9 de cada 10 empresas de EMEA han sufrido incidentes de seguridad vinculados a la IA agéntica

La adopción de agentes de inteligencia artificial está avanzando con rapidez en entornos empresariales críticos, pero los sistemas de supervisión y control no evolucionan al mismo ritmo. Así lo concluye el informe Deployed but ungoverned: the state of agentic security, elaborado por ServiceNow, que revela que el 90% de las organizaciones de Europa, Oriente Medio y África ha sufrido al menos un incidente de seguridad relacionado con la IA agéntica durante los últimos doce meses. Sin embargo, solo el 36% logró contener esos incidentes en menos de 24 horas.

Estas cifras evidencian la creciente distancia entre el ritmo de despliegue de los agentes de IA y la capacidad de las organizaciones para gobernarlos de forma efectiva. Los agentes están dejando atrás las fases experimentales para integrarse en infraestructuras que sustentan operaciones críticas en sectores como la sanidad, las finanzas, la industria o el transporte.

 

La gobernanza sigue siendo la gran asignatura pendiente

Uno de los hallazgos más relevantes del informe es que únicamente el 13% de las organizaciones a nivel mundial dispone de programas de seguridad que cumplen los criterios establecidos en cinco áreas clave: gestión de la superficie de ataque, asignación de responsabilidades, seguridad desde el diseño, visibilidad y preparación para auditorías.

La investigación pone de manifiesto que gran parte de las empresas continúa gestionando la IA agéntica mediante modelos tradicionales diseñados para entornos con una supervisión humana mucho más intensa. En la región EMEA, menos de la mitad dispone de marcos de gobernanza capaces de abordar los principales aspectos asociados al despliegue de agentes inteligentes.

Además, en el 56% de las organizaciones la seguridad comienza a evaluarse una vez finalizado el diseño de los agentes, lo que refleja un enfoque reactivo en lugar de integrar la protección desde las primeras fases del desarrollo.

El informe también refleja la velocidad con la que estas tecnologías están entrando en las empresas. La mitad de las organizaciones de EMEA ya opera entre 100 y 999 agentes de IA, mientras que un 34% supera los 1.000 agentes desplegados.

Sin embargo, la visibilidad sobre esos entornos continúa siendo insuficiente. Aunque el 58% afirma contar con inventarios completos de agentes en producción y mecanismos para registrar cambios, casi una cuarta parte de los equipos de seguridad ha descubierto agentes en funcionamiento que nunca habían sido registrados oficialmente.

Este fenómeno, conocido como "IA en la sombra" o shadow AI, supone un riesgo creciente porque introduce herramientas no supervisadas que operan fuera de los mecanismos corporativos de control.

 

La supervisión humana sigue ralentizando la respuesta

La investigación revela otra paradoja. Aunque el 75% de las organizaciones asegura disponer de mapas actualizados sobre los sistemas y recursos a los que puede acceder cada agente, solo el 23% es capaz de supervisar en tiempo real más del 90% de estos agentes.

A ello se suma que el 67% de los equipos de seguridad no puede actuar automáticamente cuando detecta comportamientos anómalos. En la mayoría de los casos sigue siendo necesaria la intervención humana para aplicar medidas correctivas, lo que dificulta responder a amenazas que evolucionan a velocidad de máquina.