KPMG alerta: 82 identidades no humanas por usuario

KPMG pone cifra al problema: 82 identidades no humanas por cada usuario

Las identidades no humanas superan a los usuarios humanos en una proporción de 82 a 1 dentro de las organizaciones, según el informe Acceso invisible, riesgos visibles de KPMG. Traducido a la operación diaria: por cada persona con credenciales en tu empresa hay decenas de cuentas de servicio, claves de API, tokens y agentes autónomos con acceso a sistemas y datos.

Para un founder que acaba de conectar su CRM con un agente de IA, esa cifra no es un dato abstracto de ciberseguridad: es el inventario de puertas que quedaron abiertas sin que nadie las registrara.

El informe define esas identidades no humanas (Non-Human Identities o NHI) como cuentas de servicio, claves de API, tokens y credenciales de máquinas que operan de forma autónoma y pueden acceder a datos críticos sin supervisión permanente. La alerta llega en un momento de presión creciente: esta semana, más de 100 empresas tecnológicas e instituciones de ciberseguridad hicieron un llamado global a fortalecer la preparación frente a amenazas impulsadas por IA.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Por qué el 82 a 1 rompe el modelo de seguridad tradicional?

Durante dos décadas, la seguridad corporativa se construyó alrededor de una sola pregunta: quién es esta persona y a qué puede entrar. Los controles —contraseñas, doble factor, revisiones de acceso trimestrales— asumían que detrás de cada credencial había un empleado con jefe, contrato y fecha de salida.

Un agente de IA no cumple ninguna de esas condiciones. No pide vacaciones, no cambia de rol, no se va de la empresa y no falla un desafío de autenticación. Puede crear identidades nuevas mientras trabaja y heredar permisos de otras cuentas.

"La adopción de agentes de IA cambia la escala del problema. Durante años las compañías han fortalecido los controles para determinar qué puede hacer cada empleado dentro de sus sistemas; ahora necesitan aplicar la misma rigurosidad a agentes, aplicaciones y credenciales que pueden ejecutar acciones sin supervisión humana constante. El riesgo aparece cuando la velocidad de adopción supera la capacidad de gobernar esos accesos", afirmó Alaín Almeida, Socio de Information Technology Advisory en KPMG Colombia.

KPMG identifica tres patrones de riesgo concretos: credenciales con permisos excesivos, identidades "huérfanas" que siguen activas sin un responsable definido, y agentes con acceso a bases de datos sensibles que exceden sus funciones. Ninguno de los tres requiere un atacante sofisticado para convertirse en incidente.

La brecha entre creer que hay control y tenerlo

El dato de KPMG no está aislado. El SpyCloud 2026 Identity Threat Report, publicado en septiembre de 2026 y difundido vía Yahoo Finance, encontró que el 95% de las organizaciones cree tener visibilidad sobre sus exposiciones de identidades de IA y de máquina, pero solo el 36% las monitorea realmente. Las identidades no humanas comprometidas fueron la vía de entrada principal en el 31% de los casos, casi el doble que el phishing y la ingeniería social (17%).

El mismo informe, basado en una encuesta a 750 líderes de ciberseguridad en organizaciones de más de 500 empleados, señala que el 68% sufrió al menos un evento de identidad en el período analizado, con un promedio de ocho eventos por organización afectada. Y el 91% usa herramientas o agentes de IA con acceso a sistemas internos, pero solo el 56% tiene gobernanza formal y un responsable definido para los privilegios que esas herramientas generan.

El 2026 Data and Identity Security Report de Netwrix, citado por BleepingComputer, aporta el dato más incómodo: las organizaciones donde la IA expandió significativamente el número de identidades reportaron una tasa de brecha del 43% en el último año, frente al 11% de aquellas donde la IA no alteró ese inventario. Lo llamativo es que las primeras tenían mejores prácticas de gobernanza que el promedio. Invertir en el manual no alcanzó.

A escala de mercado, el ISACA 2026 AI Pulse Poll citado por Help Net Security indica que el 90% de los profesionales reporta que los empleados usan IA en el trabajo, sancionada o no, mientras que apenas el 38% de las organizaciones tiene una política formal de IA. Y según la Cloud Security Alliance, solo el 12% de las organizaciones se siente capaz de detener un ataque relacionado con identidades no humanas.

Las tres acciones que recomienda KPMG antes de escalar IA agéntica

El informe no se queda en el diagnóstico. Propone tres líneas de trabajo que cualquier equipo, incluso uno de cinco personas, puede empezar esta semana:

Inventario continuo: mapear la totalidad de las identidades no humanas, asignar un responsable directo a cada una, documentar el estado de sus credenciales y definir parámetros de trazabilidad. Sin dueño con nombre y apellido, una credencial es un pasivo.
Priorización basada en riesgo y mínimo privilegio: limitar el alcance operativo de cada agente o cuenta de servicio exclusivamente a los datos y acciones indispensables para su tarea. Si un agente solo debe leer tickets, no necesita permiso de escritura sobre la base de clientes.
Gestión integral del ciclo de vida: mecanismos de revocación automática para accesos en desuso, rotación periódica de credenciales y monitoreo en tiempo real de anomalías de comportamiento.

A esto se suma una recomendación organizativa del informe Cybersecurity considerations 2026 de KPMG, recogido por El Periódico: el despliegue de agentes de IA no debería gestionarse como una iniciativa aislada del área de tecnología, sino como una decisión interdisciplinaria que involucre a ciberseguridad, cumplimiento, riesgos y líderes de negocio desde la etapa de diseño. Ese mismo documento cita el KPMG 2025 CEO Outlook, según el cual el 79% de los directivos considera los ciberataques una de las mayores amenazas para la prosperidad futura de sus organizaciones.

¿Qué significa esto para tu startup?

La reacción natural de un founder es pensar que esto es un problema de corporaciones con departamento de seguridad. Es al revés: una startup es el escenario perfecto para el descontrol de identidades no humanas, porque conecta herramientas rápido, con permisos amplios y sin nadie mirando el registro de accesos.

Piensa en tu propio stack. El bot de Slack, la integración de n8n o Zapier, la clave de API de OpenAI o Anthropic en el backend, la cuenta de servicio de Google Cloud, el token de Stripe, el webhook que escribe en la base de datos. Cada uno es una identidad no humana, y probablemente ninguna tiene dueño asignado ni fecha de revisión.

Acciones concretas para esta semana:

Haz un inventario de una tarde. Lista cada clave de API, token, cuenta de servicio, bot y agente que tu producto o tu equipo usa. Para cada uno anota tres cosas: quién es el dueño humano, qué puede hacer exactamente y cuándo se creó. Si no puedes responder las tres, ya encontraste tu primer riesgo.
Separa credenciales por tarea. Deja de usar una clave maestra para todo. Crea una credencial por función con el permiso mínimo necesario, y así un agente comprometido no arrastra el resto del sistema.
Define un calendario de rotación y revocación. Cuando desinstalas una herramienta o cambias de proveedor, la credencial vieja suele quedar viva. Anota la fecha de rotación en el mismo lugar donde guardas el secreto y revoca al desinstalar.
Involucra a negocio, no solo a tecnología. Si el agente de soporte puede leer datos de facturación, esa decisión la debe aprobar quien responde por el negocio, no solo quien lo programó.
Documenta el control antes de la due diligence. Si vas a levantar capital o vender la empresa, un comprador o un fondo va a preguntar cómo gobiernas los accesos de tus agentes. Tener el inventario listo convierte una bandera roja en una señal de madurez.

Conclusión

El 82 a 1 de KPMG no describe un problema futuro: describe el estado actual de la mayoría de las organizaciones que ya adoptaron IA. La brecha real no está en la tecnología de defensa, sino en la gobernanza: quién es dueño de cada identidad, qué puede ejecutar y cuándo deja de existir.

Para un founder, la ventaja competitiva es de timing. Armar el inventario y aplicar mínimo privilegio cuando el equipo tiene cinco personas es infinitamente más barato que hacerlo cuando el producto ya tiene miles de clientes y cientos de integraciones. La seguridad desde el diseño no frena la adopción de IA: es lo que permite escalarla sin que la superficie de ataque crezca más rápido que tu capacidad de supervisarla.