82 identidades de máquina por cada humano: el verdadero perímetro de la IA agéntica ya no son las personas

Por areacucuta.com (a partir de un informe de KPMG) · 29 de octubre de 2026.

Las identidades no humanas superan a los usuarios humanos en una proporción de 82 a 1 en las organizaciones, según el informe «Acceso invisible, riesgos visibles» de la consultora KPMG. Por identidades no humanas (Non-Human Identities, NHI) se entienden cuentas de servicio, claves de API, tokens y credenciales de máquinas: todo lo que permite a un software acceder a datos o ejecutar acciones sin que una persona lo haga a mano.

KPMG advierte de tres fallos típicos de gobernanza: credenciales con permisos excesivos, identidades «huérfanas» (activas, pero sin un responsable definido) y agentes con acceso a bases de datos sensibles que va más allá de su función. Es una cifra de una firma consultora que también vende servicios de gobernanza, y el material citado no detalla la metodología, así que conviene tomarla como orden de magnitud y no como medición exacta.

Su receta tiene tres pasos. Primero, un inventario continuo de todas las identidades no humanas, con responsable asignado, estado de credenciales y trazabilidad. Segundo, priorizar por riesgo y aplicar el mínimo privilegio, es decir, que cada agente o cuenta acceda solo a los datos y acciones que su tarea exige. Tercero, gestionar el ciclo de vida completo: revocar accesos en desuso, rotar credenciales y vigilar anomalías en tiempo real.

Alaín Almeida, socio de IT Advisory en KPMG Colombia, resume el problema así: el riesgo aparece cuando la velocidad de adopción supera la capacidad de gobernar los accesos. KPMG añade que los agentes no deben gestionarse como un proyecto aislado de tecnología, sino como una decisión conjunta de ciberseguridad, cumplimiento, riesgos y negocio desde el diseño.

Nuestra lectura: la cifra no sorprende, pero cambia el encuadre. Durante décadas la seguridad corporativa giró en torno a verificar personas; con agentes, el perímetro se desplaza a las máquinas, y un agente comprometido o simplemente mal configurado actúa a velocidad de máquina, de modo que sus errores pueden multiplicarse mucho más rápido que los de un empleado con permisos de más.

En general, esto encaja con un patrón que ya vemos en el sector: el cuello de botella de la IA agéntica en la empresa no es la capacidad del modelo, sino el control, los permisos y el contexto. Muchas organizaciones prueban agentes, pero pocas logran escalarlos, y la gobernanza de identidades es una de las razones más prosaicas y más reales.

Quién gana y quién pierde: ganan los equipos que traten a cada agente como un «empleado digital» con ficha, jefe y permisos mínimos, y los proveedores de gestión de identidades. Pierden quienes escalen agentes sobre un caos de claves heredadas. A corto plazo, esto significa una transición incómoda, con incidentes evitables y trabajo poco glamuroso de inventario. Es también una oportunidad laboral: crece la demanda de perfiles de identidad, riesgo y cumplimiento.

A largo plazo, la tesis de fondo se mantiene. Agentes que operen con seguridad y trazabilidad son la base para automatizar la parte rutinaria del trabajo y liberar a las personas para lo que les apasiona. Pero esa abundancia solo llegará si la confianza se construye antes que la escala. La seguridad desde el diseño no frena la innovación; es lo que la hace sostenible.