12 de agosto de 2026
Los agentes de IA están saliendo del laboratorio para pasar a la fase de producción. Investigan, escriben código, ejecutan aplicaciones, realizan transacciones y encadenan tareas de varios pasos con muy poca supervisión humana. Este cambio plantea un problema de identidad de los agentes de IA para el que la mayoría de las organizaciones no están preparadas, ya que los sistemas a los que ahora se les pide que controlen a los agentes nunca se diseñaron teniendo en cuenta su existencia.
La gestión tradicional de identidades y accesos parte de la base de que hay una persona al otro lado. Los empleados inician sesión, obtienen un acceso vinculado a su función y lo pierden cuando abandonan la empresa. Los agentes rompen ese modelo. Un agente puede estar activo las 24 horas del día, interactuar con una docena de sistemas a la vez y actuar en nombre de varias personas diferentes a lo largo de una jornada.
En su informe «Hype Cycle™ for Digital Identity 2026», creemos que Gartner® señala tres factores que están transformando la identidad digital: el auge de los agentes de IA, la apuesta por la visibilidad de la identidad y un conjunto cada vez más amplio de amenazas relacionadas con la identidad. La idea central es que los responsables de seguridad tendrán que replantearse dónde invierten si quieren apoyar la adopción de la IA sin perder el control sobre quién y qué puede acceder a sus sistemas.
IAM se creó pensando en las personas
La gestión convencional de identidades y accesos (IAM) funciona cuando el usuario es una persona con un cargo, un responsable y un conjunto de responsabilidades más o menos estable. Un agente no tiene nada de eso. Puede que necesite un registro de cliente durante dos segundos, que llame a una API, que actualice un campo y que siga adelante, y sus permisos cambian de una transacción a otra.
Hoy en día, muchos equipos gestionan esa actividad mediante cuentas de servicio compartido, claves API estáticas o un nombre de usuario de un empleado prestado. Esos atajos permiten poner en marcha un proyecto más rápido, pero dejan sin respuesta algunas preguntas básicas: quién realizó realmente la acción, qué estaba autorizado a hacer el agente, si necesitaba tanto acceso y quién es responsable cuando algo sale mal. Una vez que la actividad del agente se integra en una cuenta de persona o compartida, el registro de auditoría pierde gran parte de su significado y resulta más difícil controlar los permisos.
Las identidades de las máquinas están superando a los programas destinados a controlarlas
Las identidades no humanas ya se están multiplicando en los servicios en la nube, las API, los contenedores, los flujos de trabajo automatizados y las aplicaciones empresariales, incluso antes de que los agentes entraran en escena. La encuesta de Gartner sobre identidades de máquina para 2025 reveló que «el 94 % de las organizaciones se enfrentan a un aumento de las identidades de máquina, impulsado en gran medida por la IA y las implementaciones de agentes de IA».
Esa brecha convierte los problemas habituales de seguridad en problemas a gran escala. Las credenciales siguen vigentes más allá de su finalidad, los permisos se acumulan y los equipos pierden la pista de qué identidades existen y a qué pueden acceder. Un atacante no necesita comprometer las credenciales de inicio de sesión de un empleado cuando hay una cuenta de servicio con privilegios excesivos o un agente que se ejecuta con una clave de larga duración justo ahí.
La autenticación por sí sola no bastará para la próxima estrategia de IAM
La autenticación de un agente confirma qué identidad está realizando una solicitud. No dice nada sobre si la solicitud es razonable. Responder a eso implica sopesar el papel del agente, la persona en cuyo nombre actúa, la tarea que tiene entre manos y la sensibilidad de lo que intenta obtener, y una simple decisión de inicio de sesión no puede abarcar todo eso.
En nuestra opinión, el «Hype Cycle™» de Gartner agrupa varias tecnologías emergentes en torno a este problema: identidad de agentes de IA, gestión del acceso a cargas de trabajo, control de acceso basado en la intención, gestión del estado de seguridad de la identidad y plataformas de visibilidad de la identidad. En conjunto, describen un modelo más dinámico, en el que el acceso puede ser de corta duración, limitarse a una única tarea y revisarse continuamente, en lugar de concederse una vez y olvidarse.
Por dónde empezar
El primer paso práctico consiste en identificar cómo se están utilizando ya los agentes dentro de tu organización, incluyendo tanto los proyectos autorizados como aquellos que un desarrollador ha configurado sin una revisión formal. A partir de ahí, podrás detectar en qué casos los agentes se ejecutan con credenciales de usuarios, comparten cuentas de servicio, tienen permisos amplios o permanentes, acceden a datos confidenciales u operan sin un responsable claro.
El objetivo no es frenar la adopción de la IA, sino evitar que una solución provisional se convierta en una arquitectura de seguridad permanente. Resulta útil vincular la gestión de la identidad de los agentes de IA con el trabajo ya en marcha en materia de identidad de máquinas y «Zero Trust ». Si se plantea la IA como un proyecto de seguridad independiente, se crea otro silo; si se trata a los agentes como identidades, se pueden aplicar controles que la empresa ya conoce.
Una serie de preguntas más difíciles
Durante años, el IAM se reducía a una sola pregunta: ¿es este el usuario correcto? Los agentes añaden varias más: ¿Qué está realizando esta solicitud? ¿Quién la ha autorizado? ¿Qué está intentando hacer? ¿Debería seguir teniendo acceso en este momento? Estas preguntas se vuelven más difíciles de responder a medida que los agentes asumen más trabajo, y las organizaciones que las aborden desde el principio tendrán mucho más margen para utilizar la IA sin concederle un acceso amplio e invisible en toda la empresa.
El «Gartner Hype Cycle™ para la identidad digital, 2026» recoge más de dos docenas de tecnologías que están transformando el concepto de identidad, desde la identidad de agentes de IA y la gestión del acceso a las cargas de trabajo hasta las plataformas de visibilidad de la identidad y el «Shared Signals Framework», cada una de ellas con la calificación de beneficios de Gartner, la evaluación de madurez y el tiempo estimado hasta su adopción generalizada.
Descarga el «Ciclo de expectación de Gartner sobre la identidad digital, 2026» ›
Gartner, «Hype Cycle for Digital Identity», 2026, Zachary Smith, Nayara Sangiorgio, 6 de julio de 2026.
«Gartner» y «Hype Cycle» son marcas registradas de Gartner, Inc. y/o sus filiales.
Gartner no respalda a ninguna empresa, proveedor, producto o servicio mencionado en sus publicaciones, ni aconseja a los usuarios de tecnología que elijan únicamente a aquellos proveedores con las calificaciones más altas u otras distinciones. Las publicaciones de Gartner recogen las opiniones de la organización de análisis empresarial y tecnológico de Gartner y no deben interpretarse como afirmaciones de hecho. Gartner renuncia a toda garantía, expresa o implícita, con respecto a esta publicación, incluidas las garantías de comerciabilidad o de idoneidad para un fin determinado.
Este gráfico ha sido publicado por Gartner, Inc. como parte de un documento de investigación más amplio y debe interpretarse en el contexto de dicho documento en su totalidad. El documento de Gartner está disponible previa solicitud a IPROOV LTD.
Próximo artículo de la serie: por qué los agentes de IA necesitan identidades propias y por qué permitirles utilizar las credenciales de los empleados causa más problemas de los que resuelve
