Autor: Kevin Bobowski, director de marketing de Archer
Los directores generales de 15 empresas líderes en ciberseguridad presentes en la RSAC 2026 lo dijeron sin rodeos: los agentes de IA están entrando en producción más rápido que los controles, la rendición de cuentas y las pruebas de auditoría necesarias para regularlos. La gestión del cambio normativo, ejecutada como un flujo de trabajo continuo en operadores de IA, es la disciplina que cubre esa brecha.
Puntos clave
- La adopción de la IA está avanzando más rápido que su gobernanza. Los agentes de IA están entrando en producción mientras que la capa de gobernanza aún se encuentra en fase de proyecto, según los directores generales de CrowdStrike, Netskope, Saviynt y otros siete proveedores líderes en ciberseguridad entrevistados por CRN en la RSAC 2026.
- La arquitectura de identidad de los agentes aún no está definida. «No sabemos si vamos a tener una cuenta por agente, una cuenta por usuario o una cuenta por rol», afirmó Sachin Nayyar, director ejecutivo de Saviynt. La base de cualquier programa de gobernanza aún no está definida.
- La IA genera más trabajo relacionado con el riesgo, no menos. Tomer Weingarten, director ejecutivo de SentinelOne: la IA en la ciberseguridad «no solo automatiza el trabajo, sino que también genera más trabajo». Las funciones de gobernanza, riesgo y cumplimiento normativo se enfrentan al mismo efecto multiplicador.
- Los seres humanos deben llevar la iniciativa, no limitarse a participar en el proceso. La nueva perspectiva de Kyle Hanslovan, director ejecutivo de Huntress, es la formulación más clara del principio de gobernanza de los sistemas autónomos.
- La gestión de los cambios normativos (RCM) es lo que permite salvar esa brecha. Al ejecutarse como un flujo de trabajo continuo en los operadores de IA con un linaje de principio a fin, la RCM transforma la disciplina de adaptar los controles a los cambios normativos, pasando de ser un proyecto trimestral a una respuesta en tiempo real a la aplicación de la Ley de IA de la UE, a las actualizaciones del Marco de Gestión de Riesgos de la IA (RMF) del NIST y a las obligaciones de divulgación de la SEC.
¿Por qué la adopción de la IA va por delante de su gobernanza?
| La adopción de la IA está avanzando más rápido que su gobernanza, ya que los líderes empresariales se ven presionados por los consejos de administración para implementar agentes de IA al ritmo que les permita obtener una ventaja competitiva, mientras que los equipos de riesgo y cumplimiento normativo los regulan al ritmo de los procesos tradicionales de GRC, diseñados para ciclos de auditoría anuales. Ambos relojes funcionan a escalas de tiempo diferentes. Esa es la brecha. |
Sanjay Beri, director ejecutivo de Netskope, señaló cuál era el punto central de su entrevista con CRN en la RSAC 2026:
«¿Con qué rapidez puede actuar un CISO para garantizar la gobernanza de su IA, sin que ello afecte al ritmo de adopción de dicha IA en su empresa?» Sanjay Beri, director ejecutivo de Netskope
Ambas directivas son reales. Además, se encuentran en conflicto directo.
Sumit Dhawan, director ejecutivo de Proofpoint, fue muy claro al referirse a las consecuencias. Los equipos de ciberseguridad y gestión de riesgos han quedado relegados a un segundo plano, no por elección propia, sino porque la adopción de estas tecnologías ha superado su capacidad para establecer controles. La inteligencia artificial es ahora una prioridad para los directores ejecutivos. La función de gestión de riesgos no está en condiciones de frenar este proceso.
El resultado es una realidad silenciosa y asimétrica en el seno de la mayoría de las empresas. Los agentes operan en el entorno de producción, mientras que la capa de gobernanza aún se encuentra en fase de proyecto.
¿Por qué la gestión de los agentes de IA es un problema de arquitectura de riesgos y no un problema relacionado con las herramientas de seguridad?
| La gestión de los agentes de IA es un problema de arquitectura de riesgos, ya que ninguna herramienta de seguridad puntual puede integrar el comportamiento de los agentes, los controles de acceso, los marcos normativos y los registros de auditoría en una visión global de toda la empresa, tal y como requiere una supervisión eficaz. Se necesita una infraestructura de GRC diseñada para sistemas autónomos, no una simple función. |
George Kurtz, director ejecutivo de CrowdStrike, definió claramente el alcance de la filtración:
«Si los agentes tienen acceso a los shells, a los datos y a los flujos de trabajo, ¿cómo se puede saber siquiera lo que está pasando?» George Kurtz, cofundador y director ejecutivo de CrowdStrike
Los agentes de IA no son herramientas pasivas. Son agentes autónomos. Ejecutan flujos de trabajo, acceden a datos, se desplazan por los sistemas y acumulan permisos a la velocidad de una máquina. Cuando se ven comprometidos o están mal configurados, el alcance del impacto se multiplica en cuestión de minutos.
Art Gilliland, director ejecutivo de Delinea, expresó lo que la mayoría piensa, pero que pocos han dicho abiertamente:
«No conozco ningún caso en el que un agente de IA haya sido pirateado y eso haya provocado la filtración. Pero va a ocurrir». Art Gilliland, director ejecutivo de Delinea
La declaración más llamativa la hizo Sachin Nayyar, director ejecutivo de Saviynt:
«No sabemos si vamos a tener una cuenta por agente, una cuenta por usuario o una cuenta por función. La arquitectura de los agentes aún no está definida en este momento». Sachin Nayyar, director ejecutivo de Saviynt
La arquitectura de identidad y acceso para los agentes de IA, la base sobre la que se asienta cualquier programa de gobernanza, aún no está definida. Los agentes se están implementando más rápido que los marcos diseñados para controlarlos. Para subsanar esa brecha se necesita una infraestructura de GRC que regule a los agentes de IA de principio a fin, integrando el comportamiento de los agentes, los controles de acceso, los marcos normativos y los registros de auditoría en una visión global de toda la empresa.
¿Es la IA un nuevo paradigma de seguridad? El director general de Mimecast dice que no.
| La IA no supone un nuevo paradigma en materia de seguridad. Los fundamentos de la ciberseguridad y la gestión de riesgos no han cambiado. Lo que sí ha cambiado es el ritmo operativo al que deben funcionar. |
Marc van Zadelhoff, director ejecutivo de Mimecast, ofreció en la RSAC 2026 el contrapunto más contundente a la idea de que «la IA lo cambia todo»:
«Al fin y al cabo, hay que tener en cuenta la red, los dispositivos finales, las aplicaciones, los datos y la identidad. Y, por supuesto, a las personas que los utilizan. Esos son los pilares de la ciberseguridad. Siempre lo han sido». Marc van Zadelhoff, director ejecutivo de Mimecast
Tiene razón en cuanto a los principios. Los fundamentos de la gestión del riesgo y del cumplimiento normativo tampoco han cambiado. Visibilidad, control, responsabilidad, pruebas. Lo que sí ha cambiado es el ritmo operativo. Los agentes de IA obligan a que cada uno de esos fundamentos funcione a la velocidad de una máquina, de forma simultánea, en todos los sistemas de la empresa. Eso no es un cambio de paradigma. Es una prueba de resistencia del paradigma existente.
Las plataformas que superen la prueba de resistencia serán aquellas diseñadas tanto para la rapidez como para la profundidad. Las que no la superen serán las plataformas de GRC heredadas, diseñadas para ciclos de auditoría anuales y controles estáticos.
¿Por qué la IA genera más trabajo de riesgo, en lugar de menos?
| La IA genera más trabajo relacionado con el riesgo, ya que cada agente implementado amplía el ámbito de riesgo: nuevos controles que validar, nuevas pruebas de auditoría que recopilar, nuevos riesgos normativos que gestionar y nuevas dependencias de terceros que evaluar. La hipótesis de que la IA reducirá la carga de trabajo de las funciones de riesgo y cumplimiento normativo no cuenta con el respaldo de los operadores que más cerca están de ella. |
Tomer Weingarten, director ejecutivo de SentinelOne, cuestionó directamente la suposición de que esto supone un ahorro de mano de obra:
«La IA aplicada a la ciberseguridad no es solo una herramienta para ampliar la plantilla, como ocurre en todos los sectores. También genera más trabajo para el operador de ciberseguridad. No se trata solo de automatizar tareas, sino también de crear más trabajo». Tomer Weingarten, cofundador y director ejecutivo de SentinelOne
Esta misma lógica se aplica de forma aún más marcada al ámbito del riesgo y el cumplimiento normativo. Los plazos son concretos. La aplicación de las obligaciones relativas a los sistemas de alto riesgo previstas en la Ley de IA de la UE comenzará en agosto de 2026. La adopción del Marco de Gestión de Riesgos de la IA (AI RMF) del NIST se está acelerando en todas las agencias federales y sus cadenas de suministro. Los consejos de administración consideran cada vez más la supervisión de la IA como una responsabilidad fiduciaria, y no como un detalle técnico. El director de cumplimiento (CCO) que no pueda aportar pruebas de controles a nivel de agente será aquel cuyo nombre aparezca en la próxima comunicación 8-K.
Los equipos de gestión de riesgos que hayan dado por sentado que la IA reduciría su carga de trabajo se verán sorprendidos. Los equipos que salgan ganando serán aquellos que gestionen los cambios normativos como un flujo de trabajo continuo, en lugar de como un proyecto trimestral.
¿Qué significa «que los seres humanos lideren, y no solo participen» en el ámbito de la gobernanza de la IA?
| «Los seres humanos al mando» significa que son ellos quienes definen la propensión al riesgo, establecen los límites de las políticas y asumen la responsabilidad del marco de rendición de cuentas antes de que la IA actúe. «Los seres humanos en el proceso» solo requiere que una persona revise o apruebe resultados concretos. La distinción es importante porque la revisión por parte de los seres humanos en el proceso se ve mermada cuando la IA opera a la velocidad de una máquina y toma miles de decisiones simultáneamente. |
La explicación más clara de este principio la ofreció Kyle Hanslovan, director ejecutivo de Huntress:
«La IA requiere que los seres humanos lleven las riendas, no solo que formen parte del proceso. Deben ser ellos quienes guíen a la IA. Deben ser ellos quienes orienten la investigación en materia de detección». Kyle Hanslovan, cofundador y director ejecutivo de Huntress
El concepto de «intervención humana» se ha convertido en un mero trámite de cumplimiento normativo. Una persona revisa. Una persona aprueba. Una persona da el visto bueno. Ese modelo se colapsa ante un volumen elevado de trabajo.
«El ser humano al mando» es un estándar diferente. Se trata de una gobernanza por diseño, en lugar de una gobernanza por excepción. Cuando la IA actúa, ya sea de forma autónoma o no, lo hace dentro de una estructura diseñada deliberadamente. Se trata de un problema de gestión del cambio normativo, no de un problema de herramientas de seguridad. Requiere una gestión de políticas, marcos de evaluación de riesgos, bibliotecas de controles y flujos de trabajo de auditoría diseñados para gobernar sistemas dinámicos y autónomos.
¿Cómo deberían los responsables de riesgos clasificar los flujos de trabajo de IA para su gestión?
| Los responsables de la gestión de riesgos deben clasificar los flujos de trabajo de IA según el coste de los errores. Los flujos de trabajo en los que una decisión errónea de la IA sea recuperable pueden ser totalmente autónomos. Los flujos de trabajo en los que una decisión errónea genere un riesgo significativo requieren validación humana. Los flujos de trabajo que afecten a resultados regulados requieren una responsabilidad humana documentada y pruebas de auditoría. |
Nick Schneider, director ejecutivo de Arctic Wolf, añadió este marco práctico en la RSAC 2026:
«Hay ciertos flujos de trabajo en los que puede funcionar de forma totalmente autónoma, y si se equivoca, no es el fin del mundo. Hay otros en los que, si se equivoca, es un problema grave». Nick Schneider, director ejecutivo de Arctic Wolf
Ese es precisamente el tipo de clasificación estructurada que permite un programa maduro de gestión del cambio normativo: saber qué decisiones pueden delegarse a una máquina, cuáles requieren validación humana y cuáles se rigen por excepciones. No se trata de frenar la IA, sino de saber dónde deben colocarse las barreras de seguridad antes de que el tren salga de la estación.
¿Qué alcance tiene la oportunidad que ofrece la gobernanza de la IA?
| El director ejecutivo de Sophos, Joe Levy, calificó la transformación de la ciberseguridad impulsada por la inteligencia artificial como «probablemente la mayor oportunidad de mercado que he visto en mi vida», que afecta a cientos de millones de empresas en todo el mundo. La gobernanza de la inteligencia artificial es la parte de esa transformación que cuenta con la infraestructura menos madura y cuyo coste de error es mayor. |
«Cientos de millones de empresas están a punto de pasar por esta transformación. Se trata de una ola económica que está a punto de abalanzarse sobre todo el planeta. Probablemente sea la mayor oportunidad de mercado que he visto en toda mi vida». Joe Levy, director ejecutivo de Sophos
Las organizaciones que logren capear esta ola con éxito considerarán la gobernanza de la IA como una infraestructura, y no como algo secundario. Las que no lo hagan se enfrentarán a un desenlace diferente: riesgos normativos, fallos en las auditorías, interrupciones operativas y daños a su reputación derivados de que los sistemas de IA funcionen al margen de cualquier marco de riesgo significativo.
Por qué los agentes de IA genéricos no cumplen la función de control. Y en qué se diferencian los operadores de IA.
| Los agentes de IA genéricos son envoltorios ligeros de modelos de lenguaje grande (LLM) diseñados para la productividad, no para actuar como segunda línea de defensa. Los operadores de IA constituyen una categoría diferente: tienen en cuenta la identidad, están sujetos a restricciones de ámbito, generan informes de auditoría, están supervisados por expertos y son independientes del proveedor por diseño. La distinción es de carácter arquitectónico, no a nivel de funcionalidades. |
Los directores generales entrevistados por CRN en la RSAC 2026 describían los modos de fallo de los agentes genéricos: agentes que acceden a entornos de shell sin procedencia verificada; agentes que acumulan permisos sin auditoría; agentes que actúan a la velocidad de la máquina sin justificación. Esos modos de fallo no son errores. Son las consecuencias previsibles de tratar un modelo base, provisto de una indicación y unas pocas herramientas, como si se tratara de una función de control empresarial.
Los operadores de IA invierten esa arquitectura. La identidad se vincula de forma nativa a través de SSO y SCIM. Los límites de acción son artefactos de políticas, no límites de tokens. Cada acción genera un registro de auditoría estructurado e inmutable. La justificación y la confianza se calibran y se vinculan a un esquema. La capa de modelo está abstraída y es intercambiable. La revisión por expertos es una función básica de la plataforma, no un complemento del flujo de trabajo. El linaje de extremo a extremo vincula cada acción de un agente con la política y la fuente autorizada que la autorizó.
En cuanto a la productividad, basta con un agente. En cuanto al control, solo se justifica contar con un operador.
¿Cómo contribuye la gestión del cambio normativo a subsanar las deficiencias en materia de gobernanza?
| La gestión de los cambios normativos reduce la brecha entre la adopción de la IA y su gobernanza, al transformar la disciplina de adaptar los controles a los cambios normativos de un proyecto trimestral a un flujo de trabajo continuo. Gracias a un linaje integral que abarca desde la fuente oficial hasta la obligación, el control, el proceso y la acción del agente de IA, cada cambio normativo puede propagarse de forma determinista, y cada decisión de un agente de IA puede remontarse hasta la política que la autorizó. |
Los plazos importantes no se ajustan a ciclos trimestrales. La aplicación de las obligaciones relativas a los sistemas de alto riesgo previstas en la Ley de IA de la UE comenzará en agosto de 2026. Las revisiones del Marco de Gestión de Riesgos de la IA (RMF) del NIST se publican de forma continua. Las expectativas de la SEC en materia de divulgación de información están evolucionando. Tampoco los despliegues de agentes de IA se ajustan a ciclos trimestrales. Cada semana se incorporan nuevos agentes a la producción, en todas las unidades de negocio, con cada nueva actualización de SaaS.
Un programa de gestión de cambios normativos basado en la arquitectura adecuada gestiona ambos relojes de forma conjunta. Cuando se modifica el CFR §X, cuando el NIST publica una revisión o cuando entra en vigor una nueva directiva de la UE, un operador de IA eficaz identifica todas las obligaciones, controles, unidades de negocio, procesos y agentes de IA afectados. Cuando se implementa un nuevo agente, ese mismo linaje muestra a qué obligaciones afecta y qué controles debe cumplir.
Eso es lo que hace que la brecha sea superable. No unas revisiones más rápidas. Ni un mayor número de revisores. Un flujo de trabajo continuo, basado en el historial, y operadores de IA que funcionan al ritmo operativo de los sistemas que gestionan.
¿Qué deberían hacer ahora los CISO, los CCO, los CRO y los CAE?
| Hay tres prioridades urgentes para los responsables de riesgos y cumplimiento normativo en 2026: |
1. Establecer marcos de gobernanza de la IA ya. La arquitectura de identidad de los agentes aún no está definida. Las organizaciones que esperen a que se alcance un consenso en el sector acabarán gestionando de forma retroactiva. Identifica cada agente desplegado. Define la responsabilidad para cada clase de decisión. Elabora la política antes de que lo haga el regulador.
2. Replantearse la tolerancia al riesgo en los sistemas autónomos. La cuestión ya no es solo qué puede hacer la IA, sino qué se le debería permitir hacer. ¿Quién es responsable cuando actúa fuera de esos límites? ¿Qué pruebas puede aportar la organización cuando un auditor o un organismo regulador se lo solicite?
3. Gestionar los cambios normativos como un flujo de trabajo continuo. Las plataformas GRC heredadas , diseñadas para ciclos de auditoría anuales y controles estáticos, no pueden seguir el ritmo de funcionamiento de los agentes de IA ni la cadencia de la normativa sobre IA. La infraestructura debe adaptarse a ambos.
Para el CRO, el resultado esperado es una estrategia de control de la IA defendible que pueda presentar al consejo de administración, al comité de auditoría y al organismo regulador. Para el CCO, se trata de una plataforma única que aplica la política de manera uniforme en todas las unidades de negocio y genera pruebas que superan una inspección regulatoria. Para el CISO, se trata de una IA vinculada a la identidad, con un alcance limitado y capaz de generar informes de auditoría, diseñada en consonancia con su modelo de IAM existente, y no a pesar de él. Para Auditoría Interna, se trata de programas de muestreo, revisión paso a paso y pruebas sustantivas que funcionan porque cada acción de la IA está estructurada, justificada y es revisable de forma coherente.
¿En qué consiste la infraestructura de GRC que regula los agentes de IA?
| La infraestructura de GRC que regula los agentes de IA es la capa de políticas, controles, pruebas y rendición de cuentas diseñada específicamente para supervisar sistemas autónomos que funcionan a la velocidad de las máquinas. Gestiona los cambios normativos como un flujo de trabajo continuo. Considera el modelo base como un componente intercambiable, en lugar de como el propio sistema. Genera, a nivel de agente, las pruebas listas para auditoría que ahora esperan los consejos de administración, los auditores y los organismos reguladores. |
La infraestructura de GRC que regula los agentes de IA es la capa de políticas, controles, pruebas y rendición de cuentas diseñada específicamente para supervisar sistemas autónomos que funcionan a la velocidad de las máquinas. Gestiona los cambios normativos como un flujo de trabajo continuo. Considera el modelo base como un componente intercambiable, en lugar de como el propio sistema. Genera, a nivel de agente, las pruebas listas para auditoría que ahora esperan los consejos de administración, los auditores y los organismos reguladores.
El problema de gobernanza tiene solución. Las organizaciones que desarrollen programas de gestión del cambio normativo preparados para la IA, con los marcos adecuados, la integración de datos adecuada y las estructuras de rendición de cuentas adecuadas, avanzarán más rápido y con mayor confianza que aquellas que adapten herramientas que nunca se diseñaron para sistemas agentivos.
Eso es lo que permite la gestión moderna de los cambios normativos.
Los agentes de IA necesitan medidas de control. Las empresas necesitan una infraestructura de GRC. Ahí radica la oportunidad.
Preguntas frecuentes
¿Qué es la gobernanza de la IA?
La gobernanza de la IA es el marco de políticas, controles, estructuras de rendición de cuentas y pruebas de auditoría que determina qué pueden hacer los sistemas de IA, qué pruebas aporta la organización sobre su comportamiento y quién es responsable cuando estos sistemas operan fuera de los límites definidos. En el caso concreto de los agentes de IA, se trata de la capa de riesgo y cumplimiento necesaria para supervisar los sistemas autónomos que funcionan a la velocidad de las máquinas.
¿Cuál es la diferencia entre un agente de IA y un operador de IA?
Un agente de IA genérico es una capa delgada sobre un modelo base: una indicación, unas cuantas herramientas y un bucle de razonamiento. Está diseñado para la productividad, no para la función de control. Un operador de IA es una categoría diferente de sistema, diseñado como un actor regulado dentro de una estructura de control empresarial. Los operadores de IA son, por diseño, conscientes de su identidad, con un ámbito de actuación limitado, generan informes de auditoría, están supervisados por expertos y son independientes del proveedor. Para la productividad, basta con un agente. Para el control, solo un operador resulta justificable.
¿Cómo contribuye la gestión del cambio normativo a reducir la brecha entre la adopción de la IA y su gobernanza?
La gestión de cambios normativos subsana esta carencia al transformar la disciplina de adaptar los controles a los cambios normativos, pasando de ser un proyecto trimestral a un flujo de trabajo continuo. Gracias a un linaje de principio a fin, desde la fuente oficial hasta la obligación, el control, el proceso y el agente de IA, cada cambio normativo se propaga de forma determinista, y cada acción de un agente de IA se remonta a la política que la autorizó.
¿Cuál es la diferencia entre «humans in the lead» y «humans in the loop»?
«Humans in the loop» significa que una persona revisa o aprueba resultados concretos de la IA antes de que se lleve a cabo la acción. «Humans in the lead» significa que son las personas las que definen la tolerancia al riesgo, establecen los límites de las políticas y se hacen cargo del marco de responsabilidad antes de que se implemente la IA. Lo primero es un punto de control. Lo segundo es la gobernanza desde el diseño. El director ejecutivo de Huntress, Kyle Hanslovan, presentó esta distinción en la RSAC 2026.
¿Cuándo entrará en vigor la Ley de IA de la UE para los sistemas de IA de alto riesgo?
La aplicación de las obligaciones relativas a los sistemas de alto riesgo previstas en la Ley de IA de la UE comenzará en agosto de 2026. Las organizaciones que operen en la Unión Europea o que presten servicios a ciudadanos de la UE deberán establecer procedimientos documentados de gobernanza, gestión de riesgos y evaluación de la conformidad para los sistemas de IA clasificados como de alto riesgo en virtud del reglamento.
¿Qué dijeron los directores generales del sector de la ciberseguridad en la RSAC 2026 sobre los agentes de IA?
CRN entrevistó a los directores generales de 15 proveedores líderes en ciberseguridad en la RSAC 2026, entre los que se encontraban CrowdStrike, SentinelOne, Netskope, Proofpoint, Mimecast, Sophos, Saviynt, Delinea, Huntress y Arctic Wolf. Los temas recurrentes fueron que la arquitectura de identidad de los agentes aún no está definida, que la IA genera más trabajo para los equipos de riesgo y seguridad en lugar de reducirlo, que el principio de «los humanos al mando» debe sustituir al de «los humanos en el bucle» como norma de gobernanza, y que la oportunidad de mercado es una de las mayores de la historia de la ciberseguridad.
¿En qué se diferencia la gobernanza de la IA del GRC tradicional?
El GRC tradicional se diseñó para ciclos de auditoría anuales y controles estáticos. La gobernanza basada en la IA debe basarse en la gestión del cambio normativo como un flujo de trabajo continuo, que recopile el comportamiento de los agentes en tiempo real, aplique las políticas a la velocidad de la toma de decisiones y genere pruebas listas para la auditoría a nivel de agente. Los fundamentos de la gestión de riesgos y del cumplimiento normativo no han cambiado. Sin embargo, el ritmo operativo y los requisitos de integración de datos sí lo han hecho.
Archer es la infraestructura de GRC que gestiona los agentes de IA. Se basa en 25 años de experiencia en GRC, más de 1.200 clientes empresariales y la plataforma de inteligencia normativa en la que confían seis de los diez principales bancos de EE. UU. La velocidad de la IA. La amplia experiencia. Más información en archerirm.com.
