La incorporación de agentes de inteligencia artificial plantea un nuevo desafío de ciberseguridad: al igual que un empleado, requieren credenciales, permisos y acceso a sistemas, pero pueden operar de manera autónoma y sin supervisión permanente. El riesgo aumenta ante la evolución de las amenazas digitales. El Global Threat Report 2026 de CrowdStrike encontró que el 82% de las detecciones durante 2025 no involucró malware, sino el uso de credenciales legítimas y herramientas propias de los sistemas.
A ello se suma la falta de visibilidad sobre los agentes de IA. Una encuesta de la Cloud Security Alliance a 418 profesionales de TI y seguridad reveló que el 82% descubrió durante el último año agentes que no sabía que existían y solo el 21% cuenta con un proceso formal para darlos de baja.
En sectores como minería, energía e industria, el riesgo puede trasladarse a entornos físicos: un análisis de Team82 de Claroty sobre más de 200 ataques a sistemas ciberfísicos encontró que el 82% ingresó por acceso remoto y el 66% comprometió interfaces HMI o sistemas SCADA, reforzando la necesidad de incluir estos agentes en las estrategias de ciberseguridad y gestión de accesos.
A nivel regional, el informe Ciberseguridad 2025 del BID y la OEA, elaborado junto con el Global Cyber Security Capacity Centre de la Universidad de Oxford, identifica desafíos pendientes en materia de protección de infraestructura crítica y advierte que la rápida adopción de inteligencia artificial está ampliando riesgos existentes, lo que requiere fortalecer los marcos de gobernanza.
El reto para las empresas peruanas: pasar de adoptar IA a gobernarla
En Perú, este escenario coincide con la evolución del marco regulatorio para la inteligencia artificial. En septiembre de 2025, el Gobierno aprobó el Reglamento de la Ley N.° 31814, que establece disposiciones para el desarrollo y uso de la inteligencia artificial y promueve un uso seguro, responsable y ético de estos sistemas.
Asimismo, en abril de 2026 se aprobó la Estrategia Nacional de Inteligencia Artificial 2026-2030, orientada a fortalecer el gobierno y la gestión de esta tecnología en el país, incluyendo aspectos relacionados con transparencia, seguridad y uso ético de la IA.
Para las empresas, esto plantea la necesidad de incorporar a los agentes de IA dentro de los mecanismos existentes de gestión de accesos, seguridad y control. «La pregunta ya no es si adoptar IA agéntica, sino cómo gobernarla. Las empresas que despliegan agentes autónomos sin visibilidad ni control de permisos como los que requiere un empleado, están abriendo una brecha que con el tiempo puede impactar el negocio», advierte Pablo Garcia, BDM Cyber de TIVIT Latam.
De acuerdo con el ejecutivo de TIVIT, entre las principales medidas que pueden adoptar las organizaciones se encuentran:
- Inventariar los agentes de IA en operación y asignar un responsable para cada uno.
- Aplicar el principio de menor privilegio, limitando los accesos a los sistemas estrictamente necesarios.
- Mantener trazabilidad sobre las acciones realizadas por cada agente, los sistemas utilizados y las credenciales empleadas.
- Establecer procesos de baja, asegurando que los agentes que dejan de utilizarse pierdan sus accesos y permisos.
- Segmentar los entornos OT y establecer supervisión humana para acciones que puedan generar impactos operacionales irreversibles.
La adopción de agentes de IA puede generar importantes oportunidades de productividad para las empresas. Sin embargo, su incorporación debe avanzar acompañada de mecanismos de gobierno, gestión de identidades, control de accesos y supervisión que permitan aprovechar sus beneficios sin ampliar innecesariamente la superficie de riesgo.
