La inteligencia artificial está cambiando la manera en que las empresas administran sus procesos. Su evolución ya no se limita a herramientas que generan contenido o analizan información: los agentes de IA pueden ejecutar tareas, interactuar con aplicaciones empresariales y participar en decisiones operativas.
Sin embargo, a medida que estas tecnologías adquieren mayor autonomía, surge una pregunta fundamental: ¿cómo garantizar que los agentes de IA actúen de forma segura y controlada, especialmente cuando interactúan con sistemas críticos como SAP?
La respuesta está en el gobierno de la inteligencia artificial. Las organizaciones necesitan establecer permisos, responsabilidades y mecanismos de supervisión antes de permitir que los agentes intervengan en sus procesos.
De cara a 2027, el desafío no será únicamente incorporar más agentes de IA, sino asegurar que su autonomía sea compatible con la seguridad, el control y la continuidad del negocio.
¿Qué son los agentes de IA y cómo funcionan?
Los agentes de inteligencia artificial son sistemas de software capaces de interpretar objetivos, analizar información, planificar acciones y ejecutar tareas con distintos niveles de autonomía.
A diferencia de otras herramientas de inteligencia artificial, su principal característica es que pueden pasar de generar una respuesta a realizar acciones para alcanzar un objetivo.
Por ejemplo, un agente de IA empresarial podría consultar información de inventarios, identificar posibles faltantes y preparar recomendaciones de abastecimiento. Dependiendo de su configuración, también podría interactuar con aplicaciones para iniciar determinadas actividades del proceso.
Para comprender su funcionamiento, es importante distinguir tres tecnologías:
- Asistentes de IA: ayudan a los usuarios a obtener información, generar contenido o analizar datos, generalmente mediante instrucciones directas.
- Automatizaciones tradicionales: ejecutan tareas siguiendo reglas y secuencias previamente establecidas.
- Agentes de IA: interpretan objetivos, seleccionan herramientas y adaptan sus acciones según la información disponible y los permisos asignados.
Esta capacidad permite automatizar procesos más complejos, pero también introduce nuevas responsabilidades. Cuando un agente puede modificar información o ejecutar transacciones, la empresa necesita asegurar que sus acciones respeten las reglas del negocio.
¿Por qué 2027 será el año del gobierno de IA?
El 2027 podría representar un punto de inflexión para la inteligencia artificial empresarial. El debate está evolucionando desde cuánto pueden automatizar las organizaciones hacia qué tan preparadas están para controlar esa automatización.
De acuerdo con Gartner, en una proyección publicada en mayo de 2026, para 2027 el 40% de las empresas reducirá el nivel de autonomía o retirará agentes autónomos de IA debido a deficiencias de gobierno identificadas después de incidentes en producción.
Esta predicción no significa que las organizaciones abandonarán la inteligencia artificial. Señala que algunas podrían necesitar reconsiderar el grado de independencia otorgado a sus agentes cuando enfrenten problemas de seguridad, supervisión o control operativo.
El gobierno de IA consiste en establecer políticas, responsabilidades y controles para administrar cómo funcionan estos sistemas, qué pueden hacer y cómo se supervisan sus acciones.
Su importancia aumenta cuando los agentes dejan los entornos de prueba y comienzan a interactuar con procesos reales.
No representa el mismo riesgo un agente que consulta documentos que uno autorizado para modificar registros financieros o ejecutar transacciones.
Por ello, la autonomía debe definirse de acuerdo con el impacto potencial de cada actividad, no únicamente con las capacidades de la tecnología.
Para las empresas, esta evolución implica incorporar el gobierno de agentes de IA como parte de sus decisiones de seguridad, operación y transformación tecnológica.
¿Cuáles son los principales riesgos de los agentes autónomos?
Cuando los agentes de IA operan sin controles adecuados, pueden generar riesgos que afectan tanto a los sistemas tecnológicos como a los procesos del negocio.
Estos son cinco de los principales:
Accesos no autorizados a información empresarial
Un agente con permisos excesivos podría consultar información confidencial o intentar
realizar operaciones que no corresponden con su función.
Por ejemplo, un agente diseñado para revisar pedidos no necesariamente necesita autorización para modificar órdenes de compra o acceder a información financiera.
La asignación de permisos debe responder al principio de mínimo privilegio: permitir únicamente las acciones necesarias para realizar cada tarea.
Decisiones basadas en información incorrecta
Los agentes pueden interpretar datos incompletos, trabajar con registros desactualizados o generar conclusiones equivocadas.
Si un agente recomienda una compra basándose en inventarios incorrectos, podría provocar una decisión de abastecimiento innecesaria.
El impacto aumenta cuando sus recomendaciones se ejecutan automáticamente, sin validaciones adicionales.
Exposición de información sensible
Los agentes pueden conectarse con documentos, bases de datos y herramientas externas. Si estas integraciones no están protegidas, podrían facilitar accesos indebidos o la exposición de información empresarial.
También pueden enfrentar intentos de manipulación mediante instrucciones maliciosas incorporadas en documentos o fuentes externas.
Falta de trazabilidad
Si una organización no puede identificar qué agente ejecutó una acción, qué información utilizó o quién autorizó la operación, investigar incidentes se vuelve más complejo.
La trazabilidad es especialmente importante en procesos financieros, administrativos y sujetos a auditorías.
Impactos en costos y continuidad operativa
Una ejecución incorrecta puede generar consultas innecesarias, consumo excesivo de recursos o modificaciones que afecten procesos relacionados.
En sistemas empresariales integrados, un error puede trasladarse a otras actividades si no existen mecanismos de validación y contención.
El riesgo principal no está en utilizar agentes de IA, sino en otorgarles capacidades de ejecución sin establecer controles proporcionales a sus consecuencias.
¿Qué implica utilizar agentes de IA en SAP?
En muchas organizaciones, SAP administra procesos esenciales de compras, inventarios, finanzas, logística y operaciones.
La incorporación de agentes de inteligencia artificial a estos entornos puede facilitar el análisis de información, la identificación de inconsistencias y la automatización de determinadas tareas.
SAP ya contempla este modelo mediante soluciones como SAP Business AI, Joule y Joule Agents, orientadas a utilizar información empresarial y ejecutar actividades mediante herramientas e integraciones autorizadas.
Sin embargo, la participación de agentes en sistemas SAP requiere evaluar las dependencias entre procesos y las consecuencias de cada operación.
Aplicaciones en compras y abastecimiento
Un agente podría analizar solicitudes pendientes, consultar información de proveedores o identificar diferencias entre registros.
Por ejemplo, podría detectar una discrepancia en una solicitud de compra y preparar una recomendación para el responsable del proceso.
No obstante, si también puede modificar condiciones comerciales o iniciar operaciones, es necesario establecer mecanismos de autorización y validación.
Aplicaciones en inventarios
Los agentes pueden apoyar el análisis de existencias, movimientos y necesidades de reposición.
Su utilidad dependerá de la calidad de los datos disponibles y de la correcta interpretación de las reglas del negocio.
Una recomendación incorrecta puede revisarse antes de su ejecución. En cambio, una operación automatizada sobre inventarios requiere controles adicionales para evitar modificaciones no deseadas.
Aplicaciones en procesos financieros
En finanzas, los agentes podrían apoyar la identificación de discrepancias, el análisis de documentos o la preparación de información para revisión.
Sin embargo, actividades como modificar registros contables o ejecutar transacciones financieras requieren controles específicos, incluyendo autorizaciones y segregación de funciones.
La diferencia fundamental está entre permitir que un agente analice información y autorizarlo para modificar procesos que tienen consecuencias operativas o financieras.
Estas aplicaciones son escenarios ilustrativos. Las capacidades disponibles dependen de las soluciones SAP utilizadas, las integraciones y los permisos configurados.
La experiencia en administración y operación de sistemas SAP resulta relevante porque permite comprender cómo se relacionan los procesos empresariales y qué aspectos deben considerarse antes de incorporar nuevas capacidades tecnológicas.
¿Qué controles necesitan las empresas para gobernar agentes de IA?
El gobierno de agentes de IA requiere combinar políticas organizacionales con mecanismos técnicos que permitan supervisar sus acciones durante todo su ciclo de vida.
El marco de gestión de riesgos de inteligencia artificial del NIST y las recomendaciones de seguridad de OWASP ofrecen referencias para establecer estos controles.
Antes de incorporar agentes autónomos a procesos empresariales, las organizaciones deberían evaluar los siguientes aspectos:
- Identidad y permisos: definir qué agentes pueden operar, bajo qué identidad y a qué información o funciones tienen acceso.
- Límites de autonomía: establecer qué tareas pueden ejecutar automáticamente y cuáles requieren aprobación humana.
- Validación de operaciones: comprobar que las acciones respeten las reglas de negocio antes de modificar información o ejecutar transacciones.
- Trazabilidad y auditoría: registrar las operaciones realizadas, los sistemas utilizados y las autorizaciones correspondientes.
- Monitoreo continuo: detectar comportamientos anómalos, errores recurrentes y consumos inesperados de recursos.
- Respuesta ante incidentes: contar con mecanismos para suspender agentes, revocar permisos y corregir operaciones cuando sea posible.
- Responsabilidades definidas: asignar responsables de supervisar cada agente y revisar sus controles cuando cambien sus capacidades.
Estos mecanismos deben adaptarse al nivel de riesgo de cada proceso.
Un agente que únicamente consulta documentos puede operar bajo restricciones diferentes de uno autorizado para realizar modificaciones en un sistema financiero.
El objetivo del gobierno de IA no es impedir la autonomía, sino establecer condiciones para utilizarla de manera responsable y verificable.
¿Cómo preparar los sistemas empresariales para adoptar agentes de IA en 2027?
La preparación para incorporar agentes de IA debe comenzar antes de su implementación.
No basta con seleccionar una herramienta o identificar tareas que podrían automatizarse. Las empresas necesitan evaluar si sus datos, procesos e infraestructura tecnológica ofrecen condiciones adecuadas para incorporar sistemas con capacidad de ejecución.
Una ruta inicial puede organizarse en cinco etapas:
Evaluar la arquitectura tecnológica existente
Identificar qué aplicaciones y sistemas sostienen los procesos críticos, cómo se relacionan y qué integraciones podrían utilizar los agentes de IA.
En entornos SAP, esta evaluación debe considerar los sistemas involucrados, sus dependencias y los mecanismos de acceso disponibles.
Revisar la calidad y disponibilidad de los datos
Determinar si la información utilizada por los procesos empresariales es confiable, está actualizada y puede consultarse de forma autorizada.
Los agentes necesitan datos adecuados para generar análisis y ejecutar tareas con resultados útiles.
Identificar procesos adecuados para comenzar
No todas las actividades necesitan agentes autónomos.
Conviene comenzar con procesos de alcance delimitado, objetivos verificables y consecuencias controlables, donde sea posible medir resultados antes de ampliar su utilización.
Establecer controles antes de operar en producción
Definir permisos, responsables, condiciones de aprobación, registros de auditoría y mecanismos para responder ante errores.
También es necesario comprobar que las integraciones respeten las reglas de seguridad y operación de los sistemas existentes.
Realizar pruebas y ampliar gradualmente
Validar el comportamiento de los agentes con escenarios representativos, incluyendo errores, información incompleta y operaciones no autorizadas.
La ampliación de su autonomía debe depender de resultados comprobables, no únicamente de la capacidad técnica para ejecutar más tareas.
El siguiente paso: evolucionar sin perder el control
La adopción de agentes de IA representa una oportunidad para mejorar la manera en que las organizaciones utilizan su información y administran sus procesos.
Sin embargo, su verdadero valor dependerá de la capacidad para integrarlos con las condiciones de seguridad, continuidad y control que exige cada negocio.
Para las empresas que utilizan SAP y otros sistemas críticos, esto significa comprender primero su arquitectura tecnológica, proteger los procesos existentes y establecer una evolución ordenada.
En NOVIS entendemos que la evolución tecnológica debe estar acompañada de control y continuidad operativa. Nuestra experiencia en entornos SAP y servicios tecnológicos empresariales permite abordar estas decisiones desde el conocimiento de los sistemas que sostienen las operaciones del negocio.
De cara a 2027, la pregunta no será únicamente qué pueden hacer los agentes de inteligencia artificial, sino qué tan preparada está cada organización para incorporarlos sin comprometer sus procesos críticos.
Porque el futuro de la IA empresarial no dependerá solamente de su autonomía, sino de la capacidad de las empresas para mantener el control sobre ella.