Por cada empleado, las empresas ya pueden tener 82 identidades digitales: KPMG alerta sobre los riesgos

Las identidades digitales no humanas ya superan a los usuarios humanos en una proporción de 82 a 1, según un análisis de KPMG. El crecimiento de cuentas automatizadas, credenciales de máquinas y agentes de inteligencia artificial está ampliando el número de accesos a información empresarial, en ocasiones sin controles equivalentes a los aplicados a los empleados.

El dato, incluido en el análisis Acceso invisible, riesgos visibles, muestra un desafío para las organizaciones que están incorporando inteligencia artificial a sus operaciones: identificar qué sistemas y agentes tienen acceso a información sensible, qué acciones pueden ejecutar y quién responde por ellos.

La situación adquiere mayor importancia con el avance de la IA agéntica, una tecnología que permite ejecutar tareas, consultar bases de datos e interactuar con aplicaciones empresariales con diferentes niveles de autonomía.

¿Qué son las identidades no humanas y por qué representan un riesgo?

Una identidad no humana, conocida como Non-Human Identity (NHI), es una credencial o identidad digital utilizada por aplicaciones, máquinas o procesos automatizados para acceder a sistemas informáticos.

Entre ellas se encuentran las cuentas de servicio, claves API, tokens de autenticación y las identidades utilizadas por agentes de IA.

Estas herramientas permiten que las empresas automaticen operaciones, conecten plataformas y procesen información sin intervención humana constante.

El problema aparece cuando los permisos concedidos superan las necesidades reales del sistema, las credenciales permanecen activas después de dejar de utilizarse o no existe claridad sobre quién administra sus accesos.

“La adopción de agentes de IA cambia la escala del problema. Durante años las compañías han fortalecido los controles para determinar qué puede hacer cada empleado dentro de sus sistemas; ahora necesitan aplicar la misma rigurosidad a agentes, aplicaciones y credenciales que pueden ejecutar acciones sin supervisión humana constante”, señaló Alaín Almeida, socio de Information Technology Advisory de KPMG en Colombia.

Una credencial comprometida podría permitir que un atacante acceda a información confidencial o ejecute operaciones utilizando los permisos previamente autorizados a un sistema.

Por ello, el riesgo no depende únicamente de cuántas identidades existan, sino de qué privilegios tienen y qué capacidad posee la organización para supervisarlas.

Los agentes de IA obligan a revisar los controles de ciberseguridad

La expansión de agentes capaces de consultar información y ejecutar procesos introduce nuevas exigencias para las áreas de tecnología, seguridad y cumplimiento.

Una empresa puede implementar agentes para gestionar solicitudes de clientes, analizar documentos financieros o automatizar actividades administrativas. Sin embargo, cada integración puede necesitar conexiones y permisos sobre aplicaciones corporativas.

KPMG recomienda mantener un inventario actualizado de las identidades no humanas, identificar a sus responsables y clasificar los accesos según el nivel de riesgo.

Otro aspecto fundamental es aplicar el principio de mínimo privilegio, que consiste en conceder únicamente los permisos necesarios para realizar una tarea.

La firma también plantea establecer mecanismos para detectar cuentas abandonadas, renovar credenciales, supervisar actividades sospechosas y retirar automáticamente los permisos que ya no sean necesarios.

“Antes de preguntarse cuántos agentes de IA puede desplegar una organización, conviene preguntarse cuántas identidades digitales tiene hoy y si realmente sabe qué pueden hacer”, explicó Alaín Almeida, de KPMG Colombia.

Estas medidas adquieren especial importancia cuando los agentes interactúan con información financiera, datos personales o sistemas relacionados con operaciones críticas.

¿Cómo pueden las empresas controlar los accesos de sus agentes de IA?

El informe Consideraciones en Ciberseguridad 2026 de KPMG identifica la gestión de identidades no humanas entre las prioridades para los responsables de seguridad empresarial.

Su implementación exige coordinación entre tecnología, ciberseguridad, riesgos, cumplimiento y las áreas de negocio que utilizan estas herramientas.

Antes de implementar un agente, las compañías deberían establecer qué información puede consultar, qué operaciones puede realizar sin autorización adicional y cuáles requieren supervisión humana.

También resulta necesario mantener registros de actividad que permitan reconstruir las acciones ejecutadas e identificar posibles incidentes.

Esto supone incorporar la seguridad desde el diseño de los proyectos, en lugar de añadir controles cuando las herramientas ya están conectadas a los sistemas empresariales.

Para las organizaciones, la adopción de inteligencia artificial no debería medirse únicamente por el número de procesos automatizados, sino también por su capacidad para mantener el control sobre los accesos y las decisiones que ejecutan esos sistemas.

El crecimiento de las identidades no humanas plantea así una nueva responsabilidad empresarial: administrar los permisos de máquinas y agentes con el mismo rigor que los de las personas, sin perder las ventajas operativas de la automatización.