Los agentes de IA acceden a datos sin autorización: tres nuevas encuestas confirman el vacío en la gobernanza

Tres investigaciones independientes, publicadas con pocos días de diferencia en el verano de 2026, llegaron a la misma conclusión incómoda desde tres perspectivas distintas: la mayoría de las empresas no puede decir con certeza a qué puede acceder sus agentes de IA, quién aprobó ese acceso o cómo desactivarlo cuando algo sale mal.

Leo muchas de estas encuestas a lo largo del año, y la mayoría mide la misma ansiedad general con palabras ligeramente diferentes. Lo que hace que este trío merezca una pausa es que los números realmente coinciden entre sí. 1Password encuestó a 1,000 profesionales de seguridad e ingeniería en grandes empresas estadounidenses y descubrió que los agentes suelen acceder a datos mucho más allá de lo que alguien aprobó. Okta encuestó a 306 ejecutivos de seguridad en todo el mundo para su informe Global CISO Insights 2026 y encontró que menos de la mitad se siente segura de poder identificar cada agente de IA que opera en su entorno, mucho menos controlar lo que hace. Y el Informe Anual de Riesgos de Seguridad de Datos y Cumplimiento de Kiteworks 2026, basado en investigación primaria con 459 líderes de seguridad y cumplimiento, cuantificó la misma distancia usando la implementación real de controles en vez de confianza autodeclarada — y encontró que la brecha es igual de amplia, si no más.

Leídos por separado, cada informe cuenta una historia convincente. Leídos en conjunto, forman algo más cercano a un punto de referencia sectorial: el acceso de los agentes de IA ha superado la gobernanza de esos agentes casi en todas partes, y las organizaciones que los tienen en producción suelen ser las últimas en enterarse hasta dónde realmente llega ese acceso. Este artículo repasa lo que encontró cada conjunto de datos, dónde convergen los tres y qué requiere realmente un modelo de gobernanza diseñado tanto para identidades humanas como de agentes.

Conclusiones clave

• Los agentes ya acceden a más de lo que cualquiera aprobó. 1Password descubrió que aproximadamente cuatro de cada diez organizaciones tienen agentes de IA accediendo a datos fuera de su alcance aprobado, y que los agentes, en conjunto, acceden a aproximadamente el doble de datos de lo que alguien autorizó.
• Los CISOs no pueden ver lo que deben gobernar. La encuesta global de Okta halló que menos de la mitad de los ejecutivos de seguridad confía en poder identificar cada agente de IA en su entorno, controlar a qué accede o determinar qué se le permite hacer.
• Los datos medidos de Kiteworks confirman la brecha de forma independiente. El Informe Anual de Riesgos de Seguridad de Datos y Cumplimiento de Kiteworks 2026 encontró una puntuación de madurez de gobernanza de IA de 35 sobre 100 en 459 organizaciones — lo que significa que la organización promedio ha implementado aproximadamente 7 de 19 capacidades de gobernanza de IA medidas.
• La restricción de propósito y los kill switches son los controles menos implementados. Solo el 26% de las organizaciones restringe a los agentes de IA a tareas y alcances de datos autorizados, y solo el 21% puede terminar automáticamente el acceso de un agente que se comporta de forma indebida.
• La rendición de cuentas sigue sin resolverse incluso donde existe la tecnología. 1Password halló que el 65% de los encuestados cree que una persona diferente debería ser responsable cuando un agente causa daño, en comparación con quien lo es actualmente — mientras que la gobernanza capaz de asignar esa responsabilidad a nivel de control de acceso sigue siendo poco común.

La realidad del desarrollador: los agentes ya acceden a más de lo que se autorizó

Empecemos por las personas que construyen y gestionan estos sistemas en el día a día. La encuesta de 1Password, realizada a finales de mayo y principios de junio de 2026 entre 1,000 empleados de seguridad e ingeniería en grandes empresas estadounidenses, describe un entorno donde los agentes de IA han pasado de pruebas piloto a producción más rápido que los controles de acceso pensados para contenerlos.

El 46% de los desarrolladores afirma que hoy ejecuta agentes de IA en producción. Eso no sorprende — la adopción de IA agente ha crecido durante todo el año. Lo notable es lo que ocurre una vez que esos agentes están activos: el 71% de los desarrolladores dijo que sus agentes pueden acceder a información confidencial, y en aproximadamente cuatro de cada diez organizaciones, los agentes acceden a datos específicamente fuera de lo aprobado para ellos. En toda la población encuestada, los agentes accedieron en conjunto a aproximadamente el doble de datos de lo que realmente se había autorizado. Eso no es un simple error de redondeo en una política de control de acceso. Es una brecha estructural entre la clasificación de datos que la organización cree haber aplicado y lo que sus agentes pueden alcanzar técnicamente. Las organizaciones que gestionan información personal identificable, información de salud protegida u otras categorías de datos regulados enfrentan una exposición creciente: una filtración de datos atribuible a un agente accediendo a datos fuera de su alcance aprobado activa las mismas obligaciones de notificación y remediación que una filtración iniciada por un humano, con la complejidad añadida de que la cadena de decisiones del agente puede ser más difícil de reconstruir que la de una persona.

El problema de la persistencia agrava esto. El 40% de los desarrolladores dijo que otorga a los agentes acceso persistente a sistemas y secretos que permanece activo después de que termina la tarea que lo requería. En un entorno bien gobernado, el acceso del agente debería expirar con la tarea — igual que la credencial de un contratista debería desactivarse cuando termina el trabajo. En cambio, los agentes suelen quedarse con credenciales indefinidamente, ampliando el alcance de cualquier agente comprometido, ataque por inyección de prompts o integración de herramientas mal configurada. La minimización de datos aplicada al nivel de acceso del agente — otorgando a cada agente solo acceso a las fuentes de datos específicas que requiere su tarea actual, con expiración automática al finalizar — es el mecanismo operativo que cierra la brecha de acceso persistente que 1Password midió en el 40% de los desarrolladores.

Ese último riesgo tampoco es teórico. El 47% de los desarrolladores informó que un agente realizó una acción no intencionada tras seguir instrucciones ocultas en una página web, documento, correo electrónico o salida de una herramienta — el equivalente agente de un clic de phishing, salvo que el agente no se detiene a cuestionar la instrucción como lo haría un empleado capacitado. Y el 33% de los desarrolladores que trabajan con agentes dijo que su organización había sufrido una filtración o incidente de seguridad vinculado específicamente a identidades no humanas con privilegios excesivos.

Quizás el hallazgo más revelador de toda la encuesta tiene que ver con la rendición de cuentas, no el acceso. Cuando se preguntó quién debería ser responsable si un agente causa daño, el 65% de los encuestados dijo que alguien distinto a la persona actualmente responsable debería asumir esa responsabilidad. Solo el 5% dijo que el propio agente debería ser responsable. En otras palabras, quienes están más cerca de estos sistemas ya saben que el modelo de propiedad actual no refleja la realidad; simplemente no hay consenso aún sobre dónde debe recaer la responsabilidad. Esa distancia entre dónde recae actualmente la responsabilidad y dónde los profesionales creen que debería estar es, en mi opinión, el verdadero titular oculto en los datos de 1Password — más revelador que los propios números de acceso, porque no hay herramienta que lo resuelva por sí sola. Los controles de acceso, registrados y atribuibles a una política y aprobador específicos, al menos dan a la organización la evidencia necesaria para tener esa conversación con hechos en lugar de suposiciones. Un plan de respuesta a incidentes documentado que preasigne explícitamente la responsabilidad en incidentes con agentes — quién investiga un evento de inyección de prompts, quién revoca las credenciales del agente, quién evalúa el alcance de los datos para notificación — convierte la ambigüedad de la responsabilidad documentada por 1Password en una secuencia de respuesta practicada y predefinida.

La visión desde la dirección: los CISOs no pueden ver lo que deben gobernar

Subiendo un nivel, de quienes construyen los agentes a los ejecutivos responsables del riesgo que estos generan, el panorama no mejora — solo cambia de forma.

El informe Global CISO Insights 2026 de Okta encuestó a 306 ejecutivos de seguridad en todo el mundo y halló que el 81% se preocupa por el acceso excesivo de la IA. Es una mayoría contundente mostrando preocupación. Lo más llamativo es cuántos se sienten preparados para actuar: solo el 47% confía en poder identificar cada agente de IA en su entorno, solo el 46% confía en poder controlar a qué acceden esos agentes, y solo el 45% confía en poder determinar qué puede hacer realmente cada agente. Menos de la mitad, en cada dimensión de visibilidad operativa básica. El CISO Dashboard ofrece la visibilidad en tiempo real de todos los eventos de acceso a datos mediados por IA que cierra este punto ciego operativo — brindando a los ejecutivos de seguridad el inventario unificado y actualizado de agentes que los datos de Okta identifican como ausente en más de la mitad de las organizaciones encuestadas.

En ese contexto, no sorprende que las amenazas relacionadas con IA dominen la lista de preocupaciones de estos ejecutivos: phishing potenciado por IA (61%), agentes de IA maliciosos (49%) y suplantación de identidad mediante deepfake para eludir autenticación (54%) figuran entre las principales inquietudes. No son riesgos abstractos o a futuro para quienes gestionan programas de seguridad empresarial. Son preocupaciones operativas actuales — y la brecha de visibilidad que midió Okta es precisamente lo que dificulta detectarlas y contenerlas.

El informe también revela un problema de cultura de gobernanza subyacente al técnico. Solo el 31% de los líderes de seguridad a nivel mundial — y apenas el 12% en Estados Unidos — dice estar completamente alineado con su C-suite y junta directiva sobre el nivel de riesgo de IA que la organización está dispuesta a aceptar. Esa brecha está por encima de la tecnología. Quienes definen el apetito de riesgo de IA y quienes ejecutan los controles de seguridad, en la mayoría de las organizaciones, trabajan desde dos definiciones distintas de riesgo aceptable, y nadie las ha reconciliado aún. Una evaluación formal de riesgos que cuantifique la exposición de acceso a datos de agentes de IA en términos de negocio — mapeando qué categorías de datos regulados puede alcanzar cada agente, bajo qué condiciones de acceso y con qué capacidad de revocación — da a los líderes de seguridad la base probatoria para cerrar la brecha de alineación con la junta que documentó Okta.

Los detalles operativos que encontró Okta coinciden estrechamente con lo que 1Password halló desde el lado del desarrollador. Una de cada cuatro organizaciones aplica las mismas políticas de ciclo de vida de identidad a los agentes de IA que a los usuarios humanos — lo que significa que tres de cada cuatro no lo hacen, y gestionan identidades de agentes mediante procesos separados, probablemente menos rigurosos. El 21% depende de credenciales compartidas o cuentas de servicio con permisos amplios para sus agentes, el patrón exacto que convierte a un solo agente comprometido en un radio de impacto que cubre todo lo que esa credencial puede alcanzar. Y el 20% deja la gestión de agentes a equipos individuales de forma ad hoc, sin una política coherente a nivel organizacional para otorgar, revisar o revocar el acceso de los agentes. Los programas de gestión de riesgos de la cadena de suministro que amplían esta brecha de gobernanza para cubrir agentes de IA implementados por proveedores externos — no solo los que la organización implementa directamente — cierran la superficie de identidad de la cadena de suministro que crea la gestión ad hoc.

Los propios datos de Kiteworks lo confirman — con controles medidos, no confianza autodeclarada

Ambas encuestas anteriores se basan en percepciones autodeclaradas: cuánta confianza tiene un CISO, cuán consciente es un desarrollador de lo que tocó su agente. Esos datos son valiosos, pero la percepción y la realidad implementada no siempre coinciden. El Informe Anual de Riesgos de Seguridad de Datos y Cumplimiento de Kiteworks 2026 se diseñó específicamente para cerrar esa brecha, utilizando datos binarios y verificables sobre la implementación de controles, recopilados de 459 profesionales de seguridad y cumplimiento en organizaciones con 1,000 o más empleados, en 10 industrias y tres regiones globales.

La encuesta introduce dos medidas compuestas. El Data Security Maturity Score (DSMS) evalúa 11 controles generales de seguridad de datos — cifrado, transferencia de archivos gestionada, integración con SIEM, kill switches y otros — y arrojó una media de 39 sobre 100, lo que significa que la organización promedio ha implementado menos de la mitad de los controles de seguridad medidos. El AI Governance Maturity Score (AIGMS) evalúa 19 capacidades específicas de gobernanza de datos de IA y arrojó una media de 35 sobre 100 — aproximadamente 7 de 19 capacidades implementadas. Una tercera medida, el Data Security and Compliance Readiness Index (DSCRI), multiplica ambas para capturar el efecto compuesto de una gobernanza débil sobre una seguridad moderada: la media del DSCRI fue de solo 16.2 sobre 100.

Las consecuencias de esa brecha no son proyecciones — fueron reportadas por los encuestados describiendo lo que sucedió en los 12 meses previos a la encuesta. Entre todos los encuestados, el 80% experimentó al menos un incidente de seguridad — general o específico de IA — en los últimos 12 meses. El 63% enfrentó una consecuencia de cumplimiento — hallazgo de auditoría, plan de remediación requerido, escalamiento a la junta, penalización contractual o investigación regulatoria formal. Y el 65% descubrió empleados usando herramientas de IA no aprobadas con datos de la organización, una tasa de shadow AI que sigue de cerca las brechas de visibilidad de acceso que Okta y 1Password midieron desde sus propios ángulos.

Lo que hace que los datos de Kiteworks sean especialmente útiles junto a los otros dos informes es su nivel de detalle sobre qué controles faltan exactamente — los mismos controles que cerrarían las brechas específicas que describen 1Password y Okta.

Dónde vive realmente la brecha: restricción de propósito, kill switches y registros auditables

Ningún control de contención de IA medido en la encuesta de Kiteworks está implementado por más del 33% de las organizaciones. Vale la pena decirlo claramente: en todos los mecanismos técnicos que la encuesta midió para limitar lo que puede hacer un agente de IA una vez activo, ninguno ha alcanzado ni siquiera a un tercio del mercado.

La restricción de propósito — el control que limita a un agente de IA a la tarea y alcance de datos específicos para los que fue autorizado — está implementada solo por el 26% de las organizaciones, lo que significa que el 74% no restringe técnicamente a sus agentes a tareas y alcances autorizados. Ese es el control exacto que evitaría el patrón de «agentes accediendo a datos fuera de aprobación» que midió 1Password; sin él, el acceso efectivo de un agente está limitado solo por lo que puede alcanzar técnicamente, no por lo que un humano aprobó. Los controles de acceso aplicados a nivel de contenido — evaluando cada solicitud de agente según la sensibilidad del contenido, el rol del agente y el contexto de la tarea simultáneamente — son la implementación técnica de la restricción de propósito que convierte el alcance autorizado en una limitación en tiempo real y no en una suposición documentada.

La capacidad de kill switch para IA — un punto de control único para terminar el acceso de un agente que se comporta de forma indebida en todos los sistemas — solo está implementada por el 21% de las organizaciones, dejando al 79% sin una forma automatizada de cortar el acceso de un agente cuando algo sale mal. Esa brecha es directamente relevante para el escenario de inyección de prompts documentado por 1Password, donde el 47% de los desarrolladores reportó que un agente realizó una acción no intencionada tras seguir instrucciones ocultas en contenido externo: detectar la desviación es solo la mitad del problema si no hay un mecanismo rápido y confiable para revocar el acceso una vez identificado.

La revisión humana previa antes de que un sistema de IA acceda a datos de alto riesgo está implementada por el 30% de las organizaciones. Las políticas DLP específicas para IA que bloquean técnicamente el flujo de datos confidenciales hacia herramientas de IA no aprobadas están implementadas por el 28%. Los registros de acceso de IA enviados a una plataforma SIEM, el requisito básico para detectar comportamientos anómalos de agentes, existen solo en el 33% de las organizaciones. Generar un registro completo de auditoría de IA — el historial que permitiría realmente responder «qué tocó este agente y cuándo» — es aún más difícil: solo el 27% puede hacerlo en un día hábil, y solo el 17% en una hora. La mitad de las organizaciones no puede generar ese registro en un solo día hábil.

Cada una de estas cifras corresponde directamente a una brecha que los otros dos estudios describieron desde otro ángulo. El hallazgo de Okta de que solo el 46% de los CISOs confía en poder controlar a qué acceden los agentes es el reflejo en nivel de confianza de la medición de Kiteworks de que solo el 26% de las organizaciones tiene la restricción de propósito implementada técnicamente. El hallazgo de 1Password de que el 40% de los desarrolladores otorga acceso persistente que sobrevive a la tarea es el síntoma a nivel de práctica de la brecha del 79% en la implementación de kill switches. No son tres problemas separados. Es la misma brecha subyacente, medida de tres formas distintas, llegando al mismo orden de magnitud. Las organizaciones sujetas a obligaciones de cumplimiento normativo — HIPAA, GDPR, CMMC — deberían tratar estos porcentajes de implementación de controles como un punto de referencia sectorial: el 26% de restricción de propósito significa que el 74% de las organizaciones pares operan agentes de IA que los reguladores evaluarán bajo los mismos marcos de control de acceso que rigen el acceso de usuarios humanos, sin los controles técnicos que hacen esos marcos demostrables.

Gobernar agentes como ya gobiernas a las personas

El instinto de muchas organizaciones al leer estos datos es tratar la gobernanza de agentes de IA como una disciplina nueva y separada — una vía paralela de políticas, herramientas y propiedad diseñada específicamente para identidades no humanas. He escuchado suficientes propuestas para una «capa de gobernanza de IA» totalmente nueva como para ser escéptico ante ese enfoque, y los datos respaldan ese escepticismo: ese instinto es comprensible, pero también es parte de por qué existe la brecha. El hallazgo de Okta de que solo una de cada cuatro organizaciones aplica la misma política de ciclo de vida de identidad a los agentes que a los usuarios humanos no es un dato sobre que los agentes necesiten su propio reglamento. Es un dato sobre que la mayoría de las organizaciones aún no aplica el reglamento que ya tiene.

Cada uno de los controles que faltan según estos datos — restricción de propósito, kill switches, registros auditables generados en una hora, RBAC y ABAC aplicados de forma consistente, enforcement de confianza cero en el punto de acceso — es un control que las organizaciones maduras ya aplican a los usuarios humanos de contenido confidencial. La brecha que midieron 1Password, Okta y Kiteworks no es que los agentes de IA carezcan de un modelo de gobernanza. Es que el modelo de gobernanza ya construido para las personas no se ha extendido, técnica y consistentemente, para cubrir cada identidad — humana o de agente — que accede a datos confidenciales. Los marcos de gobernanza de datos que tratan las identidades de agentes de IA como una clase gobernada desde la provisión inicial hasta la finalización de la tarea y la expiración de credenciales — sujetos a las mismas políticas de ciclo de vida que las cuentas humanas — son los que cierran la brecha de ciclo de vida de identidad que Okta midió en tres de cada cuatro organizaciones.

Esta es la premisa detrás de Kiteworks Control Plane: un entorno gobernado donde cada solicitud de acceso, ya sea de una persona, una aplicación o un agente de IA, se evalúa bajo la misma política de control de acceso basado en atributos, se registra en la misma auditoría y está sujeta al mismo mecanismo de revocación. Cuando un agente de IA se conecta a través del Secure MCP Server, su acceso a contenido gobernado se delimita por solicitud, no se otorga de forma persistente ni queda abierto tras finalizar la tarea — abordando directamente el patrón de acceso persistente que 1Password midió en el 40% de los desarrolladores. Kiteworks Compliant AI aplica restricción de propósito y minimización de datos a nivel de política, de modo que el alcance efectivo del agente coincide con lo realmente aprobado y no con lo que puede alcanzar técnicamente — el control exacto que falta en el 74% de las organizaciones según la encuesta de Kiteworks.

Nada de esto reemplaza la tecnología de gestión de identidades y accesos que ya usa la organización, ni resuelve la cuestión de la responsabilidad que los encuestados de 1Password señalaron como pendiente — eso es una decisión organizacional, no técnica. Lo que sí proporciona una capa de intercambio seguro de datos gobernada es la evidencia: un registro único, atribuible y auditable de lo que cualquier identidad, humana o de agente, hizo realmente con contenido confidencial, generado en minutos en vez de solicitado y esperado durante una semana. Ese registro también permite responder por fin a la pregunta de alineación con la junta directiva de Okta con datos y no con estimaciones — porque el riesgo que aprueba la junta y el acceso realmente concedido son, por primera vez, describibles en los mismos términos. El CISO Dashboard muestra este registro unificado de acceso de agentes y humanos en tiempo real, dando al liderazgo de seguridad la visión de datos continuamente actualizada que fundamenta la conversación de alineación con la junta en hechos actuales y no en estimaciones de encuestas atrasadas.

Si quieres saber más sobre cómo gobernar el acceso a datos de agentes de IA con el mismo rigor que ya aplicas a los usuarios humanos, agenda una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog
  Estrategias Zero‑Trust para una protección de privacidad de IA asequible
• Artículo del Blog
  Cómo el 77% de las organizaciones está fallando en la seguridad de datos de IA
• eBook
  Brecha de gobernanza de IA: por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025
• Artículo del Blog
  No existe un «–dangerously-skip-permissions» para tus datos
• Artículo del Blog
  Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.