Una encuesta de Osterman Research a cerca de 380 profesionales hizo una pregunta simple: después de salir de la empresa, ¿en cuántos sistemas seguías pudiendo entrar? La respuesta fue incómoda. El 89% dijo que mantuvo el acceso a correo, Salesforce, SharePoint, almacenamiento en la nube y cuentas corporativas. Casi la mitad admitió haber entrado en alguna de esas cuentas después de su último día, y el 60% contó que nadie le pidió sus credenciales al salir.
El estudio es antiguo, y ese es justamente el punto: la falla es estructural, no es una moda. En aquel momento, la lista de sistemas olvidados tenía correo y hojas de cálculo. Hoy también tiene asistentes de IA con acceso a documentos internos, integraciones con bases de datos y conversaciones enteras sobre la estrategia de la empresa.
No es descuido de un área. Es un hueco de arquitectura. Cuando alguien sale por un lado (el directorio de la empresa) y la remoción por el otro lado (cuentas de IA, sistemas conectados, herramientas en la nube) depende de que alguien se acuerde, hay una brecha de identidad — y una brecha de identidad es una brecha de seguridad.
El tamaño del vacío
En 2022, Oomnitza encuestó a 213 profesionales senior de TI en empresas de 1.000 a 10.000 empleados y midió ese hueco con números actuales. El 42% reportó casos de acceso no autorizado a aplicaciones en la nube originados en un offboarding incompleto — y otro 17% simplemente no supo decir la magnitud del problema, lo cual es peor que un mal número.
La misma encuesta trajo un segundo dato: el 27% de las empresas pierde más del 10% de sus activos de tecnología cuando un empleado es desvinculado — no porque alguien robe algo, sino porque no hay registro de qué tenía esa persona, dónde estaba, o a qué seguía conectada. Y el 48% de los encuestados señaló ausencia o deficiencia de flujos automatizados en el offboarding. Es decir: el proceso existe en el papel, pero depende de que la gente se acuerde.
Dejar ese hueco abierto ya tiene un precio medido. El informe de IBM sobre el costo de las filtraciones de datos de 2025 muestra que el 97% de las organizaciones que sufrieron un incidente de seguridad ligado a la IA no tenía control de acceso adecuado para esas herramientas, y que el 63% no tenía ninguna política de gobernanza de IA. En el mismo estudio, las empresas con un alto nivel de IA usada fuera de la gestión corporativa acumularon US$ 670.000 adicionales en el costo medio de una filtración — la cifra es sobre IA que corre fuera del control de la empresa, y una cuenta de ex-empleado que nadie apagó es exactamente eso.
Y cuando el Verizon Data Breach Investigations Report analizó más de 22.000 incidentes de seguridad y 12.195 filtraciones confirmadas en 2025, encontró el abuso de credenciales como puerta de entrada en el 22% de las filtraciones. Una credencial que sigue válida es una credencial que le sigue sirviendo a alguien.
Por qué offboarding es diferente de desactivación
Cuando alguien sale por un lado (el directorio corporativo, la nómina), necesita salir por todos los otros lados (correo, herramientas en la nube, asistentes de IA, sistemas internos). La desactivación es el evento (el último día). El offboarding es el proceso.
El proceso tiene fases:
- La identidad sale del directorio — desactivación en Active Directory, en el acceso único de la empresa, etc.
- El acceso sale de las herramientas — revocar credenciales en cada sistema conectado, incluidos los de IA.
- Los datos salen o se archivan — transferir o eliminar según la política.
- La auditoría registra todo — rastro de quién accedió a qué mientras estaba autorizado.
Cuando la fase 1 no se conecta con la fase 2, queda una persona que salió de la nómina pero no salió de la IA. Y la fase 4 pierde sentido: un rastro que no sabe quién ya debería haber salido registra el acceso, pero no puede clasificarlo como indebido.
Lo que comienza a suceder
Una ex-empleada tiene la contraseña guardada en el navegador. Entra en el asistente de IA de la empresa. Usa ese acceso para sacar reportes del equipo de finanzas. Nadie lo nota, porque la sesión viene de un historial local antiguo y el sistema no sabe que ella salió.
O el ex-empleado tenía acceso a una integración con una base de datos crítica mediante una credencial personal. La credencial nunca fue revocada. Meses después, durante una investigación, alguien encuentra consultas que no corresponden a ningún equipo activo. ¿De dónde vinieron? No hay forma de saberlo, porque nada en el sistema marca el instante en que esa persona dejó de estar autorizada.
Lo caro es ese segundo caso: no es solo la entrada indebida, es el tiempo que se pierde para entender qué pasó. El estudio del Ponemon Institute sobre riesgo interno muestra el tamaño de la diferencia: los incidentes contenidos en hasta 30 días cuestan US$ 14,2 millones al año a las organizaciones encuestadas, contra US$ 21,9 millones cuando la contención pasa de 90 días. El mismo estudio señala que el 92% de las organizaciones dice que la IA generativa cambió la forma en que las personas acceden y comparten datos — y que apenas el 18% ya integró la gobernanza de IA a su programa de riesgo interno.
Lo que cambia cuando la identidad corporativa rige todo
Si la IA está conectada al Active Directory de la empresa — o a cualquier otro directorio corporativo que sea la fuente de verdad de la identidad — desactivación y offboarding se vuelven una sola cosa. En el instante en que alguien sale del directorio:
- El acceso a la IA se cae con ella.
- No depende de que alguien recuerde revocar cuenta, contraseña o credencial.
- Queda registrado quién era, cuándo dejó de tener acceso y por qué.
- Cualquier consulta o acción hecha después de ese instante no puede provenir de ese usuario — y eso acorta la investigación de cualquier incidente.
Es la diferencia entre "esperamos que la gente recuerde desactivar decenas de herramientas diferentes" y "cuando la identidad sale del directorio corporativo, todas las herramientas ven que esa persona ya no existe".
Skyller usa este mecanismo: identidad desde el Active Directory de la empresa, acceso conforme al rol de cada persona, aprobación humana antes de una acción sensible y registro de quién hizo qué y cuándo. Una persona desvinculada del directorio no entra en ningún lugar.
Lo que tiene que existir en la práctica
- Si un colaborador es desvinculado hoy, ¿en cuántas herramientas de IA puede entrar mañana? Si la respuesta depende de que alguien recuerde revocar cuentas, el problema es de identidad, no de política. Mide en cuánto tiempo se cae el acceso — si la unidad es "días", ya es tarde.
- ¿Cuántas cuentas de ex-empleados aún existen en tus herramientas de IA? Si nadie sabe responder, la revocación no es automática — y estás en el grupo del 17% que no logra medir su propia exposición.
- ¿Hay credencial personal por herramienta, o el equipo comparte logins? Un login compartido sobrevive a cualquier offboarding, porque no pertenece a nadie que pueda ser desvinculado.
- ¿La auditoría sabe cuándo cada persona dejó de estar autorizada? Sin esa marca, el registro muestra el acceso pero no permite afirmar que fue indebido — que es exactamente lo que una investigación tiene que probar.
