Las identidades de agentes se convierten en una nueva obligación para las empresas reguladas

El 29 de septiembre de 2026 RSA anunció, mediante una nota de prensa oficial, el lanzamiento de Agent ID, una plataforma diseñada específicamente para industrias altamente reguladas con el objetivo de identificar, clasificar y controlar el uso de agentes de inteligencia artificial. La comunicación está dirigida a instituciones financieras, compañías de seguros, proveedores de servicios de salud y a otros sectores que, por mandato legal, deben poder rastrear y documentar cada decisión automatizada que se tome. RSA subraya que la solución no se concibe como un simple complemento tecnológico, sino como un componente integral de la estrategia de cumplimiento normativo, dado que un número creciente de organizaciones depende de agentes de IA autónomos en procesos críticos.

¿Qué es Agent ID?

Agent ID está compuesto por tres módulos – Discover, Secure y Govern – que, en conjunto, permiten una gestión completa del ciclo de vida de los agentes de IA. El módulo Discover escanea entornos de red y aplicaciones, detecta tanto agentes autorizados como no autorizados y los asigna a sus respectivos propietarios. Además, identifica los servidores MCP (Model‑Control‑Plane) y los vincula con los agentes correspondientes, proporcionando una visión integral de la infraestructura de IA desplegada. Los resultados se presentan en una vista centralizada, de modo que los responsables pueden ver de inmediato qué agentes están activos, dónde se ejecutan y quién es el responsable de cada uno.

El módulo Secure evalúa en tiempo real cada combinación de llamada a herramienta y sus argumentos contra políticas predefinidas. Cuando una llamada no cumple con los criterios establecidos, Secure puede solicitar una autorización separada y autenticada antes de permitir que la acción se ejecute. Esta medida evita que operaciones de agentes no autorizados o potencialmente riesgosas pasen desapercibidas. RSA destaca que la inspección en línea no genera latencias adicionales en la red, ya que el motor de políticas está integrado directamente en el flujo de datos. Además, las empresas reciben registros detallados de las llamadas rechazadas, lo que refuerza la trazabilidad y el informe de auditoría.

¿Cómo funciona la gobernanza?

Govern, el tercer módulo de Agent ID, se encarga de registrar de forma exhaustiva todas las acciones realizadas por los agentes de IA. Cada interacción se asigna a uno de diez marcos regulatorios predefinidos que cubren requisitos comunes en materia de protección de datos, normativa financiera y regulaciones sanitarias. Las pruebas recopiladas pueden enviarse de manera automatizada a organismos supervisores o a equipos internos de auditoría. RSA tiene previsto poner a disposición general de Govern durante el primer semestre de 2027, mientras que los módulos Discover y Secure estarán listos para los clientes a partir del 16 de noviembre de 2026. La arquitectura modular permite a las organizaciones iniciar con los dos primeros componentes y añadir la capa de gobernanza en una fase posterior.

Como único dato cuantitativo proporcionado, RSA indica que una gran entidad bancaria ya cuenta con más de 4.000 agentes en funcionamiento, todos sujetos a una política interna de prohibición. Esta cifra proviene directamente de RSA y no ha sido verificada por estudios de mercado independientes. No obstante, ilustra la magnitud que los agentes de IA han alcanzado en entornos regulados y subraya la necesidad de contar con una capa estructurada de identidad y control.

Implicaciones para la responsabilidad y la organización operativa

Con la adopción de Agent ID, las empresas disponen de una herramienta que clarifica la asignación de responsabilidades. Si un agente no autorizado produce una decisión errónea, los registros de Discover y Govern permiten determinar con precisión qué desarrollador, equipo o proveedor tenía el control en ese momento. Esto refuerza la capacidad de hacer cumplir legalmente las reclamaciones de responsabilidad y reduce el riesgo de multas, ya que se puede demostrar que se cumplen los requisitos regulatorios. Operativamente, implica que los departamentos de TI y de cumplimiento deben colaborar estrechamente para implementar políticas en Secure, ejecutar escaneos periódicos con Discover y revisar los informes de gobernanza generados por Govern.

• Establecimiento de un inventario centralizado de agentes mediante Discover.
• Definición e implementación de políticas en Secure para todas las llamadas críticas a herramientas.
• Integración de Govern en los procesos existentes de auditoría y generación de informes.
• Capacitación de las áreas funcionales sobre sus responsabilidades respecto a los agentes de IA.
• Revisión y actualización periódica de los diez marcos regulatorios conforme a los cambios normativos.

A partir de ahora, las empresas sujetas a regulación deberán incorporar Agent ID en su estrategia de cumplimiento para responder a la creciente demanda de transparencia y control sobre los agentes de IA. La disponibilidad de Discover y Secure a partir del 16 de noviembre de 2026 permite una incorporación rápida, mientras que Govern, previsto para el próximo año, garantiza una trazabilidad completa. Las organizaciones que no aborden proactivamente esta obligación corren el riesgo no solo de enfrentar sanciones regulatorias, sino también de experimentar incertidumbres operativas, ya que los agentes no identificados pueden tomar decisiones impredecibles. En este sentido, Agent ID representa un punto de inflexión claro: la identificación de agentes pasa de ser una práctica opcional a convertirse en una obligación indispensable para cualquier entidad regulada.