RAG agéntico: IBM y la IA que investiga y actúa sola

Un agente por cada 15 empleados: el nuevo cuello de botella

Gartner proyecta que una empresa promedio del Fortune 500 tendrá más de 150.000 agentes de IA en uso en 2028, frente a menos de 15 en 2025. Ese salto no se resuelve comprando más modelos: se resuelve con arquitecturas que sepan recuperar información confiable y, sobre todo, actuar con permisos acotados.

Ahí entra el RAG agéntico (generación aumentada de recuperación agéntica), la evolución que IBM analiza en su más reciente publicación sobre cómo la IA dejó de ser un motor de respuestas para convertirse en un investigador digital capaz de planificar y ejecutar. Para un founder con un equipo chico, la pregunta ya no es si conviene adoptarlo, sino cómo hacerlo sin abrir un agujero de seguridad.

¿Qué es el RAG agéntico y en qué se diferencia del RAG tradicional?

El RAG (Retrieval-Augmented Generation) resuelve un problema concreto: en lugar de confiar en el conocimiento interno del modelo, que puede ser incompleto o impreciso, el sistema recupera información de manuales, documentos o bases de datos y responde con esa base. Maryam Ashoori, Senior Director of Product Management de IBM watsonx, lo resume con un caso cotidiano: un cliente compró una cámara y necesita resolver un problema; la IA va a los manuales del usuario en vez de improvisar.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

La ganancia principal es la reducción de alucinaciones. Si el modelo no encuentra nada relevante, puede decir «no sé» en lugar de inventar una respuesta convincente.

El RAG agéntico suma una capa distinta: la capacidad de actuar. En palabras de Ashoori, «la verdadera definición de un agente es un sistema inteligente que puede razonar, planificar y actuar». Si la consulta requiere varios pasos, el agente descompone el problema, recupera lo que necesita y, si los recursos iniciales no alcanzan, hace búsquedas web o consultas a bases de datos por su cuenta. Ese ciclo de razonamiento y acción es la frontera real, no la generación de texto.

¿Deja de ser un problema la alucinación? Los datos dicen que no

IBM es explícita: el riesgo baja, pero no desaparece. «Incluso con herramientas adicionales y mecanismos de retroalimentación, no podemos garantizar que el modelo no vaya a alucinar», dice Ashoori. La mitigación pasa por límites de confianza y requisitos de cita obligatoria.

El dato externo respalda esa cautela. Un informe de Research and Markets sobre el mercado de plataformas RAG cita un estudio preregistrado de Stanford según el cual los productos de investigación legal basados en RAG de LexisNexis y Thomson Reuters alucinaron entre el 17% y el 33% de las consultas, frente al 43% de GPT-4 usado de forma independiente. Es decir: el RAG mejora mucho la situación, pero no la convierte en un entorno de tolerancia cero. En dominios regulados, ese margen sigue exigiendo revisión humana.

El mercado, mientras tanto, se mueve rápido. Según ese mismo informe, las plataformas de RAG pasaron de un valor global de US$4.000 millones en 2025 a una estimación de US$5.520 millones en 2026, con proyección de US$43.750 millones para 2036 y una tasa de crecimiento anual compuesta del 23% en el período 2026-2036. La adopción es más fuerte en derecho, finanzas y salud, justamente los sectores que necesitan salidas trazables y con citas.

El verdadero cuello de botella: identidad, permisos y trazabilidad

El punto crítico del RAG agéntico no es el modelo. Es la autonomía que se le concede. «En los flujos de RAG tradicionales todo ocurre dentro de un sistema cerrado», explica Ashoori. «Con los agentes, permites que la IA interactúe de forma autónoma con herramientas y fuentes de datos externas. Eso plantea preguntas sobre seguridad de datos y control de acceso».

Su recomendación es concreta: no basta con dar acceso, hay que especificar si el agente puede recuperar, editar o eliminar datos. Un agente encargado de leer una base de datos debería estar restringido al conjunto de datos que le corresponde, nada más.

El ecosistema ya está construyendo esa capa. Network World reportó que IBM puso en disponibilidad general IBM Agent Identity y extendió HashiCorp Vault a los agentes de IA, con credenciales de vida corta y un inventario central que registra quién es dueño de cada agente, qué autorización tiene y su estado en el ciclo de vida. La misma nota cita a Max Goss, analista senior de Gartner, advirtiendo que bloquear los agentes no es solución de largo plazo: los empleados terminan usando herramientas no sancionadas y aparece el shadow AI, con riesgos mucho mayores.

El riesgo no es teórico. En junio de 2025 Microsoft parcheó EchoLeak (CVE-2025-32711, severidad 9.3), una vulnerabilidad de cero clics identificada por Aim Security que mostraba cómo contenido malicioso recuperado desde un correo podía manipular Microsoft 365 Copilot y exponer información sensible. Es el escenario exacto que describe Ashoori: el agente trae texto de afuera y ese texto puede traer instrucciones.

Sobre explicabilidad, IBM sostiene una postura dura. «La observabilidad y la explicabilidad no son negociables», dice Ashoori. Con agentes se puede seguir cada acción y saber si el dato vino de un documento, de una búsqueda web o de una consulta a base de datos. Para empresas con requisitos de cumplimiento, esa trazabilidad es lo que hace la diferencia entre un piloto y un despliegue.

¿Qué significa esto para tu startup?

La ventana de oportunidad es real, pero el orden de implementación importa más que la elección del modelo.

Empieza por casos de uso de solo lectura. Un agente que consulta documentación, tickets o manuales y responde con citas es un primer paso con riesgo acotado. Habilita la escritura (editar, enviar, ejecutar pagos) recién cuando tengas logs y control de acceso funcionando.
Aplica mínimo privilegio por agente. Cada agente con identidad propia, permisos acotados a la tarea y credenciales efímeras. Si un agente se compromete, el daño queda contenido al alcance que se le dio.
Instrumenta la trazabilidad desde el día uno. Registra qué instrucción recibió el agente, qué fuente usó, qué herramienta llamó y qué resultado obtuvo. Reconstruir un incidente sin esos logs es prácticamente imposible.
Exige umbrales de confianza y citas obligatorias. Si el sistema no puede respaldar una afirmación con una fuente recuperada, debe responder «no sé». Es la diferencia entre un asistente útil y uno que inventa con seguridad.

Los casos de uso que ya están en producción

Más allá del soporte al cliente, IBM apunta a la automatización de procesos de negocio. La combinación de razonamiento y herramientas de acción permite atacar flujos de varios pasos: procesamiento de solicitudes de préstamo o consultas de cadena de suministro, donde el agente analiza el problema, recupera los datos y ejecuta acciones predefinidas para resolverlo.

El mercado de automatización ya muestra señales de madurez. UiPath reportó ingresos anuales de US$1.611 millones en su ejercicio fiscal 2026 (cerrado el 31 de enero de 2026), un crecimiento interanual del 13%, y su primer beneficio operativo bajo normas GAAP, de US$57 millones, con un ARR por encima de US$1.900 millones, según reportó WWWhat’s New. La tesis que se impone no es la del agente que reemplaza la automatización clásica, sino la de la capa de orquestación que combina procesos deterministas con razonamiento.

En España el avance también es medible: casi el 70% de las empresas ya usa agentes de IA en la gestión de sus negocios, según un estudio de SAP difundido por Europa Press. Entre los obstáculos que señalan los encuestados aparecen la falta de control sobre la privacidad de los datos (27,5%) y la opacidad de los resultados generados (26,9%) — precisamente los dos problemas que la trazabilidad del RAG agéntico viene a resolver.

Conclusión

El RAG agéntico no es una función que se activa: es un cambio en dónde vive el riesgo. Cuando el sistema solo respondía, el peor escenario era una respuesta equivocada. Cuando el sistema actúa, el peor escenario es una acción equivocada con permisos reales sobre tus datos.

Para una startup con equipo reducido, la oportunidad es enorme: un agente bien acotado puede cubrir trabajo que antes requería contratar. Pero el orden correcto es invertir primero en identidad, permisos y observabilidad, y después en autonomía. La recomendación de IBM es clara: el futuro está en el equilibrio entre autonomía y supervisión, y las salvaguardas no son un freno al producto, son la condición para que el producto salga a producción.