Actualizado el 25/10/2026
Solo el 43% hizo una revisión completa de permisos antes de activar la IA
Un estudio de Syskit, publicado por Infosecurity Magazine, indica que solo el 43% de los 327 responsables de decisiones de TI y seguridad encuestados, en organizaciones con 500 o más empleados en EE. UU. y el Reino Unido, completaron una revisión integral de permisos y del riesgo de uso compartido excesivo antes de implementar herramientas de IA, como Copilot, sobre datos de Microsoft 365. Visto desde el otro lado, el 57% admitió haber hecho solo una revisión parcial, o ninguna, antes de activar la herramienta sobre la base de archivos, carpetas y buzones de correo que la empresa acumuló a lo largo de los años.
La mecánica detrás de esto es simple, y es justamente por ser simple que incomoda. Un agente de IA responde con base en lo que tiene autorización para leer, de modo que, si la autorización es amplia, la respuesta también lo es. El estudio señala como puntos recurrentes en estos entornos los permisos heredados antiguos, las carpetas compartidas "con toda la empresa" y los archivos de excolaboradores que siguen siendo accesibles para usuarios activos (35% de los encuestados), y nada de esto requiere un atacante externo para convertirse en un problema de negocio.
Vale la pena llevar una pregunta a la próxima reunión de directorio: si un colaborador le pide al asistente corporativo un resumen de los márgenes del último trimestre, ¿qué exactamente tendría permiso de encontrar en el camino?
Qué significa esta noticia para quien decide
Para socios, propietarios y C-levels, el impacto aparece primero en margen, contrato y reputación, mucho antes de aparecer en cualquier panel técnico. Documentos como listas de precios, propuestas en negociación, nómina y datos de clientes circulan en entornos colaborativos desde siempre, y la diferencia es que el agente de IA elimina la fricción de la búsqueda, entregando en segundos aquello que antes nadie encontraría sin saber la ruta exacta de la carpeta.
En la práctica, el pedido de "una IA de la empresa" suele nacer de un área de negocio con prisa legítima por ganar productividad, y tiende a ser aprobado en una reunión corta, con foco en licencia, costo y plazo. La pregunta sobre qué datos podrá responder el asistente rara vez entra en esa agenda, no por descuido, sino porque parece un detalle de implementación cuando en realidad es una decisión de gobernanza y compliance.
Cómo preparar el terreno antes de la primera pregunta al agente
El primer movimiento es un inventario de identidades, es decir, la lista clara de quién existe en el entorno, quién ya salió de la empresa, qué cuentas de servicio están activas y qué ve realmente cada grupo de acceso. Ese inventario suele revelar mucho en poco tiempo, porque las cuentas huérfanas y los grupos heredados aparecen con facilidad cuando alguien finalmente mira la lista entera de una vez.
Sobre esa base entran las capacidades de ciberseguridad gestionada que sostienen el día a día: MFA (Multi-Factor Authentication, autenticación multifactor) para bloquear el uso de cuentas heredadas o reactivadas, monitoreo proactivo continuo para señalar accesos y volúmenes de lectura fuera del estándar, EDR (Endpoint Detection and Response, detección y respuesta en endpoints) en los equipos donde esos documentos terminan siendo descargados, y gestión de parches para mantener el entorno elegible a las protecciones más recientes ofrecidas por la plataforma.
¿Su empresa lograría explicar, en una auditoría, qué puede leer el agente de IA?
Esa es la pregunta que separa la adopción de IA que genera productividad de aquella que genera retrabajo. Responder bien no exige detener el proyecto, exige apenas invertirlo en el orden correcto: inventario de identidades y revisión de permisos primero, piloto con un grupo pequeño después, y liberación amplia cuando el mapa de accesos esté documentado.
En la práctica, un modelo de TI gestionada apoya exactamente ese ciclo, combinando inventario de identidades, revisión periódica de permisos, MFA aplicado de forma consistente, monitoreo proactivo continuo, gestión de parches, EDR en los endpoints, rutina de backup probada y capacitación de los equipos sobre qué vale y qué no vale preguntarle a un asistente corporativo. La buena noticia es que ninguna de esas capacidades es exótica ni demorada de estructurar, y el equipo de TI interno sigue al mando de la estrategia, ganando retaguardia para ejecutar la parte operativa con método.
Referencias
Preguntas frecuentes
¿Por qué revisar los permisos de acceso antes de activar un agente de IA?
Un agente de IA responde con base en los archivos que tiene autorización para leer, por lo que los permisos amplios producen respuestas amplias. Revisar los accesos antes de la activación evita que contratos, nómina y propuestas comerciales aparezcan ante quienes nunca deberían verlos. Según un estudio de Syskit difundido por Infosecurity Magazine, solo el 43% de los encuestados, en organizaciones con 500 o más empleados en EE. UU. y el Reino Unido, completaron una revisión integral de permisos antes de implementar herramientas de IA como Copilot sobre datos de Microsoft 365.
¿Qué incluye un inventario de identidades?
Un inventario de identidades lista todas las cuentas activas en el entorno, incluyendo colaboradores actuales, excolaboradores, proveedores y cuentas de servicio, junto con los grupos de acceso de cada una y lo que esos grupos logran ver. El objetivo es descubrir cuentas huérfanas, herencias de permisos antiguas y carpetas compartidas de forma amplia sin necesidad. Es el punto de partida natural de cualquier proyecto de gobernanza de acceso.
¿Qué capacidades de TI gestionada sostienen una adopción de IA más segura?
Las principales son revisión periódica de permisos, inventario de identidades, autenticación multifactor, monitoreo proactivo continuo de accesos fuera del estándar, EDR en los endpoints, gestión de parches y backup con restauración probada. Sumadas, reducen la exposición interna de datos y generan la traza de evidencias que auditoría y compliance solicitan. La capacitación de los equipos completa el conjunto, porque define qué tiene sentido preguntarle a un asistente corporativo.
Si quiere comenzar por el mapa de accesos antes del próximo paso de IA, Zamak ofrece un Diagnóstico Estratégico de TI, Sin Compromiso.