La Inteligencia Artificial está cambiando la forma en que trabajamos. Ya no solo genera contenido o responde preguntas; empieza a ejecutar procesos, acceder a aplicaciones, interactuar con sistemas corporativos e incluso tomar decisiones de forma autónoma.
Europa ha dado el primer paso regulando esta nueva realidad con el AI Act, la primera legislación integral sobre Inteligencia Artificial. Sin embargo, mientras el reglamento establece obligaciones sobre transparencia, supervisión y gestión del riesgo, deja abierta una cuestión que será determinante en los próximos años:
¿Cómo se gobierna la identidad digital de un agente de IA?
Si la identidad digital se ha convertido en el nuevo perímetro de seguridad para las personas, también deberá serlo para los agentes autónomos.
¿Qué es la Ley Europea de IA (AI Act) y por qué cambia las reglas del juego?
El AI Act (Reglamento UE 2024/1689) es la primera normativa integral del mundo que regula el desarrollo, la comercialización y el uso de sistemas de Inteligencia Artificial. Su objetivo es garantizar que la IA que opera en Europa sea segura, transparente y respetuosa con los derechos fundamentales, sin frenar la innovación.
Para lograrlo, clasifica los sistemas de IA según su nivel de riesgo: inaceptable (prohibido), alto riesgo (sujeto a obligaciones estrictas de gestión de riesgos, calidad de datos y supervisión humana), riesgo limitado (obligaciones de transparencia, como el artículo 50, que exige avisar cuando se interactúa con una IA) y riesgo mínimo (sin obligaciones específicas).
El calendario de aplicación avanza por fases. Las prohibiciones de prácticas de riesgo inaceptable y las obligaciones de formación en IA ya son exigibles. Las obligaciones de transparencia del artículo 50, el aviso de que se interactúa con una IA, se activa el 2 de agosto de 2026. Las obligaciones más exigentes para sistemas de alto riesgo, tras un aplazamiento acordado en 2026, se han fijado como fecha límite el 2 de diciembre de 2027.
Más allá de la regulación, el AI Act introduce un cambio de mentalidad: la IA deja de verse únicamente como una herramienta tecnológica y pasa a ser un elemento que debe gobernarse dentro de la organización.
La IA ya no solo responde: ahora también empieza a actuar
Hasta hace poco, hablar de IA era hablar de sistemas que respondían: generaban un texto, clasificaban una imagen, sugerían una respuesta. Hoy hablamos de agentes que actúan. Un agente de IA reserva reuniones en un calendario corporativo, compra o contrata servicios dentro de un límite de presupuesto, ejecuta workflows completos sin intervención humana, habla directamente con APIs de terceros, firma documentos o transacciones en nombre de una organización, interactúa con bancos y pasarelas de pago, y en algunos casos ya utiliza certificados digitales para autenticarse frente a otros sistemas.
En la práctica, un agente de IA bien desplegado trabaja igual que un empleado: tiene acceso, tiene permisos, ejecuta tareas y deja (o debería dejar) un rastro de lo que hizo.
Cuando un agente puede actuar como un empleado, deja de ser únicamente una Inteligencia Artificial. Se convierte en una identidad digital.
El gran vacío del AI Act: la identidad de los agentes de IA
El AI Act habla, y con razón, de supervisión humana, de trazabilidad de las decisiones del sistema y de transparencia frente al usuario final. Son piezas necesarias. Pero el reglamento nunca responde a las preguntas que más importan a un responsable de seguridad, de cumplimiento o de sistemas cuando un agente empieza a operar dentro de su infraestructura: quién es realmente ese agente, cómo se autentica, cómo se identifica de forma inequívoca frente a cada aplicación con la que interactúa, y quién controla los permisos que tiene concedidos.
Igual hoy, parece que tenemos el control si solo usamos la IA a modo consultiva. Pero, aquellas empresas que hemos empezado a utilizar los agentes de IA para actuar como un empleado vemos que esto no es una laguna menor. Distintos análisis de gobernanza de identidad de 2026 muestran que las identidades no humanas, cuentas de servicio, API keys, tokens de agentes, ya superan ampliamente en número a las identidades humanas dentro de las organizaciones, y que más de la mitad de las empresas reconoce no tener una propiedad clara sobre ellas: nadie tiene asignada la responsabilidad de revisar o revocar los privilegios de un agente cuando dejan de ser necesarios. El AI Act regula el comportamiento del modelo. No regula, con la misma claridad, la identidad técnica que ese modelo utiliza para actuar.
La Ley de IA responde a «¿qué puede decidir un agente?». Todavía no responde a «¿quién es ese agente, y quién es responsable de su identidad?»
Las preguntas que todavía no tienen respuesta
- ¿Quién crea la identidad de un agente de IA?
- ¿Cómo se autentica frente a aplicaciones corporativas?
- ¿Qué permisos debe tener?
- ¿Quién aprueba esos permisos?
- ¿Cómo se revoca su acceso?
- ¿Cómo se audita cada acción realizada?
- ¿Cómo se demuestra ante un auditor qué agente ejecutó una operación?
La próxima evolución de la regulación: gobernar la identidad de la IA
Esto ya ha ocurrido antes. Cuando las organizaciones empezaron a digitalizar el acceso de sus empleados, surgieron los sistemas de gestión de identidades y accesos (IAM). Cuando la confianza implícita en la red corporativa dejó de ser suficiente, llegó el modelo Zero Trust. Cuando había que acreditar de forma inequívoca a una persona o una entidad frente a un sistema, se impusieron los certificados digitales.
Ahora, con agentes autónomos operando dentro de la infraestructura corporativa, llega la siguiente pieza de ese mismo camino: la Gobernanza de la Identidad de la IA (AI Identity Governance).
La Gobernanza de la Identidad de la IA consiste en gestionar el ciclo de vida completo de la identidad digital de los agentes autónomos, garantizando autenticación, autorización, trazabilidad, auditoría y revocación de sus credenciales.
No es una idea que sustituya al AI Act. Es la disciplina que probablemente lo completará cuando la regulación evolucione para cubrir lo que hoy deja abierto.
Qué debería incluir la próxima regulación sobre agentes de IA
1. Identidades digitales verificables para agentes IA
Cada agente debería disponer de una identidad única, verificable y no compartida, en lugar de operar bajo credenciales genéricas o heredadas de otros sistemas.
2. Autenticación fuerte basada en certificados digitales
No debería acceder utilizando usuarios compartidos. Un agente que actúa con el mismo nivel de impacto que una persona necesita un mecanismo de autenticación al menos igual de robusto: certificados digitales que acrediten su identidad de forma inequívoca frente a cada sistema con el que interactúa.
3. Gestión del ciclo de vida del agente
Alta, cambios, suspensión, revocación. El mismo modelo que utilizamos con empleados: un agente se da de alta con un propósito y un alcance definidos, sus permisos se revisan cuando cambian sus funciones, se suspende cuando no está en uso y se revoca por completo cuando deja de necesitarse. Sin este ciclo, los agentes «fantasma» (activos, con acceso, sin dueño ni supervisión) se acumulan de forma silenciosa.
4. Trazabilidad completa de todas las acciones
Quién, cuándo, dónde, qué hizo y con qué permisos. Sin un registro completo y verificable de cada acción, es imposible reconstruir qué ocurrió cuando algo falla o cuando un regulador lo pregunta.
5. Aplicación de Zero Trust a identidades no humanas
Nunca confiar por defecto. Verificar siempre. El mismo principio que ya se aplica a usuarios y dispositivos debe extenderse a los agentes: ninguna identidad, humana o no, debería tener acceso implícito solo por estar dentro de la red corporativa.
6. Auditoría y cumplimiento normativo
Las organizaciones deberán poder demostrar qué agente actuó, bajo qué identidad, quién autorizó sus privilegios y qué evidencias existen de cada operación. Incidentes documentados en 2026, como brechas originadas en integraciones de terceros que operaban con credenciales de confianza y sin rotación, muestran que este no es un requisito burocrático, sino la diferencia entre contener un incidente y perder el control de él.
El papel de Redtrust en la gobernanza de la identidad digital de la IA
En Redtrust llevamos años ayudando a las organizaciones a gobernar uno de sus activos más críticos: la identidad digital corporativa.
Hoy esa identidad pertenece principalmente a empleados, representantes legales o certificados corporativos. Mañana también pertenecerá a agentes autónomos.
Porque la confianza no dependerá únicamente de que la IA tome buenas decisiones. También dependerá de que podamos identificarla, autenticarla, controlar sus permisos y demostrar cada una de sus acciones.
Conclusión
La IA cambiará la forma en la que trabajan las organizaciones. Pero la confianza seguirá construyéndose sobre la identidad.
Hoy gobernamos la identidad de las personas. Mañana deberemos gobernar también la identidad de los agentes de IA.
Preguntas frecuentes sobre la Ley de IA y la identidad de los agentes de IA
¿Qué es el AI Act?
Es el Reglamento Europeo de Inteligencia Artificial, la primera normativa integral que regula el desarrollo, comercialización y uso de sistemas de IA en la Unión Europea, estableciendo obligaciones según el nivel de riesgo de cada sistema.
¿Cómo afecta la Ley de IA a las empresas?
Las organizaciones que desarrollen, integren o utilicen sistemas de IA deberán cumplir requisitos relacionados con la gestión del riesgo, la transparencia, la supervisión humana, la ciberseguridad y la trazabilidad, especialmente cuando empleen sistemas considerados de alto riesgo.
¿Qué es un agente de IA?
Un agente de IA es un sistema capaz de ejecutar tareas de forma autónoma, interactuar con aplicaciones, tomar decisiones siguiendo unos objetivos definidos y operar sobre sistemas corporativos con un grado creciente de independencia.
¿Por qué un agente de IA necesita una identidad digital?
Porque necesita autenticarse, acceder a aplicaciones, utilizar credenciales y ejecutar acciones de forma segura. Una identidad digital verificable permite controlar sus permisos, auditar sus actividades y garantizar la trazabilidad de todas sus operaciones.
¿Qué son las identidades no humanas?
Son identidades digitales asociadas a entidades que no son personas, como aplicaciones, servicios, dispositivos, APIs o agentes de IA. Su correcta gestión es clave para reducir riesgos de seguridad y cumplir con los requisitos de auditoría.
¿Qué papel tendrán los certificados digitales en los agentes de IA?
Los certificados digitales pueden convertirse en un mecanismo de autenticación fuerte para los agentes de IA, permitiendo acreditar su identidad, establecer relaciones de confianza con otros sistemas y registrar de forma segura las acciones realizadas.
¿Qué es la Gobernanza de la Identidad de la IA (AI Identity Governance)?
Es el conjunto de políticas, procesos y tecnologías destinados a gestionar el ciclo de vida de la identidad digital de los agentes de IA, incluyendo su autenticación, autorización, trazabilidad, auditoría y revocación. A medida que estos agentes ganen autonomía, esta disciplina será un pilar fundamental de la ciberseguridad y del cumplimiento normativo.
Nota sobre IA: redactado con apoyo de IA, revisado y editado por el equipo de Redtrust.
Entrevista a Daniel Rodríguez, General Manager de Redtrust sobre por qué cada agente de IA necesitará una identidad digital propia, con permisos definidos y mecanismos de gobernanza.
Redtrust: «La identidad digital y la trazabilidad serán dos de los grandes desafíos de la IA empresarial, que el verdadero cambio llegará “cuando pasemos de asistente a agente”
