Un informe global publicado en junio por KnowBe4 — una empresa de seguridad informática especializada en comportamiento humano y, más recientemente, en agentes de IA — ofreció un retrato específico de Brasil: el 65% de las empresas brasileñas entrevistadas ya utilizan agentes autónomos de inteligencia artificial, capaces de actuar y tomar decisiones sin intervención humana directa. Entre estas mismas empresas, el 60% de los líderes admiten que este uso no pasa por ninguna estructura formal de aprobación ni de gobernanza.
El estudio, titulado "Del riesgo agente a las victorias humanas: construyendo una cultura de seguridad en la era de la IA agente", escuchó a responsables de la toma de decisiones en ciberseguridad de varios países, con un enfoque específico en el mercado brasileño.
En la práctica, esto significa que la mayoría de las empresas que ya utilizan agentes de IA en el país operan con una capa de automatización sin propietarios definidos. Un agente puede estar leyendo el historial de un cliente en el CRM, respondiendo a una solicitud o sugiriendo una situación de negocio—y en seis de cada diez casos, sin un responsable formal de la decisión.
Este fenómeno ya tiene nombre en el mercado: IA Sombra. Es una actualización de un problema antiguo. A principios de los 2000, Shadow IT era el empleado que subía una hoja de cálculo de la empresa a su propio Dropbox — un riesgo real pero contenido. El equivalente hoy en día es un agente autónomo que lee la base de clientes, decide una acción y ejecuta, a menudo fuera de cualquier inventario de TI. La magnitud del riesgo no es comparable.
El problema no es la tecnología
La velocidad para crear un agente de IA bajó de meses a una tarde. La capacidad de las empresas para gobernar este agente no ha seguido el mismo ritmo.
Es en el intervalo entre lo que cualquier área de la empresa puede construir por sí sola y la estructura de gobierno corporativo para supervisar donde reside el riesgo. Y no es hipotético. Crece a medida que más equipos, sin intención de eludir las normas, simplemente resuelven un problema específico creando su propio agente.
Por que bloquear no lo soluciona
La reacción más común de un área de TI en este escenario es intentar prohibirlo. No funciona. Bloquear el uso de agentes de IA no elimina la práctica, pero sí la migra bajo el radar, igual que ocurrió con Shadow IT. La respuesta más eficaz suele ser menos radical y más operativa. Cuatro frentes concentran la mayor parte del trabajo:
1. Inventario en vivo — cartografía de qué agentes existen hoy en la operación, no solo aquellos que han sido aprobados formalmente;
2. Responsable designado — Todo agente necesita un propietario. Sin ella, es una credencial huérfana;
3. Mapeo de fuentes de datos — entender qué lee cada agente y qué puede escribir;
4. Ciclo de vida definido — Un agente también necesita un criterio para la terminación, no solo para la activación.
El mismo informe de KnowBe4 ayuda a explicar por qué el confinamiento tiende a fracasar: el 47% de los trabajadores brasileños afirma que si las herramientas de IA aprobadas por la empresa son demasiado lentas o restrictivas, buscarán sus propias alternativas por su cuenta, aunque sepan que esto va fuera de la política de seguridad
El problema nunca fue el agente en sí, sino la distancia entre lo que cualquiera puede construir en una sola tarde y lo que la empresa está dispuesta a gobernar.
Qué significa esto para quienes compartan tecnología de gestión
Para las empresas que ya ejecutan ERPs, HCMs u otras capas de gestión integradas, la alerta tiene un enfoque específico: los agentes de IA conectados a estos sistemas heredan automáticamente el nivel de acceso de la plataforma. Esto convierte la gobernanza de los agentes en una extensión directa—no en un proyecto paralelo—de la política existente de seguridad y cumplimiento de datos de la empresa.
Trabajo en Skyone y defiendo esta visión cada día: ¿por qué tratar la gobernanza de la IA como un proyecto separado, si debiese nacer junto con la nube, los datos y la seguridad que la empresa ya tiene?
La cuestión que queda no es si la empresa adoptará agentes autónomos. Ya lo ha adoptado, con o sin aprobación formal. La cuestión es quién hoy podría enumerar a todos.
