentro de la empresa agéntica.
La conclusión prudente no es que todas las empresas enfrenten una crisis de identidad inmediata. Es que las compañías carecen de un sistema de medición coherente para las identidades de los agentes, sus permisos efectivos y su comportamiento real.
Los permisos efectivos importan más que los permisos asignados. Un agente puede combinar accesos de varios sistemas o inferir información a partir de fuentes permitidas. Cada permiso puede parecer razonable por sí solo, mientras que la capacidad combinada supera el límite previsto.
Por tanto, las pruebas deben ir más allá de la revisión de configuración. Los equipos de seguridad necesitan observar las acciones intentadas, las solicitudes denegadas, los patrones de delegación, el uso de credenciales y el movimiento de datos. También necesitan probar cómo se comportan los sistemas cuando un agente recibe instrucciones maliciosas o se encuentra con contenido manipulado.
La respuesta a incidentes introduce otra incertidumbre. Las organizaciones pueden ser capaces de desactivar una cuenta de agente, pero no de identificar todas las credenciales, flujos de trabajo o tareas posteriores asociadas a ella. Un mecanismo de apagado completo requiere un mapeo de dependencias antes de que ocurra un incidente.
La evidencia respalda una mayor atención, no una confianza ciega en una plataforma o estadística concreta. La gobernanza de identidades solo se vuelve efectiva cuando una organización puede demostrar quién es responsable de un agente, qué puede hacer y cómo termina esa autoridad.
Quiénes enfrentan presión por el cambio de gobernanza
Los CIO asumen la presión de entrega, los CISO gran parte del riesgo y los equipos de identidad heredan la carga operativa.
Se espera que los directores de información conviertan la inversión en IA en resultados empresariales medibles. Deben llevar los proyectos más allá de los prototipos, al tiempo que controlan el gasto fragmentado y las plataformas incompatibles. Una gobernanza que llega demasiado tarde puede retrasar la producción o forzar rediseños costosos.
Los directores de seguridad de la información enfrentan un incentivo distinto. Deben evitar accesos excesivos, detectar usos indebidos y explicar los incidentes. Un agente que actúa mediante credenciales compartidas puede socavar las tres responsabilidades.
Los equipos de gestión de identidades y accesos se sitúan entre esas prioridades. Entienden directorios, autenticación, acceso privilegiado, revisiones de acceso y ciclos de vida de cuentas. Puede que no sean responsables de la orquestación de agentes, el comportamiento de los modelos, la gobernanza de datos o el diseño de aplicaciones.
Esta división genera brechas a menos que las compañías asignen responsabilidades explícitas. Cada agente en producción necesita un responsable de negocio que asuma su propósito y consecuencias. También necesita un responsable técnico que mantenga la integración, las credenciales, las políticas y la supervisión.
Los desarrolladores enfrentan presión porque los controles de identidad afectan la arquitectura. Un prototipo puede usar una clave de API de larga duración almacenada en una variable de entorno. Un despliegue de producción debería usar secretos gestionados, credenciales con alcance limitado, rotación, expiración y solicitudes rastreables.
Estos requisitos añaden trabajo de ingeniería que es fácil subestimar. El modelo puede generar una respuesta en segundos, pero el sistema circundante debe recuperar información autorizada, validar llamadas a herramientas, registrar decisiones, gestionar fallos y evitar reintentos inseguros.
Los compradores empresariales deben examinar más que la calidad del modelo. Necesitan preguntar si un producto de IA admite identidades separadas para los agentes, ámbitos de permisos granulares, aprobación de administradores, registros exportables, rotación de credenciales y revocación inmediata.
También deberían preguntar cómo gestiona el proveedor la delegación. Si un agente invoca otro servicio, el cliente necesita saber qué identidad aparece en los registros posteriores y si se conserva el contexto del usuario original.
Los propietarios de datos tienen un papel porque las decisiones de acceso no pueden depender por completo de equipos de seguridad centralizados. La persona responsable de datos financieros, médicos, de clientes o de ingeniería debería definir los fines aceptables y las acciones de mayor riesgo.
Los equipos jurídicos y de cumplimiento se preocuparán por la evidencia. Un documento de políticas que afirma que los agentes usan el mínimo privilegio es más débil que los registros que muestran qué permisos se otorgaron, quién los aprobó, qué acciones ocurrieron y cuándo expiró el acceso.
Los empleados también experimentan el cambio de gobernanza. Un agente estrictamente controlado puede solicitar aprobación con mayor frecuencia o rechazar una tarea que no puede completar dentro de sus permisos. Esa fricción puede animar a los usuarios a elegir herramientas no autorizadas si los sistemas aprobados parecen inutilizables.
Por tanto, la respuesta empresarial debe equilibrar el control con la usabilidad. Las políticas deberían distinguir entre la redacción de bajo riesgo y la ejecución de alto impacto. Exigir el mismo proceso de aprobación para ambas puede generar demoras sin mejorar las protecciones más importantes.
Compras puede respaldar esa distinción clasificando los productos según su autoridad. Una herramienta que resume documentos presenta un riesgo distinto de otra que edita registros o se comunica externamente.
Los consejos de administración deberían centrarse en la exposición, en lugar de en el número de proyectos de IA. Diez agentes con acceso de solo lectura a información pública pueden plantear menos riesgo operativo que un agente con una credencial de producción amplia.
Este replanteamiento convierte la gobernanza de identidades en una decisión empresarial. Conecta el gasto en IA con el valor y el riesgo de las acciones que se automatizan, en vez de tratar cada despliegue como una compra de software equivalente.
Por tanto, los lectores de Google News deberían considerar la historia de la gobernanza de identidades como una redistribución del trabajo. Un mayor gasto en IA no elimina la responsabilidad humana. Desplaza esa responsabilidad hacia las personas que diseñan, aprueban y supervisan la autoridad de las máquinas.
Qué deberían vigilar los compradores empresariales a continuación
La próxima fase se medirá por la cobertura de identidades, la calidad de los permisos y la preparación ante incidentes, no por el número de anuncios de agentes.
La primera señal es si las principales plataformas de IA adoptan estándares de identidad interoperables. Actualmente, las empresas corren el riesgo de gestionar cada entorno de agentes mediante distintos objetos de identidad, registros y sistemas de políticas.
Los estándares comunes ayudarían a las organizaciones a identificar a un agente de manera coherente en una plataforma de modelos, un marco de orquestación, un servicio en la nube y una aplicación empresarial. También facilitarían la preservación de las cadenas de delegación.
No basta con que un proveedor anuncie compatibilidad con identidades de agentes. Los compradores deberían examinar si la identidad es única, persistente, atribuible a un responsable y compatible con los sistemas de autenticación existentes. También deberían verificar que las aplicaciones posteriores puedan reconocerla.
La segunda señal es la calidad de la autorización en tiempo de ejecución. Muchas plataformas pueden limitar el acceso durante la configuración, pero menos pueden evaluar cada acción frente a la tarea y el contexto actuales.
Los controles en tiempo de ejecución deberían responder preguntas prácticas. ¿Este agente tiene permiso para acceder a este registro de cliente para esta solicitud? ¿Puede enviar la información resultante fuera de la empresa? ¿Una acción financiera requiere una segunda aprobación?
Busque productos que admitan credenciales de corta duración, ámbitos por tarea, comprobaciones de políticas y registros claros de denegaciones. Estas capacidades indican que la gobernanza de identidades está entrando en la ejecución en lugar de mantenerse como una revisión administrativa.
La tercera señal es la evidencia procedente de incidentes y auditorías. Las compañías aprenderán si sus controles funcionan cuando un agente se comporta de manera inesperada, recibe instrucciones manipuladas o utiliza autoridad fuera de su propósito previsto.
La evidencia pública útil incluiría informes detallados de incidentes, conclusiones regulatorias, requisitos de seguros y orientación de auditoría. Estas fuentes pueden mostrar si las organizaciones pueden rastrear las acciones de un agente y revocar rápidamente todas las credenciales relacionadas.
Una disminución de los permisos excesivos reforzaría el argumento de que los programas de identidad se están poniendo al día. Un aumento de los incidentes que involucren cuentas compartidas o propiedad poco clara mostraría que el gasto sigue superando a la gobernanza.
Las empresas pueden empezar a medir su propia posición sin esperar a un nuevo estándar. Deben contabilizar los agentes en producción, identificar a sus responsables, mapear las credenciales, registrar los permisos efectivos y hacer seguimiento de la caducidad del acceso.
La cobertura es la primera métrica útil. Una organización no puede gobernar un agente que no ha descubierto. El inventario debe incluir aplicaciones adquiridas con agentes integrados, flujos de trabajo desarrollados internamente y automatizaciones creadas por empleados.
La calidad de los permisos es la segunda métrica. Los equipos deben medir cuántos agentes disponen de acceso amplio o permanente, con qué frecuencia se deniegan solicitudes y si las acciones sensibles requieren aprobación adicional.
El desempeño del ciclo de vida es la tercera métrica. Las empresas deben saber cuánto tardan en crear, revisar, modificar, suspender y retirar una identidad de agente. Los procesos lentos fomentan atajos, mientras que la ausencia de controles de retirada deja accesos innecesarios activos.
La preparación ante incidentes aporta la prueba final. Un equipo debería poder desactivar un agente, revocar sus credenciales, detener tareas en cola, identificar los recursos afectados y reconstruir la secuencia de acciones.
Estos pasos no exigen que las empresas abandonen sus sistemas de identidad existentes. Muchas organizaciones pueden ampliar sus procesos de gobernanza actuales si esos sistemas admiten identidades de máquina, autoridad temporal y datos detallados de eventos.
Sin embargo, limitarse a asignar a los agentes roles similares a los de los empleados no resolverá la delegación dinámica ni el acceso específico por tarea. Las empresas necesitarán políticas diseñadas en torno a acciones y propósitos, no solo a cargos.
Google News ha destacado un titular oportuno, pero la historia duradera es operativa. El gasto empresarial en IA está creando sistemas capaces de ejercer autoridad a velocidad de máquina. La gobernanza de identidades debe determinar de quién usan la autoridad, hasta dónde llega y cuándo termina.
La próxima pregunta para cada comprador de IA es concreta: ¿puede su organización nombrar a cada agente en producción, identificar a su responsable, explicar sus permisos efectivos y revocarlos sin interrumpir trabajo no relacionado? Si la respuesta sigue sin estar clara, el presupuesto de IA ya ha creado una obligación de gobernanza que el presupuesto de seguridad debe abordar.
