Lima, agosto de 2026.- El despliegue ininterrumpido de herramientas autónomas ha configurado un panorama inédito en la ciberseguridad corporativa. Al igual que cualquier trabajador, los agentes de IA y los riesgos asociados exigen la asignación de credenciales, permisos y accesos estratégicos a las bases de datos de una compañía. No obstante, estas entidades operan sin entrevistas previas, contratos formales ni supervisiones permanentes, lo que crea vulnerabilidades críticas si los directorios regionales no implementan marcos de gobernanza rigurosos.
El Global Threat Report 2026 de CrowdStrike reveló que el 82% de las detecciones de amenazas durante 2025 no recurrieron al malware, sino a la intrusión mediante el uso ilícito de credenciales legítimas y software corporativo nativo. A este factor se suma la baja visibilidad sobre el parque tecnológico: una encuesta de la Cloud Security Alliance a 418 especialistas en TI arrojó que el 82% detectó agentes de inteligencia artificial no autorizados en sus redes, mientras que apenas el 21% cuenta con un protocolo formal para retirarlos.
En sectores de infraestructura crítica como la minería, energía e industria manufacturera, las consecuencias pueden ser físicas. Según un informe de Team82 de Claroty sobre más de 200 ciberataques a sistemas ciberfísicos, el 82% ingresó mediante accesos remotos y el 66% llegó a comprometer interfaces HMI o sistemas SCADA. De igual forma, el estudio de Ciberseguridad del BID y la OEA (elaborado con la Universidad de Oxford) advierte que la adopción de IA en América Latina está ampliando la superficie de riesgo operacional.
El marco regulatorio peruano y la gestión de identidades
En el escenario local, el país ha establecido lineamientos clave para la supervisión de estas tecnologías. En septiembre de 2025 se aprobó el Reglamento de la Ley N.° 31814 para promover un uso seguro de la IA, mientras que en abril de 2026 entró en vigor la Estrategia Nacional de Inteligencia Artificial 2026-2030, orientada a fortalecer la gestión ética, transparente y segura del sector.
Frente a esta normativa, las organizaciones privadas se ven obligadas a integrar la IA agéntica dentro de sus sistemas tradicionales de control de acceso e identidades digitales.
«La pregunta ya no es si adoptar IA agéntica, sino cómo gobernarla. Las empresas que despliegan agentes autónomos sin visibilidad ni control de permisos como los que requiere un empleado, están abriendo una brecha que con el tiempo puede impactar el negocio», advierte Pablo Garcia, BDM Cyber de TIVIT Latam.
Cinco recomendaciones para gobernar la IA agéntica
Para contener la exposición a ciberataques y mantener la continuidad operativa, el especialista de TIVIT Latam sugiere incorporar cinco medidas fundamentales de gestión:
- Inventariar los agentes en funcionamiento: Mapear todas las herramientas de IA activas en la organización y asignar la responsabilidad formal de cada una a un ejecutivo o área.
- Aplicar el principio de menor privilegio: Restringir las credenciales y accesos de los agentes a los sistemas estrictamente indispensables para su tarea.
- Garantizar la trazabilidad: Auditar y registrar de forma continua las acciones ejecutadas por cada software autónomo, las credenciales utilizadas y las plataformas involucradas.
- Establecer procesos de baja: Diseñar protocolos para revocar inmediatamente accesos y permisos cuando un agente deje de ser utilizado.
- Segmentar entornos OT y mantener supervisión humana: Aislar las redes de tecnología de la operación y exigir aprobación humana para acciones con impacto físico o financiero irreversible.
El despliegue de esta tecnología genera amplias ventajas de productividad. Sin embargo, su consolidación en el Perú requerirá que los directorios acompañen la innovación con mecanismos estrictos de gobierno, identidad digital y gestión de riesgos.