Este artículo resume las ideas clave de una entrevista con Max Romanenko, director de ingeniería del proveedor de bases de datos multimodelo EDB. La discusión se centra en cómo las empresas reguladas pueden eliminar los riesgos de la IA agente, incluida la fuga de datos confidenciales y las acciones extralimitadas que no cumplen con las normas, a través de controles sólidos de la capa de infraestructura y datos.
Diferencias fundamentales entre agentes de IA, usuarios humanos y aplicaciones tradicionales
Los agentes de IA se diferencian fundamentalmente de los operadores humanos y de las aplicaciones convencionales. Operando las 24 horas del día, los 7 días de la semana con una velocidad de ejecución y una fidelidad mucho mayores, los agentes de IA están preparados para expandir la fuerza laboral digital global en más de un 34 % en tres años, una escala de crecimiento que la fuerza laboral humana tardó décadas en lograr. Esta rápida adopción exige marcos completamente nuevos para el control de acceso, la gobernanza de decisiones y el diseño de infraestructura.
Las aplicaciones tradicionales operan dentro de parámetros fijos y predecibles, mientras que los usuarios humanos actúan con un contexto empresarial claro basado en roles. Por el contrario, los agentes de IA funcionan sin límites predefinidos: interpretan tareas de forma autónoma, determinan los datos contextuales necesarios y recuperan información en vivo sin la aprobación humana paso a paso. La validación de credenciales tradicional ya no es suficiente. Los sistemas de TI deben verificar adicionalmentesi el comportamiento de un agente coincide con el alcance de su tarea asignada. Por ejemplo, un agente de detección de fraude bancario solo debe acceder a los registros de clientes relevantes para su caso en curso, con una estricta gobernanza de datos en línea que bloquea el acceso a datos cruzados no relacionados.
Gestión de acceso e identidad específica del agente (distinta de la IAM humana)
Los agentes de IA requieren sistemas de control de acceso contextual y de identidad dedicados y no pueden depender de marcos de IAM humanos convencionales. Los agentes frecuentemente ejecutan cientos de tareas diversas cada hora, lo que requiere permisos ajustados dinámicamente y conscientes del contexto centrados entarea específicay precisión de acceso basada en escenarios.
Un problema generalizado de seguridad empresarial es otorgar a los agentes amplios privilegios de cuentas de servicio o permisos completos de usuario humano heredados, validando sólo las credenciales en lugar de la legitimidad del acceso a datos basado en tareas. A los agentes con distintas funciones comerciales, como análisis de fraude bancario y servicio al cliente, se les deben asignar identidades aisladas y límites de permisos personalizados para construir barreras de seguridad de datos rigurosas.
Definición y aplicación de límites de permisos para agentes de IA entre sistemas
Los agentes de IA que operan en múltiples sistemas requierenlímites de acceso preventivos y con un propósito determinado. Los agentes solo deben acceder a los datos esenciales para su tarea inmediata, incluso si el usuario o la aplicación que los invoca tiene privilegios más amplios. Los permisos deben limitarse estrictamente a las necesidades de las tareas en tiempo real y caducar al finalizar la tarea.
Las políticas genéricas de la capa de aplicación no logran gobernar la actividad de los agentes que abarca API, sistemas de recuperación y bases de datos. La aplicación de la seguridad debe trasladarse a la capa de datos, donde residen los registros confidenciales y se toman las decisiones finales de acceso. EDB aprovecha los permisos nativos basados en roles y la seguridad a nivel de fila (RLS) de PostgreSQL para imponer la gobernanza del agente a nivel de base de datos, en lugar de depender de planos de control no originales. Este enfoque equilibra la seguridad y el rendimiento, con una capa integral de gobernanza de agentes programada para un lanzamiento futuro.
Mitigar los riesgos de cumplimiento derivados de los permisos humanos heredados
Las arquitecturas de permisos empresariales heredadas están diseñadas para empleados humanos confiables y aplicaciones deterministas, no para agentes de IA autónomos y que se comportan dinámicamente. Esto crea graves riesgos de cumplimiento para las industrias reguladas: los agentes de servicios financieros y de atención médica pueden acceder legalmente a datos confidenciales de pacientes o clientes a través de credenciales válidas, pero exceden el alcance comercial permitido, lo que desencadena violaciones de cumplimiento.
La solución definitiva es proporcionar a cada agente de IA una identidad independiente única, privilegios de tareas bloqueadas y permisos de lectura/escritura separados. Los controles a nivel de fila a nivel de base de datos imponen una visibilidad precisa de los datos, evitando que los agentes se conviertan en desvíos no regulados de los sistemas de cumplimiento empresarial.
Estándares de auditoría, control a nivel de fila y políticas para entornos de IA regulados
La auditoría de agentes de grado de cumplimiento requiere trazabilidad de extremo a extremo, registro completo de la identidad del agente, fuente de invocación, datos a los que se accede, políticas de autorización y acciones posteriores para reconstruir el contexto empresarial completo, una capacidad que los registros de acceso básicos no pueden proporcionar. La gobernanza eficaz depende deaplicación de la capa de datos nativaa través de los controles integrados de PostgreSQL, en lugar de una auditoría retrospectiva.
Los sistemas también deben diferenciar los niveles de riesgo entre las acciones de lectura y escritura del agente con permisos adaptados al escenario. Por ejemplo, el acceso a los datos de los clientes para la investigación de fraudes difiere de las consultas rutinarias de servicio al cliente, del mismo modo que el acceso a los datos clínicos y administrativos de los pacientes está aislado en el sector de la atención sanitaria. La seguridad a nivel de fila bloquea el acceso fuera de alcance en el origen, restringiendo a los agentes solo a registros coincidentes con tareas y eliminando riesgos de exposición masiva de datos confidenciales.
Adopción segura de IA para industrias reguladas a través de una infraestructura de datos soberana
Las organizaciones financieras, de telecomunicaciones y de atención sanitaria deben cumplir el principio básico:llevar la IA a los datos, no los datos a la IA. Los datos confidenciales regulados nunca deben migrarse a plataformas externas no controladas, lo que rompe los límites de la gobernanza soberana e introduce riesgos de exposición.
Las empresas deben implementar inteligencia artificial y análisis sobre sus bases de datos gobernadas y confiables existentes. La unificación de datos transaccionales, cargas de trabajo analíticas e IA agente en una única arquitectura compatible elimina plataformas fragmentadas y modelos de control inconsistentes, evitando la migración forzada de datos y la dependencia de proveedores.
Soberanía de datos: de los términos legales a la aplicación técnica
La soberanía de los datos no puede seguir siendo simplemente un requisito legal o contractual: debe estar integrada en la lógica del sistema de ejecución. Los acuerdos legales no pueden restringir el comportamiento de los agentes, como la agregación de datos no autorizada, las consultas entre dominios o la fuga de datos regulados. Las empresas reguladas deben hacer cumplir controles soberanos en la capa de datos a través de permisos de bases de datos nativas y seguridad a nivel de fila para ofrecer restricciones de seguridad obligatorias en tiempo real.
El papel de los agentes de IA en la gobernanza de la soberanía
Los agentes de IA pueden ayudar a la gestión de la soberanía de los datos, peronunca debe servir como la autoridad final. Identifican eficazmente patrones de acceso anómalos, señalan el uso de datos desalineados y detectan configuraciones obsoletas, lo que reduce la carga de la inspección manual para entornos de datos modernos y complejos.
Sin embargo, las reglas fundamentales de soberanía y los límites de seguridad deben ser definidos y controlados por administradores humanos. Los agentes de IA operan estrictamente dentro de los marcos de gobernanza establecidos por la empresa y no tienen autoridad para anular o eludir las políticas de cumplimiento y soberanía establecidas.
Beijing Qianxing Jietong Tecnología Co., Ltd.
Sandy Yang/Director de Estrategia Global
WhatsApp/WeChat: +86 13426366826
Correo electrónico: yangyd@qianxingdata.com
Sitio web: www.qianxingdata.com/www.storagesserver.com
Enfoque empresarial:
Distribución de productos TIC/Integración de sistemas y servicios/Soluciones de infraestructura
Con más de 20 años de experiencia en distribución de TI, nos asociamos con marcas líderes a nivel mundial para ofrecer productos confiables y servicios profesionales.
“Uso de la tecnología para construir un mundo inteligente” ¡Su proveedor de servicios de productos TIC de confianza!
¡Su mensaje debe tener entre 20 y 3.000 caracteres!
Spanish
