Los agentes de IA ya tienen las llaves de tu empresa (y nadie lleva la cuenta)
La conversación sobre inteligencia artificial en las empresas ha cambiado de sitio. Ya no va de si la IA escribe bien un correo: va de que hay automatismos y agentes conectados a tus datos, con usuario y contraseña propios, trabajando cuando nadie mira. Y casi nadie tiene la lista.
Qué está pasando
1Password publicó en julio de 2026 una encuesta sobre adopción y gobierno de agentes de IA, y el resumen es demoledor: la adopción va muy por delante del control. Algunos datos del estudio:
- El 89 % de las empresas consultadas ya exige, fomenta o permite el uso de agentes de IA.
- El 62 % reconoce huecos de seguridad en cómo los gestiona.
- El 40 % de los desarrolladores da a esos agentes accesos permanentes, que no se retiran cuando la tarea termina.
- El 33 % de los responsables de IT y seguridad no sabe cuántos agentes o identidades no humanas existen en su organización.
Es decir: se reparten llaves, no se recogen y no hay inventario. El informe completo está en el blog de 1Password.
Por qué te afecta (pyme / asociación)
Puede que pienses que esto es cosa de multinacionales. No lo es:
- Seguramente ya tienes integraciones y automatizaciones conectadas a tu Microsoft 365, a tu CRM o a tu tienda online: un conector que sincroniza contactos, un bot que responde en la web, un asistente que resume reuniones.
- Esos accesos suelen crearse una vez, con permisos amplios y para siempre, porque "así funciona seguro". Nadie los revisa después.
- Un acceso robado de un agente no dispara la alarma del doble factor ni tiene a nadie que sospeche: se usa a las tres de la mañana y parece normal.
- Y esto se suma a un clásico que sigue sin resolverse: las cuentas de personas que ya no están en la organización y de proveedores que dejaron de trabajar contigo.
Qué hacer
- Haz el inventario. Una lista sencilla: qué aplicación, qué automatismo o qué agente entra en qué sistema, con qué cuenta y quién es el responsable interno. Sin lista no hay control posible.
- Permisos mínimos. Que cada conexión acceda solo a lo que necesita, no a todo el buzón ni a todo el disco compartido.
- Accesos con caducidad. Si algo se crea para una tarea o un proyecto, ponle fecha de fin.
- Guarda las credenciales en un gestor de contraseñas de empresa, nunca en un fichero de texto, en un correo ni escritas dentro del código.
- Revisa cada trimestre y quita lo que ya no se usa: personas que se fueron, proveedores antiguos, pruebas que quedaron vivas.
- Decide antes de conectar. Un asistente de IA que "lee tus documentos para ayudarte" está accediendo a información de clientes: eso tiene implicaciones de RGPD y merece un minuto de reflexión.
¿Sabes quién —y qué— tiene acceso a los datos de tu organización? En ITCM Solutions te ayudamos a hacer el inventario y a cerrar lo que sobra. Hablemos.