Le diste los correos de tu empresa a la IA, pero, ¿quién vigila que no filtre tus secretos?

La inteligencia artificial ya no se limita a responder preguntas, ahora, gracias a la IA agéntica puede consultar correos, acceder a bases de datos, interactuar con aplicaciones corporativas y ejecutar tareas en nombre de los empleados. Esa autonomía es un problema de seguridad para las empresas que no tienen un plan para evitar que la tecnología comparta información confidencial, acceda a documentos fuera de sus funciones u opere sin autorización. El riesgo no es solo que se equivoque, sino la velocidad y el alcance que esos errores pueden adquirir. En entrevista con Expansión, Román Baudrit, vicepresidente del área de ventas de Seguridad de Aplicaciones y Datos de Thales Cybersecurity Products para América Latina, advierte que los agentes llegan a organizaciones que ya arrastran deficiencias en la protección de su información. Para el especialista, el riesgo comienza antes: cuando la empresa desconoce cuáles son sus datos más sensibles, quién accede a ellos y qué consecuencias tendría su exposición.

“El problema no es la IA, el problema es que yo antes de desplegar la IA no tenía una buena cultura de protección de la información”, señala. En México, 89% de los líderes empresariales planeaba incorporar agentes digitales durante 2025, de acuerdo con el Índice de Tendencias Laborales de Microsoft , aunque no todos concretaron esos planes; la misma encuesta halló que 41% ya los usaba para automatizar procesos. A escala internacional, la encuesta Agentic AI Survey 2026 , de SAP LeanIX, indica que 98% de las organizaciones ya implementó agentes o planea hacerlo, pero solo 17% tiene visibilidad sobre su desempeño y cumplimiento de las reglas, y 48% carece de responsabilidades claramente definidas para administrarlos. Durante años, las empresas desarrollaron mecanismos para administrar las identidades de sus trabajadores: usuarios, contraseñas, permisos y bajas de cuentas. Con la IA agéntica , esos controles deben extenderse a identidades que no son personas. Baudrit explica que cada agente debe tener una identidad digital que permita reconocerlo, autenticarlo y delimitar sus funciones: a qué bases de datos accede, qué aplicaciones usa, qué información puede compartir y cuándo se revocan sus permisos. “Todo esto que nosotros hacíamos para los usuarios internos humanos, tenemos que desplegarlo ahora para los agentes”, refiere. El desafío crece porque una empresa puede operar varios agentes que intercambian información: uno consulta datos de clientes, otro elabora reportes y un tercero ejecuta acciones en una plataforma corporativa. Sin permisos delimitados, esa interacción puede ampliar el alcance de un incidente. Por ello, las organizaciones deben administrar todo el ciclo de vida de estas identidades, desde su registro hasta su desactivación. Una herramienta que resume correos, por ejemplo, no necesariamente debe poder enviar mensajes, descargar todos los adjuntos o compartir documentos con servicios externos.

Cuando los agentes llegan a plataformas externas, las organizaciones pueden perder parte del control sobre sus datos, por lo que Baudrit considera necesario protegerlos antes de enviarlos a los modelos. El especialista plantea un caso hipotético: un cliente consulta a un chatbot bancario por un cargo duplicado y comparte su nombre, número de identificación y datos bancarios. Sin controles, el sistema podría enviar todo al modelo, aunque no lo necesite para resolver la consulta. La alternativa es un mecanismo que intercepte la información antes de que llegue al modelo y sustituya los datos sensibles por identificadores protegidos: el nombre se reemplaza por un código y se oculta parte del número de tarjeta. Al responder, otro control define qué puede mostrarse; el cliente recibe la confirmación de su reembolso y los últimos cuatro dígitos de su tarjeta. La técnica puede apoyarse en tokenización, cifrado y políticas de acceso por categoría de información, pero no elimina todos los riesgos: su efectividad depende de la configuración de los controles, de los datos que el agente realmente necesita y de la seguridad de los sistemas con los que interactúa. Las empresas también deben definir quién autoriza la incorporación de agentes, quién los supervisa y quién responde cuando algo sale mal. La encuesta de SAP LeanIX, realizada en marzo de 2026 entre 228 responsables de arquitectura empresarial y tecnología, muestra una brecha: 63% considera que los arquitectos empresariales deberían tener un papel central en la gobernanza de agentes, pero solo 34% participa en ella. Los resultados corresponden principalmente a Europa y Norteamérica, por lo que no representan directamente la situación de México. Baudrit distingue entre las herramientas autorizadas y el shadow AI, es decir, el uso de sistemas fuera de los mecanismos aprobados, donde los empleados también son responsables de las herramientas que eligen y de la información que comparten.

En los sistemas corporativos, identifica al CISO ( Chief Information Security Officer o Director de Seguridad de la Información) como figura clave para establecer políticas y protecciones, y sostiene que debe participar desde las primeras decisiones de adopción, no después de implementar la tecnología, como ocurrió durante años con otros sistemas. Esto implica administrar identidades no humanas, revisar permisos, clasificar información sensible y auditar a terceros. Además, desde la perspectiva de Baudrit, las juntas directivas deben conocer los riesgos de la IA y pedir indicadores de seguridad. El especialista asegura que algunas empresas latinoamericanas ya incluyen reportes periódicos de ciberseguridad en sus reuniones directivas, aunque no proporcionó cifras sobre qué tan extendida está la práctica. Para Baudrit, la mejor forma de saber si una organización está preparada para usar agentes es revisar cómo protege sus datos. Una auditoría debe empezar por el perfil de riesgo de la información: qué datos son confidenciales, cuáles pueden compartirse, quién accede a ellos y qué consecuencias tendría una exposición indebida. También debe evaluar a los sistemas externos que reciben información, pues una empresa con controles internos sólidos sigue siendo vulnerable si entrega datos a un proveedor sin conocer sus políticas de almacenamiento y protección, además de revisar las conexiones entre aplicaciones, los permisos de los agentes y la posibilidad de interrumpirlos. Una compañía capaz de explicar cómo clasifica, protege y controla el acceso a sus datos probablemente esté mejor preparada para administrar los riesgos de la IA; si desconoce dónde reside su información más sensible o quién la consulta, los agentes pueden amplificar deficiencias que ya existían. El desafío, por tanto, no es solo adoptar IA para ganar productividad, sino conservar el control sobre las decisiones, los accesos y la información que se delegan. Porque una empresa puede confiarle a la IA la lectura de sus correos, el análisis de sus documentos o la atención de sus clientes, pero esa confianza no debería sustituir la capacidad de saber qué hace la tecnología, qué información utiliza y cómo detenerla. Baudrit destaca el kill switch, un mecanismo que interrumpe ciertos accesos de un agente cuando hay riesgo para la información. En el escenario bancario, desconectar el mecanismo que permite al modelo acceder a datos protegidos impide que siga usando esa conexión. No equivale a apagar todo el sistema, sino a cortar un acceso específico para limitar el daño. Sin embargo, revocarlo no garantiza recuperar datos que ya salieron del entorno ni eliminar copias almacenadas por un tercero.