En resumen
El 30 de abril, Okta lanzó su plataforma de gestión de identidades para agentes de IA. ¿La novedad principal? Shadow Agent Discovery, una herramienta que analiza tu empresa para encontrar agentes de IA que no sabías que existían. Que la principal empresa de identidad del mundo haya creado un producto para encontrar tus agentes de IA lo dice todo sobre el estado de la gobernanza de la IA agéntica. La mayoría de las organizaciones no tiene ni idea de cuántos agentes están en marcha, qué permisos tienen ni a qué datos pueden acceder. La respuesta de Okta es añadir controles de identidad al problema a posteriori. Hay un enfoque mejor: integrar la gobernanza en el agente desde el primer día.
El problema de los agentes en la sombra
Esto está pasando ahora mismo en miles de empresas. Alguien de marketing conecta un asistente de redacción con IA al Google Drive de la empresa. Una persona de ventas da acceso al CRM a una herramienta de prospección con IA. Alguien de ingeniería conecta un agente de revisión de código al repositorio de GitHub. Nadie abrió una incidencia. Nadie preguntó a TI. Nadie se lo pensó dos veces.
Ahora multiplica eso por cada departamento, cada persona de la plantilla y cada herramienta SaaS con una integración de IA. El resultado es una flota de agentes de IA en la sombra que operan dentro de tu empresa con credenciales que nadie controla, permisos que nadie aprobó y accesos que nadie puede revocar.
Okta lo llama el problema de los «agentes en la sombra», y sus datos confirman la urgencia. Entre el 88 % y el 90 % de las organizaciones ya ha sufrido incidentes de seguridad con agentes de IA. El 51 % de las empresas ha desplegado agentes de IA. Pero solo el 22 % trata a esos agentes como identidades independientes que hay que gestionar. El resto va a ciegas.
No es un riesgo teórico. El 23 % de las organizaciones declara incidentes de exposición de credenciales ligados a agentes de IA. No son escenarios hipotéticos de brecha sacados del libro blanco de algún proveedor. Son incidentes reales que están ocurriendo ahora mismo, en producción y a gran escala.
Qué está construyendo Okta (y por qué importa)
La respuesta de Okta es completa. Su plataforma, disponible para todos desde el 30 de abril, incluye el descubrimiento de agentes en la sombra, controles de acceso dinámicos de mínimo privilegio, gestión de credenciales privilegiadas con rotación automática y una función de cierre de sesión universal que actúa como interruptor de emergencia para los agentes descontrolados. Poco después llegará un Agent Gateway con un plano de control centralizado.
Es infraestructura seria de una empresa seria. Y que Okta la esté construyendo confirma algo que decimos desde nuestro lanzamiento: el problema de la gobernanza en la IA agéntica no es algo opcional. Es el reto central de toda la categoría.
Pero aquí es donde la conversación se pone interesante.
La identidad es necesaria, pero no suficiente
El enfoque de Okta resuelve el problema del «quién». ¿Quién es este agente? ¿Qué credenciales tiene? ¿Podemos revocarlas? Son preguntas clave, y Okta las responde bien.
Lo que Okta no resuelve es el problema del «cómo». ¿Cómo se autorizó, de entrada, a este agente a actuar? ¿Cómo definimos los límites de lo que puede hacer? ¿Cómo nos aseguramos de que esos límites caduquen cuando cambia el contexto? ¿Cómo mantenemos una cadena de pruebas criptográficas de cada decisión que toma el agente?
La gestión de identidades te dice qué agentes existen y te permite apagarlos. No te dice si un agente debería haber recibido la autoridad que tiene, ni si esa autoridad sigue siendo adecuada tres semanas después.
Esa es la diferencia entre una gobernanza añadida y una gobernanza integrada.
Añadida frente a integrada
El modelo añadido funciona así: despliegas tus agentes de IA como quieras y después los envuelves a posteriori en una capa de gestión de identidades y accesos. Es el mismo patrón que siguió el sector con la seguridad en la nube en la década de 2010. Dejar que los equipos de desarrollo creen recursos libremente y luego intentar gobernar la dispersión con un plano de control.
Ese modelo trajo una década de incidentes de seguridad en la nube, TI en la sombra y pesadillas de cumplimiento. Estamos a punto de repetir el ciclo con los agentes de IA, salvo que cambiemos la arquitectura.
El modelo integrado parte de otra premisa. La gobernanza no es una capa que se añade. Es una propiedad del propio agente. Cada acción que realiza el agente se autoriza mediante un marco de autoridad delegada. Los permisos tienen un alcance acotado, una duración limitada y se pueden auditar. El agente no solo tiene una identidad. Tiene un mandato con límites claros, fechas de caducidad y un registro completo de sus decisiones.
Hablamos de esto en detalle hace tres semanas en «Tu agente de IA tiene permiso para actuar. Pero ¿quién se lo dio?». El argumento central se mantiene: la cuestión no es si puedes apagar un agente que falla. La cuestión es por qué llegó a fallar.
El interruptor de emergencia de Okta es el extintor. La gobernanza integrada es la normativa contra incendios.
La brecha del 94 % sigue abierta
El informe de OutSystems sobre el estado del desarrollo de IA en 2026 encuestó a 1900 responsables de TI de todo el mundo y concluyó que el 96 % de las organizaciones tiene agentes de IA en funcionamiento. El 94 % expresa preocupación por la dispersión, la gobernanza y la seguridad. Solo el 12 % usa una plataforma centralizada para gestionar sus agentes. Solo el 36 % tiene algún tipo de gobernanza centralizada de la IA.
El lanzamiento de Okta ayudará a cerrar parte de esta brecha en las grandes empresas que tienen presupuesto e infraestructura para desplegarlo. Pero para las pequeñas y medianas empresas, la respuesta no es añadir otro proveedor más. Es elegir plataformas en las que la gobernanza forme parte de la arquitectura.
Qué deben exigir las pymes a sus agentes de IA
Si estás evaluando plataformas de agentes de IA para tu empresa, aquí tienes una lista práctica basada en lo que el lanzamiento de Okta revela sobre el estado del sector:
Autoridad delegada, no acceso abierto. Tu agente de IA debe actuar con permisos definidos de forma explícita que le hayas concedido tú, no con permisos heredados del alcance OAuth de una aplicación conectada.
Permisos con fecha de caducidad. La autoridad debe caducar. Un agente autorizado para llevar un proyecto en el primer trimestre no debería conservar ese acceso en el tercero sin una nueva autorización.
Registros de auditoría completos. Cada acción, cada decisión y cada acceso a datos deben quedar registrados y ser trazables. No solo por cumplimiento, sino para que entiendas qué hizo de verdad tu agente y por qué.
Ningún agente en la sombra. Si tu plataforma permite que los agentes se multipliquen sin supervisión, acabarás necesitando la herramienta de descubrimiento de Okta para encontrarlos. Elige una plataforma en la que el despliegue de agentes esté gobernado desde el diseño.
Supervisión humana que escala. El objetivo no es aprobar cada acción a mano. Es definir los límites con la claridad suficiente para que el agente pueda actuar de forma autónoma dentro de ellos, con vías de escalado para todo lo que quede fuera de su alcance.
El momento es ahora
El lanzamiento de Okta del 30 de abril marca un antes y un después en la gobernanza de la IA agéntica. Indica que el sector ha dejado atrás la fase de «primero desplegar, después gobernar» y ha entrado en la de «espera, esto hay que gobernarlo».
Para las pymes, en realidad es una buena noticia. Las grandes empresas corren para añadir gobernanza a flotas de agentes que ya han desplegado. Tú todavía no has cometido ese error. Puedes elegir plataformas que resolvieron la gobernanza desde el principio.
Los agentes en la sombra ya están en tu empresa. La cuestión es si los encuentras con un escáner o si nunca llegaron a ser sombras.
Outermind despliega agentes de IA autónomos que se ocupan del correo electrónico, la investigación y las tareas de operaciones de pequeñas y medianas empresas. La gobernanza, los registros de auditoría y la autoridad delegada vienen integrados en cada agente desde el primer día. Más información en outermind.ai.