En mayo de 2026, Palo Alto Networks publicó el informe 2026 Identity Security Landscape, elaborado con respuestas de 2.930 líderes de seguridad de todo el mundo. La cifra que abre el documento incomoda: las organizaciones administran, en promedio, 109 identidades de máquina por cada identidad humana. No son 109 empleados más: son 109 cuentas, claves y credenciales que no pertenecen a nadie y que, en la mayoría de las empresas, nadie logra enumerar.
El mismo informe muestra hacia dónde va esto. Las empresas consultadas esperan un crecimiento del 85% en la cantidad de agentes de IA en los próximos doce meses, con un alza del 77% en identidades de máquina frente al 56% en las humanas. La distancia entre "a quién contrató la empresa" y "qué tiene acceso a los sistemas de la empresa" va a aumentar, no a reducirse.
Otro dato del mismo estudio explica por qué importa: el 96% de los encuestados afirma que las identidades humanas ya operan con un acceso muy superior al que exige su función. Si la credencial de la persona ya abre demasiadas puertas, el agente que trabaja en su nombre hereda exactamente ese exceso.
La lectura práctica es corta. La discusión sobre IA dejó de ser "qué herramienta vamos a usar" y pasó a ser "quién, exactamente, está pidiendo esto y qué derecho tiene esa identidad a verlo". La identidad se convirtió en el perímetro.
La credencial que nadie emitió
Toda empresa tiene un proceso para las personas: se contrata a alguien, recibe un usuario, entra en los grupos correctos y, el día en que se va, Recursos Humanos avisa a TI y se corta el acceso. Ciclo conocido y auditable.
Ahora observe qué ocurre cuando entra la IA. Alguien crea una cuenta en una herramienta de IA "para probar". La conecta al sistema de tickets con una clave generada a las apuradas. Configura un agente que se ejecuta solo todos los días a las siete de la mañana. Nada de eso pasó por el directorio de la empresa: ninguna de esas identidades tiene alta, grupo, responsable ni fecha de baja.
OWASP, la misma organización detrás de la lista de riesgos de seguridad en aplicaciones web más usada del mercado, publicó en 2025 el OWASP Non-Human Identities Top 10. Vale la pena mirar su orden, porque no empieza con ataques sofisticados:
- Riesgo n.º 1 — baja mal ejecutada: la identidad que no es de una persona sigue activa después de dejar de ser necesaria.
- Riesgo n.º 5 — privilegios en exceso: permisos abiertos por la presión de la entrega, que llegan a producción y amplían el daño cuando algo se ve comprometido.
- Riesgo n.º 7 — secretos de larga vida: claves y credenciales con vencimiento demasiado lejano, o sin vencimiento alguno.
Traducido al lenguaje de la dirección: el riesgo número uno de la IA corporativa hoy no es que responda algo equivocado. Es que siga respondiendo —y siga accediendo— después de que la persona, el proyecto o el contrato terminaron.
El acceso sigue siendo la puerta
El 2026 Data Breach Investigations Report de Verizon, publicado en mayo de 2026, registró un giro: el 31% de las brechas ya comienza por la explotación de vulnerabilidades de software, que pasó al primer lugar entre las vías de entrada. El abuso de credenciales como punto de entrada cayó al 13%, según el análisis del informe publicado por SecurityWeek.
Es tentador leerlo como "las credenciales dejaron de ser un problema". No es lo que dice el dato. El atacante cambió la forma de entrar; una vez dentro, sigue necesitando una identidad con permiso para llegar a lo que importa. Ahí se encuentran las dos cifras: si el 96% de las empresas admite más acceso del necesario, cualquier entrada se convierte en acceso amplio. La vulnerabilidad abre la puerta; el permiso excesivo entrega la casa.
Gartner ubicó esto entre las principales tendencias de ciberseguridad para 2026. En el informe Top Cybersecurity Trends for 2026, de febrero, "la gestión de identidad y acceso se adapta a los agentes de IA" aparece como una de las seis tendencias del año, con foco en registro y gobernanza de identidad, automatización de credenciales y autorización basada en políticas para actores que no son personas.
Una cuenta personal de IA es una identidad que la empresa nunca emitió
Un detalle de ese mismo material de Gartner suele cambiar el tono de la reunión. En una encuesta realizada entre mayo y noviembre de 2025, más del 57% de los empleados declara usar cuentas personales de IA generativa para el trabajo, y el 33% admite introducir información sensible en herramientas no aprobadas.
Una cuenta personal de IA es, técnicamente, una identidad, solo que no es una identidad de la empresa. No está en el directorio, no tiene rol, no aparece en ninguna auditoría, no se da de baja cuando la persona se va, y se lleva consigo el historial de todo lo que se pegó en ella. Cuando la empresa pregunta "dónde está el riesgo de la IA", la respuesta casi nunca es el modelo. Es la cuenta.
Una política escrita no lo resuelve. Se resuelve cuando la IA aprobada resulta más cómoda que la alternativa personal, y cuando entra por la misma credencial que todo lo demás.
Lo que tiene que existir en la práctica
Nada de esto se resuelve en el modelo de IA: se resuelve en la capa de identidad. Son cinco exigencias concretas.
Identidad corporativa, no una segunda base. La empresa ya tiene una fuente de verdad sobre quién es quién, y no tiene sentido crear otra. El entorno de IA debe federarse con el directorio existente —Active Directory o LDAP local, no solo proveedores en la nube— y no permitir que el usuario federado se edite por dentro. La consecuencia operativa es la que importa: si se da de baja en el directorio, el acceso a la IA acompaña la regla de la empresa.
Acceso por rol, función por función. Cuando una integración expone cincuenta funciones y el área de soporte necesita dos, lo correcto es habilitar exactamente esas dos. El estándar del mercado es todo o nada, y ese "todo" es el riesgo n.º 5 de OWASP entrando en producción.
Credencial con nombre. Un usuario único registrado por TI y utilizado por todos borra la autoría. Cada persona guardando su propia credencial cifrada mantiene la acción atribuible: no se convierte en "lo hizo el sistema".
Aprobación según el riesgo. Las operaciones sensibles se detienen y piden confirmación explícita de una persona, dentro del propio flujo. La autonomía sin freno es lo que traba los proyectos de IA en la dirección; un freno configurable es lo que los destraba.
Traza consultable. Registro organizado por área —conectores, aprobaciones, documentos, permisos— para que la investigación no sea una excavación. Es la diferencia entre "creemos que nadie accedió" y "sabemos quién accedió, cuándo y con qué autorización".
Así fue diseñada la Skyller: federación con el directorio de la empresa, permiso resuelto por rol antes de la acción y traza separada por área.
El agente no tiene credencial propia. Usa la de quien la pidió.
Este es el punto que separa un entorno gobernado de un agente suelto. Un agente no debería recibir "acceso de administrador" para cumplir la tarea: opera dentro de los permisos de la identidad que lo activó. Si esa persona no puede ver la carpeta del área legal, el agente que usa tampoco puede, y no hay atajo lateral, porque el permiso se resuelve antes de la acción, no después.
Lo mismo vale para lo que construye el equipo. Agentes, espacios y flujos pueden ser reutilizados por otras áreas, pero el alcance lo definen personas, grupos, roles y permisos. Un agente de compras publicado para ese equipo es capacidad de la empresa; no se convierte en una puerta trasera hacia finanzas.
La cuenta personal genérica de IA no ofrece nada de esto: no sabe quién es la persona dentro de la empresa, no conoce los grupos, no caduca el día de la baja y no le devuelve una traza a nadie.
Seis preguntas para llevar a su proveedor de IA
Separan a quien trató la identidad como cimiento de quien la trató como una casilla marcada en un formulario de cumplimiento.
- ¿La plataforma se conecta a nuestro directorio local o solo a proveedores de identidad en la nube? Muchas empresas medianas tienen Active Directory local y no licencian identidad en la nube.
- Cuando damos de baja a alguien en el directorio, ¿en cuánto tiempo pierde el acceso a la IA y cómo lo demostramos?
- ¿El agente hereda los permisos de quien lo activó o funciona con una credencial de servicio de acceso amplio? Pida verlo, no escucharlo.
- ¿Puedo habilitar solo parte de las funciones de una integración para un grupo específico, o es todo o nada?
- ¿Qué acciones se detienen y exigen aprobación humana, y quién define esa lista? Si la respuesta es "la IA siempre pide confirmación", la lista no existe.
- ¿Qué registro queda cuando un agente accede a un documento o ejecuta una acción, y quién puede consultarlo sin abrir un ticket?
