82 identidades digitales por cada empleado: el dato que KPMG pone sobre la mesa
Por cada usuario humano que trabaja en una empresa existen 82 identidades no humanas con acceso a sistemas corporativos. El dato surge del análisis «Acceso invisible, riesgos visibles» de KPMG, que advierte que la expansión de agentes de IA está ampliando la superficie de ataque más rápido de lo que las organizaciones pueden gobernarla.
Para un founder, la lectura es directa: si tu startup ya conecta aplicaciones, usa claves API o despliega asistentes de IA, probablemente tienes más credenciales activas de las que puedes nombrar. Y ninguna de ellas pasa por el proceso de onboarding y offboarding que sí aplicas a las personas.
¿Qué son las identidades no humanas y por qué se multiplican?
Una identidad no humana (Non-Human Identity, NHI) es una credencial o identidad digital que usan aplicaciones, máquinas o procesos automatizados para acceder a sistemas informáticos. Entran en esa categoría las cuentas de servicio, las claves API, los tokens de autenticación y las identidades que usan los agentes de IA.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasEstas herramientas son las que permiten automatizar operaciones, conectar plataformas y procesar información sin intervención humana constante. El problema aparece cuando los permisos concedidos superan las necesidades reales del sistema, cuando las credenciales siguen activas después de dejar de usarse o cuando nadie sabe quién administra esos accesos.
Según KPMG, el riesgo no depende únicamente de cuántas identidades existan, sino de qué privilegios tienen y de la capacidad real de la organización para supervisarlas. Una credencial comprometida puede permitir que un atacante acceda a información confidencial o ejecute operaciones con los permisos que ya estaban autorizados a un sistema.
La IA agéntica cambia la escala del problema
«La adopción de agentes de IA cambia la escala del problema. Durante años las compañías han fortalecido los controles para determinar qué puede hacer cada empleado dentro de sus sistemas; ahora necesitan aplicar la misma rigurosidad a agentes, aplicaciones y credenciales que pueden ejecutar acciones sin supervisión humana constante», señaló Alaín Almeida, socio de Information Technology Advisory de KPMG en Colombia.
El punto es que un agente no ejecuta una sola acción: encadena varias. Puede recibir una tarea autorizada por una persona, llamar a una API, consultar una base de datos e invocar a otro agente antes de terminar. Sin registros de actividad completos, reconstruir quién autorizó qué y con qué identidad se hizo se vuelve muy difícil.
El Cloud Security Alliance (CSA) publicó el informe «Defining Non-Human Identity», elaborado por su grupo de trabajo de gestión de identidades, en el que recomienda dejar de tratar estas identidades como un subproducto informal del despliegue de software e integrarlas en un modelo de gobernanza formal. La entidad distingue un punto clave: la identidad es la aplicación, el workload o el agente que usa la credencial; la clave API o el token son solo el instrumento. Las políticas de propiedad y ciclo de vida aplican a la identidad; la rotación y el control criptográfico, a la credencial.
¿Cuánta visibilidad tienen las empresas sobre sus agentes de IA?
Menos de la que creen. Un estudio de SailPoint citado por la compañía en el lanzamiento de su solución de seguridad de identidades indica que el 97% de los agentes de IA tiene acceso a datos sensibles, y que solo el 21% de las organizaciones se siente muy confiada en su capacidad de gestionar los riesgos de seguridad de esos agentes.
El problema tiene consecuencias concretas. Cadena SER recogió el caso de un sistema automatizado de una gran empresa de servicios en la nube que, al detectar un fallo, decidió eliminar y reconstruir una infraestructura completa. El bot tenía los permisos necesarios y ejecutó la acción sin intervención humana, dejando sin servicio a millones de usuarios durante más de 24 horas. No hubo atacante: hubo una identidad no humana con más poder del que debía.
En el mismo artículo, Andrés Mendoza, director técnico para el sur de Europa y Latinoamérica de ManageEngine, señala que muchas organizaciones siguen usando modelos de control diseñados solo para usuarios humanos, lo que deja fuera de supervisión a las identidades automatizadas. En algunos casos existen múltiples cuentas no humanas vinculadas a un solo empleado o, directamente, sin ningún responsable asignado.
¿Cómo controlar los accesos de tus agentes de IA?
El informe Consideraciones en Ciberseguridad 2026 de KPMG identifica la gestión de identidades no humanas entre las prioridades para los responsables de seguridad empresarial. El Periódico detalla que ese documento se elaboró con aportaciones de más de 20 especialistas de la firma y con la colaboración de directivos de Google, Microsoft, Palo Alto Networks y ServiceNow, y que también cita el KPMG 2025 CEO Outlook, según el cual el 79% de los directivos considera los ciberataques una de las mayores amenazas para la prosperidad futura de sus organizaciones.
Las recomendaciones que se repiten entre KPMG y el CSA son bastante aterrizables:
- Mantén un inventario actualizado de todas las identidades no humanas: qué son, para qué existen, qué permisos tienen y de qué dependen.
- Asigna un dueño a cada identidad. En el caso de agentes de IA, el CSA recomienda un patrocinador humano y un responsable de supervisión, definidos desde el onboarding y no después.
- Aplica el principio de mínimo privilegio: concede únicamente los permisos necesarios para la tarea concreta.
- Sustituye secretos permanentes por credenciales de vida corta donde sea posible: tokens temporales, federación de identidad de workload, certificados con renovación automática.
- Detecta cuentas abandonadas y retira permisos de forma automática cuando termina el proyecto, el workload o la tarea.
- Define los límites de acción antes de dar acceso al agente, y exige supervisión humana en las operaciones de alto riesgo.
Qué significa esto para tu startup
No necesitas un equipo de seguridad dedicado para empezar, pero sí necesitas saber qué puede hacer cada credencial que circula por tu producto.
Acción 1: haz un inventario esta semana. Lista todas las claves API, cuentas de servicio y tokens activos en tus proveedores de nube, tu CRM, tu pasarela de pagos y tus herramientas de IA. Marca cuáles no sabes quién creó ni para qué sirven. Esas son tu prioridad de limpieza.
Acción 2: define permisos antes de conectar el próximo agente. Cuando integres un asistente o automatización, escribe primero qué datos puede leer, qué operaciones puede ejecutar sin aprobación y cuáles requieren validación humana. Incorporar la seguridad desde el diseño del proyecto cuesta mucho menos que añadir controles cuando la herramienta ya está conectada a tus sistemas.
Acción 3: pon fecha de caducidad a tus credenciales. Si hoy tienes claves API que llevan dos años sin rotar, ese es un riesgo que puedes cerrar sin comprar ninguna herramienta nueva.
Para una startup en etapa temprana, la ventaja es que la gobernanza de identidades no humanas todavía es barata: hay pocos sistemas, pocos agentes y el equipo completo cabe en una sala. El costo de ordenarlo crece con cada integración que sumas.
Conclusión
La proporción de 82 identidades no humanas por cada usuario humano no es solo una cifra de titulares: es una señal de que la seguridad empresarial dejó de ser un problema de personas. Los agentes de IA aportan velocidad y capacidad operativa, pero también heredan permisos que nadie revisó. La pregunta que KPMG propone a las organizaciones es incómoda y útil a la vez: antes de preguntarte cuántos agentes puedes desplegar, averigua cuántas identidades digitales tienes hoy y si realmente sabes qué pueden hacer.
Fuentes
- Revista C-Level: Por cada empleado, las empresas ya pueden tener 82 identidades digitales
- El Periódico: KPMG alerta de un aumento de ciberataques por la expansión de la inteligencia artificial
- Virtualization Review: Amid Rise of AI Agents, Advice for Dealing with Non-Human Identities
- Yahoo Finance: SailPoint eliminates blind spots with unified protection across human, non-human, and AI agent identities
- Cadena SER: Las identidades no humanas, el nuevo frente crítico en la ciberseguridad empresarial
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
