La inteligencia artificial ya no solo procesa información: empieza a tomar decisiones, utilizar identidades digitales, acceder a sistemas y ejecutar acciones dentro de las empresas. Ese cambio convierte la ciberseguridad en un problema más amplio que instalar herramientas o bloquear amenazas. Cuando una organización incorpora agentes de IA, servicios en la nube, trabajo híbrido, navegadores empresariales y múltiples proveedores, también multiplica las relaciones de confianza que debe gobernar. El verdadero riesgo aparece cuando la tecnología avanza más rápido que las reglas para controlar quién puede acceder, qué puede hacer, durante cuánto tiempo y con qué información. Por eso, proteger la empresa moderna exige dejar de pensar únicamente en productos de seguridad y comenzar a diseñar una arquitectura coherente entre personas, datos, aplicaciones, redes, identidades e inteligencia artificial. La pregunta ya no es cuánta seguridad compramos, sino si sabemos qué estamos protegiendo, de quién y para qué. 👉 LEE NUESTRO BLOG...
Durante años, muchas organizaciones construyeron su seguridad alrededor de una idea relativamente sencilla: existían usuarios, computadores, servidores, aplicaciones y una red que debía protegerse.
Había que controlar quién ingresaba, proteger los equipos, instalar antivirus, configurar firewalls, realizar copias de seguridad, administrar contraseñas y mantener actualizados los sistemas.
Ese modelo nunca fue perfecto, pero al menos permitía identificar con cierta claridad quién estaba utilizando la tecnología.
La inteligencia artificial está alterando esa lógica.
Ahora aparece un nuevo participante dentro de la infraestructura empresarial: sistemas capaces no solamente de consultar información, sino también de interpretar instrucciones, conectarse con otras aplicaciones, utilizar herramientas y ejecutar determinadas acciones.
Es decir, estamos pasando progresivamente de una tecnología que espera instrucciones a una tecnología que puede recibir un objetivo y determinar algunos de los pasos necesarios para alcanzarlo.
Y eso cambia profundamente la conversación sobre seguridad.
El problema ya no es solamente proteger la red
Una de las conclusiones interesantes que dejó RSAC Conference 2026 fue precisamente la importancia adquirida por la seguridad relacionada con inteligencia artificial, identidad, gobierno y agentes autónomos.
La propia organización de RSAC identificó entre las tendencias centrales de 2026 temas como Model Context Protocol (MCP), IA agéntica, identidad y gobernanza. Además, sesiones especializadas abordaron cómo los controles tradicionales diseñados alrededor de identidades humanas resultan insuficientes cuando aparecen agentes capaces de interactuar autónomamente con sistemas empresariales.
Esto permite comprender algo que considero fundamental para cualquier empresario:
la inteligencia artificial no introduce solamente una nueva herramienta dentro de la empresa; introduce nuevas relaciones de confianza.
Imaginemos un agente de IA autorizado para consultar el CRM.
Inicialmente podría parecer inofensivo.
Pero inmediatamente aparecen preguntas.
¿Puede solamente consultar clientes?
¿Puede modificar registros?
¿Puede exportarlos?
¿Puede enviar correos?
¿Puede consultar información financiera relacionada con esos clientes?
¿Puede conectarse con otro sistema?
¿Puede entregar información a otro agente?
¿Quién autorizó esos permisos?
¿Durante cuánto tiempo permanecen activos?
¿Existe trazabilidad de lo que hizo?
¿Quién responde si ejecuta una acción incorrecta?
Ahí comienza realmente el problema.
No estamos hablando únicamente de ciberseguridad.
Estamos hablando de arquitectura empresarial.
Una identidad que no necesariamente corresponde a una persona
Durante décadas construimos los sistemas de identidad empresarial pensando fundamentalmente en personas.
Julio tiene una cuenta.
Diana tiene otra.
El contador tiene determinados permisos.
El proveedor tecnológico tiene acceso restringido.
El administrador posee privilegios superiores.
Pero cuando aparecen agentes inteligentes, automatizaciones, API, aplicaciones SaaS, servicios cloud y sistemas conectados entre sí, la cantidad de identidades no humanas puede crecer considerablemente.
Y cada una representa potencialmente una puerta hacia información o procesos empresariales.
En RSAC 2026, la seguridad de identidad apareció precisamente como uno de los temas relevantes alrededor de la adopción de agentes de IA. Los análisis posteriores al evento señalaron tres dimensiones simultáneas: atacantes utilizando IA, necesidad de proteger los propios agentes y utilización de IA dentro de las herramientas defensivas.
Para mí, esto conduce a una conclusión empresarial sencilla:
antes de darle inteligencia a un proceso debemos comprender los permisos que estamos entregando.
📅 Si su empresa está incorporando inteligencia artificial, automatización, servicios cloud o nuevas plataformas y quiere revisar si su infraestructura realmente está preparada para hacerlo de manera funcional y segura, podemos analizarla desde una perspectiva integral:
https://t.mtrbio.com/todo-en-unonet
No se trata de frenar la innovación. Se trata de evitar que la innovación avance sin arquitectura.
Comprar más herramientas puede aumentar el problema
Aquí aparece una paradoja frecuente.
Cuando una empresa identifica nuevos riesgos tecnológicos, la reacción natural suele ser comprar otra solución.
Un producto para endpoint.
Otro para correo.
Otro para identidad.
Otro para navegación.
Otro para nube.
Otro para monitoreo.
Otro específicamente para inteligencia artificial.
Cada solución puede ser técnicamente excelente.
El problema aparece cuando nadie observa cómo funciona el conjunto.
La organización termina acumulando tecnologías que generan información, alertas, políticas, permisos y consolas diferentes.
Y entonces ocurre algo peligroso:
la empresa tiene más herramientas de seguridad, pero menos comprensión de su seguridad.
Este problema también apareció en las discusiones alrededor de RSAC 2026. Los análisis del evento señalaron que ningún proveedor puede ofrecer por sí solo una respuesta integral a todos los escenarios relacionados con seguridad de IA y que las organizaciones necesitan observar ecosistemas e integraciones, no solamente productos aislados.
Eso coincide plenamente con algo que hemos defendido durante años en TODO EN UNO.NET:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
La seguridad también debe obedecer esa regla.
No necesitamos necesariamente más tecnología.
Necesitamos comprender qué función cumple cada tecnología dentro de la organización.
La IA obliga a volver a mirar la infraestructura
Existe además otro error que comienza a hacerse evidente.
Muchas organizaciones quieren incorporar inteligencia artificial sobre infraestructuras que nunca fueron diseñadas para el nivel actual de integración.
Tenemos empresas con:
equipos antiguos,
redes construidas por etapas,
usuarios con permisos acumulados durante años,
cuentas que nadie recuerda por qué existen,
aplicaciones contratadas independientemente por diferentes áreas,
servicios cloud sin inventario centralizado,
contraseñas compartidas,
proveedores con accesos permanentes,
datos duplicados,
sistemas sin integración,
y procesos que todavía dependen de archivos personales.
Sobre esa realidad queremos instalar inteligencia artificial.
Pero la IA no elimina esas debilidades.
Puede amplificarlas.
Una automatización eficiente aplicada sobre un proceso desorganizado puede producir desorden más rápidamente.
Un agente inteligente conectado a información incorrectamente clasificada puede acceder con enorme eficiencia a información que nunca debería haber tenido disponible.
Y una inteligencia artificial conectada a múltiples aplicaciones puede convertir una mala configuración de permisos en un riesgo transversal.
Por eso la pregunta correcta no es:
“¿Qué inteligencia artificial deberíamos implementar?”
La pregunta anterior debería ser:
“¿Nuestra arquitectura tecnológica está preparada para permitir que una inteligencia artificial opere dentro de ella?”
Zero Trust deja de ser una expresión técnica
Durante años se habló de Zero Trust —confianza cero— principalmente desde la perspectiva de seguridad.
Pero su principio fundamental adquiere todavía más sentido cuando incorporamos inteligencia artificial:
no asumir confianza simplemente porque alguien o algo se encuentra dentro del entorno empresarial.
Cada acceso debería evaluarse de acuerdo con identidad, contexto, dispositivo, información solicitada, nivel de riesgo y necesidad real.
Cuando el actor puede ser un agente de IA, este principio se vuelve especialmente importante.
RSAC 2026 dedicó sesiones precisamente a explorar cómo identidad, Zero Trust y arquitecturas como SASE pueden combinarse para proteger agentes inteligentes, debido a que la autonomía que los hace útiles también desafía controles concebidos originalmente alrededor del comportamiento humano.
Pero nuevamente debemos evitar convertir Zero Trust en otra compra tecnológica.
Zero Trust no comienza comprando un producto.
Comienza haciendo preguntas.
¿Quién necesita acceso?
¿A qué?
¿Por qué?
¿Desde dónde?
¿Durante cuánto tiempo?
¿Con qué nivel de privilegio?
¿Podemos verificarlo?
¿Podemos revocarlo?
¿Podemos saber posteriormente qué ocurrió?
Estas preguntas pertenecen tanto a administración como a tecnología.
El navegador también se convirtió en infraestructura empresarial
Hay otro cambio que muchas empresas todavía subestiman.
El navegador dejó de ser simplemente una herramienta para consultar páginas web.
Hoy puede ser el lugar desde donde una persona:
abre su correo,
consulta el ERP,
utiliza el CRM,
administra archivos,
ingresa a plataformas financieras,
accede a herramientas de inteligencia artificial,
gestiona redes sociales,
utiliza aplicaciones SaaS,
descarga documentos,
y comparte información empresarial.
En otras palabras, gran parte de la empresa moderna puede funcionar dentro de una ventana del navegador.
Por eso los navegadores empresariales y los mecanismos para controlar actividad, extensiones y acceso están ganando importancia dentro de las estrategias de seguridad. En RSAC 2026, este componente fue señalado como un elemento que está pasando de diferenciador a requisito dentro de determinadas arquitecturas empresariales.
Esto tiene implicaciones especialmente importantes para las pequeñas y medianas empresas.
Porque una organización puede invertir en firewall, antivirus y copias de seguridad, pero permitir simultáneamente que información sensible termine en servicios externos simplemente mediante copiar y pegar desde un navegador.
📅 Antes de comprar otra solución de seguridad, puede resultar mucho más rentable comprender cómo circula realmente la información dentro de su organización, quién accede a ella y mediante qué tecnologías:
https://t.mtrbio.com/todo-en-unonet
Una buena arquitectura comienza con diagnóstico, no con catálogo.
La soberanía tecnológica también entra en la conversación
La nube permitió a las organizaciones crecer rápidamente sin construir toda su infraestructura.
Eso produjo enormes beneficios.
Pero también introdujo nuevas dependencias.
¿Dónde están físicamente nuestros datos?
¿Quién los procesa?
¿Bajo qué legislación?
¿Qué proveedores participan?
¿Qué ocurre cuando utilizamos inteligencia artificial sobre esa información?
¿Puede trasladarse información entre regiones?
¿Tenemos capacidad para cambiar de proveedor?
¿Podemos recuperar nuestros datos?
¿Sabemos cuáles procesos dependen completamente de servicios externos?
La discusión sobre soberanía tecnológica y de datos está adquiriendo mayor importancia precisamente porque las empresas operan simultáneamente entre infraestructura local, nube privada, nube pública y múltiples servicios digitales.
Las conversaciones de RSAC 2026 alrededor de SASE y soberanía reflejaron esta realidad: las arquitecturas modernas necesitan flexibilidad para inspeccionar y gestionar tráfico dependiendo de geografía, usuario, unidad de negocio y características de los datos.
Esto no significa regresar necesariamente a servidores instalados dentro de la empresa.
Significa conocer nuestras dependencias.
Porque una empresa no puede gobernar aquello que desconoce.
La plataformización promete simplificar, pero también exige criterio
Frente a la fragmentación tecnológica aparece otra tendencia: consolidar capacidades alrededor de plataformas.
Tiene sentido.
Menos herramientas aisladas pueden significar:
menos integraciones,
menos consolas,
mejor visibilidad,
políticas más coherentes,
menor complejidad operativa.
Pero existe también un riesgo.
Confundir simplificación con dependencia absoluta.
Una plataforma puede resolver muchos problemas, pero ninguna tecnología debería sustituir el criterio organizacional.
Por eso antes de consolidar debemos comprender qué queremos consolidar.
La secuencia correcta debería ser:
comprender procesos,
identificar activos,
clasificar información,
revisar identidades,
analizar riesgos,
establecer políticas,
definir arquitectura,
y solamente después seleccionar tecnologías.
Cuando invertimos ese orden terminamos adaptando la empresa a la herramienta.
Cuando respetamos ese orden hacemos que la herramienta se adapte a la empresa.
La diferencia parece pequeña.
Estratégicamente es enorme.
La seguridad de IA comienza mucho antes de utilizar IA
Cuando una empresa me pregunta cómo proteger su inteligencia artificial, considero que existe una pregunta anterior:
¿qué tan organizada está tecnológicamente la empresa que utilizará esa inteligencia artificial?
Porque la IA heredará buena parte del entorno donde la instalemos.
Si existen permisos excesivos, trabajará sobre permisos excesivos.
Si existen datos desorganizados, trabajará sobre datos desorganizados.
Si existen procesos mal definidos, automatizará procesos mal definidos.
Si existen cuentas innecesarias, convivirá con cuentas innecesarias.
Si existen integraciones desconocidas, aumentará la complejidad.
Y si nadie tiene responsabilidad sobre el gobierno tecnológico, aparecerá otra herramienta sin propietario organizacional.
Por eso considero que la seguridad de la inteligencia artificial debe comenzar mucho antes de contratar una plataforma de IA.
Debe comenzar entendiendo la empresa.
De la ciberseguridad a una Arquitectura Tecnológica Funcional
En TODO EN UNO.NET entendemos este problema desde una perspectiva diferente.
No partimos preguntando qué producto comprar.
Partimos preguntando cómo funciona la organización.
Una Arquitectura Tecnológica Funcional debe permitir relacionar, como mínimo:
personas,
procesos,
información,
equipos,
redes,
identidades,
aplicaciones,
servicios cloud,
proveedores,
automatizaciones,
inteligencia artificial,
seguridad,
continuidad,
y responsabilidades.
Cuando observamos esas piezas aisladamente tenemos tecnología.
Cuando entendemos cómo se relacionan tenemos arquitectura.
Y cuando esa arquitectura responde a objetivos empresariales tenemos funcionalidad.
Ese cambio de perspectiva resulta especialmente importante ahora que la IA comienza a participar directamente dentro de procesos empresariales.
Cinco preguntas que toda gerencia debería poder responder
No necesitamos convertir a los gerentes en especialistas en ciberseguridad.
Pero sí necesitamos que comprendan determinadas preguntas.
Primera:
¿Qué información crítica tenemos y dónde se encuentra?
Segunda:
¿Quién —persona, aplicación, proveedor o inteligencia artificial— puede acceder a ella?
Tercera:
¿Qué puede hacer cada identidad después de obtener acceso?
Cuarta:
¿podemos detectar y reconstruir una acción incorrecta?
Quinta:
¿qué ocurre con la operación si una tecnología crítica deja de estar disponible?
Si una organización no puede responder razonablemente estas cinco preguntas, probablemente su prioridad inmediata no debería ser incorporar más tecnología.
Debería comprender la que ya posee.
El verdadero riesgo es perder comprensión
Existe una obsesión comprensible alrededor de ataques sofisticados, inteligencia artificial maliciosa, ransomware y nuevas vulnerabilidades.
Son riesgos reales.
Pero existe otro menos espectacular y quizá más frecuente:
que la empresa deje de comprender su propia infraestructura.
Cada nueva aplicación.
Cada integración.
Cada usuario.
Cada proveedor.
Cada API.
Cada automatización.
Cada agente inteligente.
Añade una relación adicional.
Cuando esas relaciones no están documentadas, gobernadas y revisadas, aparece una deuda tecnológica invisible.
Durante algún tiempo todo puede funcionar.
Hasta que algo falla.
Entonces descubrimos que nadie sabe completamente cómo estaba conectado.
Ese es precisamente el tipo de problema que una arquitectura empresarial debería evitar.
La IA no elimina la responsabilidad humana
La llegada de agentes autónomos podría producir la impresión de que cada vez necesitaremos menos intervención humana.
Operativamente puede ocurrir en determinadas tareas.
En gobierno sucede exactamente lo contrario.
Cuanta más autonomía entregamos a una tecnología, mayor claridad necesitamos respecto a sus límites.
Alguien debe decidir:
qué puede hacer,
qué información puede utilizar,
qué acciones requieren aprobación,
qué debe quedar registrado,
qué riesgos son aceptables,
qué sucede ante una anomalía,
y cuándo debe detenerse.
La inteligencia artificial puede ejecutar.
La organización debe gobernar.
Esta distinción será cada vez más importante.
Seguridad no significa impedir avanzar
También debemos evitar otro extremo.
La seguridad no debería convertirse en argumento para bloquear innovación.
Una organización que prohíba toda inteligencia artificial porque representa riesgos probablemente terminará encontrando empleados utilizándola informalmente.
La prohibición absoluta puede crear precisamente aquello que pretendía evitar: tecnología invisible para la organización.
La alternativa razonable consiste en establecer entornos, reglas, permisos, herramientas autorizadas, capacitación y mecanismos de supervisión.
Es decir:
gobernar.
La empresa moderna necesitará aprender a convivir con sistemas inteligentes del mismo modo que anteriormente aprendió a convivir con internet, correo electrónico, dispositivos móviles y nube.
La diferencia está en que ahora algunas tecnologías pueden actuar.
Y cuando una tecnología puede actuar, el gobierno deja de ser opcional.
Antes de preguntarse qué IA comprar, mire su empresa
RSAC 2026 deja muchas tendencias tecnológicas interesantes.
IA agéntica.
Identidad.
Zero Trust.
SASE.
Navegadores empresariales.
Soberanía.
Plataformización.
Pero detrás de todas ellas encuentro una misma señal.
La infraestructura empresarial está aumentando rápidamente su complejidad.
La respuesta no puede ser simplemente añadir más tecnología.
Necesitamos recuperar comprensión.
Saber qué tenemos.
Saber cómo se conecta.
Saber quién accede.
Saber qué información circula.
Saber cuáles dependencias existen.
Saber qué debería ocurrir cuando algo falla.
Y solamente entonces decidir qué tecnología necesitamos.
📅 Si su organización está avanzando hacia inteligencia artificial, automatización o nuevos servicios digitales, este puede ser un buen momento para revisar primero la arquitectura tecnológica sobre la cual pretende construir ese futuro:
https://t.mtrbio.com/todo-en-unonet
Porque la transformación digital sostenible no consiste en incorporar todo lo nuevo que aparece.
Consiste en construir una organización capaz de utilizarlo con criterio.
La inteligencia artificial seguirá evolucionando. También lo harán las amenazas, las redes, las plataformas y los modelos de seguridad.
Intentar perseguir cada tendencia sería imposible.
Construir una arquitectura capaz de adaptarse a ellas es una estrategia completamente diferente.
Y posiblemente esa sea una de las decisiones tecnológicas más importantes que una empresa pueda tomar hoy: dejar de preguntarse únicamente qué tecnología necesita y comenzar a comprender qué organización quiere construir.