El primer ministro de Estonia, Kristen Michal, aprobó recientemente una propuesta del consejo asesor Eesti.ai para asignar a los agentes de IA sus propios códigos de identificación personal, es decir, identidades digitales independientes de las personas, empresas o instituciones en cuyo nombre actúan. Su razonamiento fue directo: «Para poder hacerlo, debe quedar claro quién actúa, en nombre de quién, con qué derechos y quién es el responsable». La propuesta aún no tiene rango de ley, pero la señal que envía es difícil de ignorar. La gobernanza de identidades no humanas está dejando de ser una preocupación de ingeniería para convertirse en una cuestión política y regulatoria, y los equipos de TI europeos que ejecutan cargas de trabajo agénticas no pueden permitirse esperar a que los legisladores definan el marco por ellos.

El anuncio de Estonia importa porque pone nombre a un problema que la mayoría de las organizaciones ya está viviendo. Un agente de IA que hoy reserva un vuelo, presenta una declaración fiscal o edita un documento generalmente tiene que tomar prestada la identidad digital completa de su propietario para hacerlo. Esto no es una rareza propia de la adopción temprana; es una brecha estructural en el diseño de la infraestructura cloud, concebida antes de que las cargas de trabajo agénticas existieran a escala.

La magnitud de esa brecha es medible. Según el NHI and Secrets Risk Report para el primer semestre de 2025 de Entro Labs, las identidades no humanas superan ya a las humanas en la empresa media en una proporción de 144 a 1, frente a 92 a 1 del año anterior, un aumento del 56 por ciento en doce meses. El 47 por ciento de esas identidades no humanas tienen más de un año de antigüedad sin rotación de credenciales. El 62 por ciento de las identidades no humanas en AWS no registró actividad en los últimos 90 días, y aun así casi el 9 por ciento tenía acceso a servicios que nunca llegó a utilizar. Una de cada veinte identidades de máquina en AWS cuenta con privilegios administrativos completos. Dos tercios de las empresas han sufrido una brecha a través de una identidad no humana comprometida.

Estos no son riesgos teóricos. Son el resultado predecible de aprovisionar credenciales del mismo modo en que los equipos aprovisionan cómputo: rápido, permisivo y raramente revisado. La IA agéntica agrava el problema de forma estructural, porque los agentes están diseñados para actuar de manera autónoma en múltiples sistemas; esto significa que una sola credencial de agente con privilegios excesivos no es una exposición aislada, sino una ruta de desplazamiento lateral.

El 70 por ciento de las organizaciones otorga a los sistemas de IA más acceso del que concedería a un empleado humano que realizara exactamente el mismo trabajo. Solo el 44 por ciento ha implementado alguna política para gestionar sus agentes de IA, a pesar de que el 92 por ciento reconoce que gobernarlos es crítico para la seguridad empresarial.

Lo que ya exige el marco regulatorio

La NIS2 (Directiva 2022/2555) entró en vigor el 17 de octubre de 2024 y no espera a que la propuesta estonia madure. El artículo 21(2)(i) y (j) obliga a establecer políticas de control de acceso, gestión de activos y uso de autenticación multifactor o continua. La directiva enmarca estos requisitos explícitamente en un modelo de confianza cero, que asume que todos los usuarios, identidades no humanas, proveedores externos y dispositivos que interactúan con los sistemas están potencialmente comprometidos. El acceso de mínimo privilegio no es una recomendación bajo NIS2; es el fundamento declarado de las medidas de gestión de riesgos exigidas.

Las sanciones son proporcionales a la seriedad con que la UE pretende que se aplique. Las entidades esenciales, que incluyen entre otros los sectores de energía, transporte, sanidad y finanzas, se enfrentan a multas de hasta 10 millones de euros o el 2 por ciento de la facturación global anual. Las entidades importantes pueden ser sancionadas con hasta 7 millones de euros o el 1,4 por ciento de la facturación. Los directivos pueden enfrentar responsabilidad personal por negligencia, publicación forzosa de las infracciones y, en algunos estados miembros, sanciones penales. Se estima que dos tercios de las organizaciones que operan en la UE seguían incumpliendo la norma a mediados de 2025, lo que significa que la mayoría de los equipos que leen esto están ejecutando cargas de trabajo agénticas dentro de una brecha regulatoria que ya se ha cerrado sobre el papel.

La NIS2 no menciona explícitamente a los agentes de IA, pero su enfoque de confianza cero es tecnológicamente neutro por diseño. Cualquier credencial capaz de actuar sobre un sistema es una identidad sujeta a las obligaciones de política de control de acceso. Si tu agente puede llamar a una API, escribir en una base de datos o iniciar una transacción, está dentro del ámbito de aplicación.

Un marco práctico para la gestión de identidades de agentes de IA

La propuesta de Estonia resulta útil no como instrumento regulatorio, sino como patrón de diseño. Describe exactamente cómo es una identidad no humana bien gobernada: una credencial que codifica qué puede consultar el agente, qué puede crear o editar, y si puede iniciar transacciones financieras y hasta qué límite. Eso es simplemente IAM con alcance definido, aplicado de forma coherente a las identidades de máquina con el mismo rigor que los equipos ya aplican a las humanas.

Inventario antes de gobernar

No es posible rotar, acotar ni revocar credenciales que no se han catalogado. Comienza con un inventario completo de identidades no humanas en todo tu entorno cloud: cuentas de servicio, claves de API, tokens OAuth, certificados de carga de trabajo y credenciales específicas de agentes. Marca todo lo que tenga más de 90 días sin actividad reciente, todo lo que tenga alcance administrativo y todo aquello cuyo equipo propietario no pueda identificarse. Esta última categoría suele ser la más numerosa.

Aplica el mínimo privilegio en el momento del aprovisionamiento

La brecha de gobernanza en la mayoría de las organizaciones no radica en que los equipos se nieguen a aplicar el mínimo privilegio; radica en que el comportamiento por defecto en el momento del aprovisionamiento es permisivo y el ajuste solo ocurre después de un incidente. Invierte ese comportamiento por defecto. Aprovisiona las credenciales de los agentes con el alcance mínimo necesario para la tarea definida, documenta la justificación y exige un paso de aprobación explícito para ampliar ese alcance. Un agente que resume documentos no necesita acceso de escritura a la base de datos que consulta. Un agente que monitoriza registros no necesita la capacidad de modificar la infraestructura.

Rota y expira según un calendario

Las credenciales estáticas de larga duración son el principal factor de riesgo en las identidades no humanas. El 47 por ciento de las NHI tienen credenciales con más de un año de antigüedad sin rotación. Establece la vida útil máxima de las credenciales en el momento del aprovisionamiento, no como tarea de remediación. Para cargas de trabajo agénticas en infraestructura cloud, los tokens de corta duración emitidos mediante federación de identidad de carga de trabajo son preferibles a las claves de API estáticas siempre que la plataforma lo permita.

Registros de auditoría que identifiquen al agente, no al propietario

Esta es la idea central de la propuesta de Estonia y se aplica directamente a la infraestructura empresarial actual. Si tu registro de auditoría recoge que una cuenta humana realizó una acción porque un agente tomó prestadas las credenciales de esa cuenta, ese registro es inútil para la investigación de incidentes e incumple los requisitos de control de acceso de la NIS2. Las credenciales de los agentes deben ser distintas, con nombre propio y trazables hasta una carga de trabajo, un propietario y un propósito específicos. Cuando un agente actúa, el registro debe mostrar que fue el agente quien actuó, no el humano cuyo token heredó.

Integra la revocación en el pipeline de despliegue

La revocación de credenciales rara vez se prueba hasta que resulta urgente. Intégrala en tu proceso de despliegue estándar: cada credencial de agente debe tener un procedimiento de revocación documentado, un responsable designado para ejecutarlo y una ruta probada para deshabilitarla en minutos, no en horas. Los plazos de la NIS2, aviso temprano en 24 horas y notificación de incidente en 72 horas, presuponen que puedes actuar con rapidez ante una identidad comprometida. Si no puedes revocar una credencial de agente en menos de una hora, no estás cumpliendo el espíritu de esos requisitos.

Ejecutar esto en infraestructura europea

Ejecutamos cargas de trabajo agénticas para clientes en nuestros centros de Múnich (MUC1) y Madrid (MAD1), ambos con certificación ISO 27001 y plena jurisdicción legal de la UE. Cuando el agente de IA de un cliente llama a nuestras APIs gestionadas, esa llamada queda registrada contra una identidad de máquina con nombre propio, no contra una cuenta de servicio compartida. La capa de IAM que exponemos a través de nuestra plataforma Cloud está diseñada para admitir credenciales específicas de carga de trabajo con alcances definidos y ciclos de vida cortos, porque eso es lo que nuestras propias cargas de trabajo internas requieren. Usamos NATS JetStream como columna vertebral interna de streaming de eventos, y cada servicio que publica o consume desde él se autentica con una credencial de alcance acotado vinculada a la carga de trabajo específica, no con un token de equipo.

La propuesta de Estonia tardará en convertirse en ley y su ámbito de aplicación sigue sin definirse. Pero el problema que nombra ya está dentro de tu infraestructura. Los equipos que construyan ahora una gobernanza limpia de identidades no humanas, antes de que se endurezca la aplicación de la NIS2 y antes de que la IA agéntica multiplique aún más la superficie de credenciales, no tendrán que improvisar cuando llegue la próxima directiva. Los que esperen harán triaje en lugar de arquitectura.