La ilusión de las dos capas
La mayoría de las plataformas empresariales de agentes de IA ofrecen “gobernanza.” Mire más de cerca y encontrará que ofrecen gestión: identidad y permisos de agentes. Eso son dos capas. Capas importantes — pero solo dos.
Aquí está la distinción que importa:
La gestión de agentes responde: “¿Quién puede acceder a este agente? ¿Qué tiene permitido hacer?”
La gobernanza de agentes responde: “¿Este agente cumple con las regulaciones? ¿Cuál es su puntuación? ¿Qué evidencia genera para los auditores? ¿Qué sucede cuando falla? ¿Cumple con los requisitos de la EU AI Act?”
La gestión es necesaria. No es suficiente.
El stack de 10 capas
La gobernanza completa de agentes requiere 10 capas, no 2:
| Capa | Qué hace | ¿Gestión? | ¿Gobernanza? |
|---|---|---|---|
| 1. Identidad y autenticación | SSO/SAML/OIDC, identidad de agente | Sí | Sí |
| 2. Permisos y RBAC | 6 roles, 24 permisos, acceso a herramientas | Sí | Sí |
| 3. Cifrado | BYOK, AES-256-GCM en reposo y en tránsito | No | Sí |
| 4. Residencia de datos | Región configurable, VPC, air-gapped | No | Sí |
| 5. Gestión de entornos | Aislamiento dev/staging/prod | No | Sí |
| 6. Protocolos de escalamiento | Disparadores de humano en el circuito, umbrales de riesgo | No | Sí |
| 7. Puertas de aprobación de herramientas | Flujos de aprobación por herramienta, por rol | No | Sí |
| 8. Registro de auditoría | Más de 30 tipos de eventos, inmutable, estructurado | No | Sí |
| 9. Línea de tiempo de cumplimiento | Seguimiento de plazos regulatorios, evidencia de hitos | No | Sí |
| 10. Exportación de evidencia | 17 controles TSC, 8 categorías, lista para auditores | No | Sí |
| 11. Mapeo regulatorio | EU AI Act, NIST RMF, ISO 42001 mapeados | No | Sí |
La gestión cubre las capas 1-2. Eso es el 18% del stack de gobernanza. El 82% restante — cifrado, residencia de datos, escalamiento, puertas de aprobación, registro de auditoría, cumplimiento, exportación de evidencia y mapeo regulatorio — requiere infraestructura de gobernanza construida específicamente para ese propósito.
Por qué el cumplimiento necesita gobernanza
La EU AI Act no pregunta sobre identidad de agentes. Pregunta sobre:
- Gestión de riesgos (Art. 9) — requiere un marco de gobernanza, no solo permisos
- Mantenimiento de registros (Art. 12) — requiere registro de auditoría estructurado, no solo registros de identidad
- Supervisión humana (Art. 14) — requiere protocolos de escalamiento y puertas de aprobación, no solo asignaciones de roles
- Evaluación de conformidad (Art. 43) — requiere medición cuantitativa (como GovernanceScore), no aprobado/reprobado binario
De manera similar, los auditores SOC 2 no preguntan “¿quién puede acceder al agente?” Piden 17 controles TSC mapeados en 8 categorías con una cadena de evidencia estructurada. La gestión proporciona la parte de identidad. La gobernanza proporciona los otros 16 controles.
Por qué los auditores necesitan evidencia, no permisos
Cuando su auditor llega para SOC 2 Type II, necesita:
- Evidencia estructurada en 17 criterios de servicios de confianza
- Pistas de auditoría mapeadas a 8 categorías de cumplimiento
- Una línea de tiempo de cumplimiento mostrando cuándo se implementaron los controles
- Exportación de evidencia en un formato que puedan revisar
Las plataformas de gestión proporcionan registros de identidad y acceso. Eso satisface quizás 2 de 17 controles TSC. Las plataformas de gobernanza proporcionan la cadena de evidencia completa — estructurada, exportable y mapeada a los marcos que los auditores evalúan.
Por qué los sistemas multi-agente necesitan salvaguardas
Cuando cinco agentes colaboran en una tarea, la gestión le dice quién es cada agente y a qué tiene acceso. Eso es útil pero incompleto.
La gobernanza le dice:
- La detección de ciclos previene bucles infinitos de agentes antes de que consuman recursos
- El aislamiento de memoria asegura que los agentes solo accedan a datos dentro de su alcance
- Los protocolos de escalamiento enrutan a humanos cuando las transferencias agente-a-agente exceden umbrales de riesgo
- Las pistas de auditoría por agente rastrean exactamente qué hizo cada agente en la colaboración
La EU AI Act no tiene disposiciones para responsabilidad multi-agente (una brecha regulatoria reconocida). Las plataformas de gestión no abordan esta brecha. Las plataformas de gobernanza sí.
El marco de decisión
Elija gestión si:
- Necesita supervisión básica de agentes (identidad, permisos)
- Sus agentes operan en entornos no regulados
- No necesita evidencia de cumplimiento para auditores
- Sus agentes trabajan independientemente (sin flujos de trabajo multi-agente)
Elija gobernanza si:
- Opera en industrias reguladas (salud, servicios financieros, gobierno)
- Necesita cumplir con EU AI Act, NIST RMF o ISO 42001
- Los auditores requieren evidencia estructurada (SOC 2, HIPAA, GDPR)
- Ejecuta flujos de trabajo multi-agente que necesitan salvaguardas
- Necesita medición cuantitativa de gobernanza (GovernanceScore)
- Requiere despliegue auto-alojado o air-gapped
Toda plataforma de gobernanza incluye gestión. No toda plataforma de gestión incluye gobernanza.
Vea la distinción completa en Gestión vs. gobernanza. Mida su postura de gobernanza en GovernanceScore.