La identidad de los agentes de IA se está convirtiendo en una disciplina de seguridad propia. El 13 de octubre de 2026, la empresa estadounidense Workday anunció la compra de C1.ai, una plataforma especializada en gestionar los accesos de los agentes de IA en la empresa. Esta operación no es un detalle técnico reservado a las grandes corporaciones: revela un problema que muchas pymes ya enfrentan, muchas veces sin saberlo, desde el momento en que conectan un agente de IA a su correo, su CRM o sus herramientas financieras.
En resumen
- Workday firmó el 13 de octubre de 2026 un acuerdo definitivo para comprar C1.ai, una plataforma de gestión de identidad tanto para personas como para agentes de IA.
- Según los datos citados por C1.ai en el anuncio, alrededor del 95 % de las grandes empresas estadounidenses ya opera agentes autónomos, pero solo el 21 %, según un estudio de Deloitte, cuenta con una gobernanza madura para gestionarlos.
- Gartner sitúa la proliferación de agentes de IA sin control como la principal tendencia de ciberseguridad de 2026, por delante de la criptografía poscuántica.
- Para una pyme, la pregunta central es simple: ¿quién, o qué agente, tiene acceso a qué, por qué, y durante cuánto tiempo?
- No se necesita una herramienta dedicada para empezar: un inventario de los agentes activos y una revisión periódica de sus accesos ya reducen el riesgo de forma significativa.
Por qué Workday compra una startup de identidad para agentes
Workday ya gestiona el ciclo de vida de los empleados (contratación, cambios de puesto, salida) para miles de empresas. Con C1.ai, la compañía quiere extender esa misma lógica a los agentes de IA, que se multiplican en los sistemas de información al mismo ritmo que los equipos humanos, y a veces más rápido.
C1.ai conecta a los agentes de IA (y a las personas) con las herramientas de la empresa: correo, CRM, repositorios de código, herramientas financieras, infraestructura en la nube. La plataforma otorga un acceso en el momento en que es necesario, y lo retira en cuanto deja de serlo. Gerrit Kazmaier, directivo de Workday, resume el reto: "las empresas de hoy funcionan con una fuerza laboral mixta de personas y agentes de IA". Alex Bovee, director general de C1.ai, va más allá: "las empresas no pueden proteger la era de la IA con los tickets de TI de ayer".
El cierre de la operación se espera para el cuarto trimestre fiscal 2027 de Workday (que termina el 31 de enero de 2027), sujeto a las condiciones habituales. El importe no se ha hecho público.
Para recordar
Cuando una empresa como Workday, que ya gestiona la identidad de millones de empleados, invierte en la identidad de los agentes de IA, es señal de que existe un problema de fondo real: las herramientas de gestión de accesos pensadas para personas ya no bastan por sí solas.
Un problema de identidad inédito: los agentes no se comportan como empleados
Un empleado sigue un recorrido previsible: se le contrata, a veces cambia de puesto, y finalmente se va. Un agente de IA funciona de otra manera, y eso es justo lo que complica su gestión.
Identidad humana
Identidad de un agente de IA
Esta diferencia explica el dato que cita Gartner en su informe de tendencias de ciberseguridad de 2026, publicado el 5 de febrero de 2026: la firma de investigación señala la proliferación de agentes de IA sin control como la principal tendencia del año, por delante de los riesgos de la criptografía poscuántica. Gartner recomienda a los responsables de seguridad identificar los agentes autorizados y no autorizados, aplicar controles de acceso a cada uno de ellos, y preparar protocolos de respuesta a incidentes específicos para agentes.
Qué significa esto en la práctica para una pyme
Una pyme no necesita comprar una plataforma como C1.ai para empezar a abordar el tema. Primero debe responder a una pregunta simple: ¿cuántos agentes de IA están activos en mi empresa, y qué pueden hacer?
Un agente creado en un flujo de n8n para sincronizar el CRM con el correo, un asistente de Microsoft Copilot conectado a documentos financieros, o un agente de soporte al cliente vinculado al sistema de tickets: cada uno de estos agentes tiene credenciales, a menudo con permisos más amplios de los necesarios, y a menudo olvidadas una vez terminado el proyecto piloto.
Hacer un inventario de los agentes activos
Revisar sus permisos de acceso
Asignar un responsable a cada agente
Programar una revisión trimestral
Identidad humana e identidad de agente: el mismo principio, ritmos distintos
| Aspecto | Empleado | Agente de IA |
|---|---|---|
| Creación de un acceso | Proceso de RR. HH. controlado, a menudo varios días | Minutos, a veces sin validación |
| Frecuencia de los cambios | Lenta (cambio de puesto, ascenso) | Rápida (nuevos flujos creados de forma continua) |
| Responsable identificado | Siempre (el propio empleado) | No siempre está claro |
| Desactivación al final del uso | Proceso de salida formalizado | A menudo se olvida |
| Riesgo principal | Suplantación de una cuenta existente | Acceso demasiado amplio que queda activo sin supervisión |
Una señal alentadora
La compra de C1.ai por parte de una empresa establecida como Workday muestra que la gestión de identidades de agentes de IA se está convirtiendo en un mercado maduro, con soluciones pensadas para la empresa en lugar de soluciones internas improvisadas. Con el tiempo, las pymes se beneficiarán de herramientas más accesibles surgidas de esta consolidación.
Preguntas frecuentes
¿Qué es la "identidad de un agente de IA"?
Es el conjunto de credenciales y permisos de acceso que permiten a un agente de IA (un script automatizado, un asistente conectado a herramientas de la empresa) actuar sobre los sistemas de la compañía, igual que lo haría una cuenta de usuario para un empleado.
¿Mi pyme ya usa agentes de IA sin saberlo?
Muy probablemente, si sus equipos usan herramientas no-code como n8n o Make, o asistentes como Microsoft Copilot conectados a sus documentos. Un inventario de los conectores y automatizaciones activos es el primer paso a dar.
¿Hace falta comprar una herramienta como C1.ai para proteger mis agentes de IA?
No necesariamente de inmediato. Una pyme puede empezar con un inventario manual, una regla de "mínimo privilegio" en los accesos y una revisión trimestral. Una herramienta dedicada tiene sentido cuando el número de agentes supera lo que una revisión manual puede controlar.
¿Por qué Gartner sitúa este tema como la principal tendencia de 2026?
Porque los agentes de IA se crean más rápido de lo que se desactivan, y muchos escapan a los controles de seguridad informática habituales. Gartner recomienda identificar cada agente, autorizado o no, y aplicarle reglas de acceso claras antes de que un incidente obligue a hacerlo con prisas.
Para profundizar en la seguridad de sus automatizaciones, consulte nuestra guía para proteger los conectores y agentes de IA o nuestro artículo sobre el mercado negro de cuentas de IA robadas.
