Los agentes de IA empiezan a trasladar la inteligencia artificial desde la asistencia al usuario hacia la ejecución directa de procesos empresariales. La capacidad de estos sistemas para consultar información, interactuar con aplicaciones, tomar determinadas decisiones y desencadenar acciones amplía sus posibles efectos sobre productividad y costes, pero también modifica las exigencias de seguridad, control y responsabilidad dentro de las organizaciones.
Ese cambio ha centrado la jornada La era de los Agentes IA: competitividad, confianza y gobernanza «, organizada el 23 de septiembre en Madrid por DigitalES y CEOE. Empresas, especialistas tecnológicos, juristas y responsables públicos abordaron una adopción que empieza a ir más allá de los copilotos y asistentes generativos y que obliga a revisar cómo se conceden permisos a la IA, qué información puede consultar y hasta dónde puede actuar sin intervención humana.
La evolución coincide con unas previsiones de fuerte crecimiento. Gartner estima que el 33% de las aplicaciones de software empresarial incorporará capacidades de IA agéntica en 2028, frente a menos del 1% en 2024, y calcula que estos sistemas tomarán de manera autónoma al menos el 15% de las decisiones laborales cotidianas. La consultora también ha advertido de que una parte significativa de los proyectos puede fracasar cuando se despliegan sin una justificación económica clara o sin adaptar los procesos que los rodean.
«Sin gobernanza, evaluación y reglas claras no habrá una adopción sostenible de la IA ni beneficios reales para las empresas y las personas», afirmó Miguel Sánchez Galindo, director general de DigitalES, durante la apertura del encuentro. Leandro Higueruela, subdirector adjunto de la División de Gobernanza y Planificación de la Inteligencia Artificial, puso el acento en preservar el control sobre datos, procesos y decisiones a medida que aumenta la autonomía de las herramientas.
De automatizar tareas a rediseñar procesos
El cambio operativo aparece con mayor claridad cuando los agentes se integran en flujos de trabajo completos. El informe Agentes de IA: de los copilotos a los sistemas agénticos, presentado durante la jornada por Jordi Meya, director de la unidad de negocio de Tecnología de Nae, sitúa ahí una de las principales diferencias respecto a la primera generación de herramientas de IA generativa.
En lugar de limitarse a redactar un texto, localizar información o sugerir una respuesta, un agente puede recibir un objetivo, acceder a distintas fuentes, utilizar herramientas corporativas y coordinar varios pasos hasta completar una tarea. Esa capacidad abre la puerta a reducir intervenciones manuales en procesos administrativos, atención al cliente, operaciones, compras o gestión documental, aunque el resultado depende del caso de uso y de la arquitectura tecnológica de cada organización.
Las estimaciones recogidas en el informe presentado por DigitalES apuntan a reducciones del coste por transacción de entre el 40% y el 70% en determinados entornos de alto volumen. Algunas actividades que pueden requerir entre tres y cinco días podrían completarse en dos a cuatro horas, mientras que la capacidad disponible permitiría absorber picos de demanda de hasta un 300% sin elevar los recursos en la misma proporción.
Son cifras que describen el potencial identificado para determinados procesos, no un retorno asegurado para cualquier despliegue. La experiencia reciente del mercado empieza, de hecho, a desplazar la atención desde la disponibilidad de agentes hacia la selección de tareas concretas. Un análisis de Gartner publicado este mes a partir de más de un centenar de despliegues considera que los agentes especializados por dominio concentrarán la mayor parte del retorno tangible de esta tecnología hacia 2028.
Los participantes en la jornada incidieron precisamente en esa relación entre tecnología y rediseño organizativo. El aumento de autonomía obliga a decidir qué tareas deben seguir bajo intervención humana, qué decisiones pueden delegarse y qué controles tienen que activarse antes y después de cada acción. También introduce necesidades de perfiles capaces de combinar conocimiento de negocio, tecnología y gestión del riesgo.
Más autonomía amplía la superficie de riesgo
La seguridad adquiere otra dimensión cuando un modelo deja de limitarse a generar una respuesta y obtiene capacidad para actuar sobre sistemas corporativos. Un error, una instrucción manipulada o una asignación excesiva de permisos puede producir consecuencias fuera de la propia interfaz de IA.
El segundo informe presentado en el encuentro, IA y Ciberseguridad 2.0: gobernar el riesgo en la era de los agentes, aborda este desplazamiento. Entre las medidas planteadas figuran la aplicación del principio de mínimo privilegio, el control de los datos accesibles, la trazabilidad de las operaciones y una supervisión acorde con la autonomía y el impacto potencial de cada agente.
La gestión de identidades se convierte así en una pieza de la arquitectura de IA. Si un agente puede consultar una base de datos, enviar comunicaciones, modificar registros o activar procesos en otras aplicaciones, las organizaciones necesitan conocer tanto su identidad como el alcance de sus credenciales, conservar registros de actividad y disponer de mecanismos para detener o revisar su actuación.
Durante el debate sobre ciberseguridad y regulación, los participantes señalaron además la necesidad de mantener inventarios actualizados de modelos y agentes. Para una gran empresa, conocer qué sistemas están desplegados, quién es responsable de ellos, qué modelos utilizan y a qué recursos tienen acceso pasa a ser una condición para aplicar controles comparables a los existentes en otras áreas de tecnología y seguridad.
Esta evolución llega cuando el marco regulatorio europeo ha entrado en una nueva fase. El AI Act es aplicable con carácter general desde el 2 de agosto de 2026, fecha en la que también comenzaron a aplicarse, entre otras, determinadas obligaciones de transparencia y las facultades de supervisión previstas en la norma. Las exigencias específicas para determinados sistemas de alto riesgo cuentan con un calendario posterior, que tras la modificación del marco europeo sitúa parte de su aplicación en diciembre de 2027 y agosto de 2028.
Para las empresas que integran modelos de propósito general en sus soluciones, el marco europeo también refuerza la importancia de la documentación, la información facilitada a los actores posteriores de la cadena y, en el caso de los modelos con riesgo sistémico, la evaluación de riesgos y las medidas de ciberseguridad.
España incorpora la seguridad al Plan IA360
La discusión empresarial coincide con el lanzamiento esta semana del Plan IA360 del Gobierno. La hoja de ruta, prevista para los próximos 12 meses, combina medidas de infraestructura, adopción empresarial, talento y gobernanza. Entre sus objetivos figura reforzar la supervisión de los modelos más avanzados y el escudo de ciberseguridad asociado a la inteligencia artificial.
El plan también plantea impulsar la utilización de IA entre pymes y autónomos mediante un Bono de Inteligencia Artificial y fija como objetivo que en 2030 más de la mitad de las empresas españolas hayan integrado esta tecnología en su actividad.
Para las organizaciones, el cruce entre regulación, ciberseguridad y automatización convierte la gobernanza en una cuestión operativa. La decisión ya comprende elementos como el nivel de acceso del agente, los datos que puede utilizar, los registros que deben conservarse, las acciones que necesitan autorización y la responsabilidad interna cuando el sistema interviene en un proceso.
Alberto Gago, director de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), resumió esta necesidad durante la clausura: «La seguridad y la gobernanza no pueden llegar después del despliegue: tienen que estar dentro del diseño, desde el primer día».
El avance de la IA agéntica coloca así una parte del trabajo de adopción fuera del propio modelo. A medida que las empresas concedan a estos sistemas capacidad efectiva para operar sobre aplicaciones, datos y procesos, la ventaja obtenida dependerá tanto de lo que el agente sea capaz de ejecutar como de la precisión con la que la organización pueda delimitar, observar y auditar esa autonomía.
