La IA ya puede actuar por su cuenta: ¿están preparadas las empresas para controlarla?

La inteligencia artificial está entrando en una nueva etapa: ya no solo responde preguntas o genera contenido, sino que puede interactuar con aplicaciones, consultar bases de datos y ejecutar acciones en procesos empresariales. Ante esta evolución, las compañías enfrentan una pregunta clave: ¿cómo garantizar que estos sistemas actúen únicamente dentro de los límites autorizados?

En Colombia, el reto va más allá de adoptar la tecnología. El estudio Colombia AI Pulse, publicado por Endeavor Colombia en agosto de 2026, encontró que el 61% de las empresas consultadas considera la IA una prioridad estratégica o un pilar central del negocio. Sin embargo, el 93,5% permanece en etapas de exploración y desarrollo, y apenas el 0,2% alcanza niveles avanzados de madurez.

Para César Tejada, gerente general de Noventiq Colombia, el cambio fundamental está en pasar de una IA que recomienda a una que actúa. “Ya no basta con preguntarnos si la IA responde correctamente, sino qué puede hacer, a qué puede acceder y qué ocurre si toma una decisión equivocada”.

La preocupación ya se refleja en el panorama internacional. Una encuesta de Cloud Security Alliance publicada en abril de 2026 encontró que el 82 % de las organizaciones consultadas tenía agentes de IA desconocidos operando en sus entornos tecnológicos. El dato evidencia la importancia de identificar estos sistemas y conocer sus capacidades, permisos y conexiones.

Identidad, permisos y supervisión: los nuevos controles

Para reducir los riesgos, las empresas deben establecer límites según el impacto de cada acción. Un agente que consulta información no necesita los mismos permisos que uno que modifica registros, aprueba pagos o interactúa directamente con clientes.

Esto implica aplicar principios conocidos de ciberseguridad, como el mínimo privilegio, Zero Trust, la segregación de funciones y la trazabilidad. Cada agente debe contar con una identidad digital propia, accesos delimitados y un responsable dentro de la organización.

También es necesario fortalecer el gobierno de los datos: conocer dónde está la información sensible, quién puede acceder a ella y en qué condiciones puede utilizarse. El objetivo es garantizar que cada agente acceda únicamente a los recursos necesarios para cumplir su función.

La supervisión humana debe ser proporcional al riesgo. Mientras algunas tareas pueden ejecutarse autónomamente, otras requieren autorizaciones previas y determinadas decisiones críticas deben permanecer bajo control humano. Además, las empresas necesitan mecanismos para detener un agente ante comportamientos anómalos.

“Podemos delegar la ejecución, pero no podemos delegar la responsabilidad empresarial”, señala César Tejada. Por eso, la trazabilidad debe permitir reconstruir qué identidad actuó, qué información utilizó, a qué sistemas accedió y qué acciones ejecutó.

Cinco condiciones para implementar agentes de IA de forma segura

Desde la experiencia de Noventiq, antes de llevar estos sistemas a producción, las organizaciones deberían garantizar cinco condiciones: identidad digital definida, gobierno de los datos, acceso basado en el mínimo privilegio, monitoreo y trazabilidad, y supervisión humana proporcional al riesgo.

Estos controles deben acompañar todo el ciclo de vida del agente, desde su implementación hasta los cambios en sus permisos y su eventual desactivación.

Para Noventiq, avanzar en esta dirección requiere integrar la seguridad con la estrategia de IA empresarial mediante tres frentes: Preparar, con procesos, datos y arquitectura. Proteger, mediante la gestión de identidades, accesos, datos y aplicaciones. Operar, incorporando agentes en procesos reales con monitoreo y servicios administrados.

“La próxima etapa de la IA empresarial no consiste en que la tecnología sepa más, sino en que pueda hacer más. Y cuanto mayor sea su capacidad de actuar, mayor debe ser nuestra capacidad de gobernarla”, concluye Tejada.

El desafío para las empresas no es frenar la autonomía de la inteligencia artificial, sino asegurar que su capacidad de actuar crezca al mismo ritmo que los controles para gobernarla.