¿Qué es la gestión del ciclo de vida de los agentes?

La ALM ofrece a las organizaciones una forma estructurada de definir cómo se diseñan los agentes, a qué datos y herramientas pueden acceder, cómo se evalúa su comportamiento y cómo se actualizan o retiran.

En el ámbito empresarial, la gestión del ciclo de vida de los agentes se basa en prácticas habituales relacionadas con el software, la seguridad y las operaciones de IA, entre las que se incluyen el ciclo de vida del desarrollo de software (SDLC), DevSecOps y MLOps. Sin embargo, los agentes de IA requieren más controles, ya que pueden utilizar modelos de lenguaje a gran escala (LLM), utilizar herramientas, mantener el contexto, planificar tareas de varios pasos y automatizar acciones. A diferencia de las aplicaciones tradicionales, los agentes pueden producir diferentes outputs para entradas similares o elegir diferentes pasos en función de la intención del usuario, el contexto disponible o los sistemas conectados.

Un agente de inteligencia artificial (IA) es un sistema que realiza tareas de forma autónoma mediante el diseño de flujos de trabajo con las herramientas disponibles. Los agentes de IA perciben el contexto, razonan en función de los objetivos y las limitaciones, y actúan mediante herramientas o servicios para llevar a cabo tareas. Pueden utilizar uno o más modelos de lenguaje de gran tamaño para interpretar la intención del usuario, planificar los próximos pasos, recuperar información, llamar a API, actualizar sistemas y generar respuestas.

Al tratarse de sistemas adaptativos, los agentes de IA requieren una supervisión continua. Dado que son capaces de razonar, actuar, utilizar herramientas y adaptar su comportamiento, las organizaciones deben gestionar algo más que el código. Tienen que gestionar todo el sistema de agentes, incluidas las instrucciones, los modelos, las fuentes de datos, las integraciones, los permisos, las pruebas de auditoría y las medidas de seguridad operativas.

En los negocios, los agentes de IA se utilizan para el soporte de TI, el servicio de atención al cliente, las finanzas, el cumplimiento, los recursos humanos, el desarrollo de software, las operaciones y el trabajo intelectual. A diferencia de los chatbots básicos, los agentes a menudo pueden tomar medidas, como recuperar registros, abrir tickets, actualizar sistemas, generar informes o solicitar aprobaciones. Algunos agentes de IA se describen como agentes autónomos o sistemas autónomos, pero en entornos empresariales, la mayoría de los sistemas de agentes están diseñados con autonomía controlada, permisos definidos y supervisión humana para acciones de mayor riesgo.

La gestión de modelos se centra en el propio modelo de IA, incluyendo versiones del modelo, rendimiento, implementación y monitorización. La gestión del ciclo de vida de los agentes es más amplia. Gestiona todo el sistema de agentes en torno al modelo, incluidas las instrucciones, las herramientas, la memoria, las fuentes de datos, las integraciones del sistema, el control de acceso, los registros de auditoría, las evaluaciones, la respuesta a incidentes y el desmantelamiento.

En otras palabras, la gestión del modelo pregunta si el modelo está funcionando como se espera. La gestión del ciclo de vida de los agentes pregunta si todo el agente (su modelo, sus permisos, sus acciones y su contexto empresarial) funciona de forma segura, fiable y según lo previsto.

La gestión del ciclo de vida de los agentes es importante porque los agentes de IA están pasando de proyectos piloto aislados a implementaciones empresariales a mayor escala. A medida que eso sucede, la supervisión informal se vuelve más difícil de mantener. Las organizaciones necesitan un método coherente para saber qué agentes existen, quién es su responsable, a qué tienen acceso, cuál es su rendimiento y cuándo deben actualizarse o retirarse.

Las investigaciones indican que la adopción de agentes se está acelerando a un ritmo mayor que el de muchos programas de gobierno. El 2026 Tech Leader Study de IBM concluyó que los directores de sistemas de información y directores de tecnología encuestados esperan un aumento del 38 % en los agentes de IA implementados para 2027, mientras que solo el 11 % dijo estar completamente preparado para ese nivel de escala. La investigación también reveló que el 77 % de las organizaciones encuestadas afirmaron que la adopción de la IA ya está superando sus capacidades actuales de gobierno. Del mismo modo, una encuesta de 2026 a líderes empresariales y de TI reveló que solo el 21 % de las empresas encuestadas afirmaron contar con un modelo de gobierno maduro para gestionar los riesgos de la IA agéntica.¹

Estas carencias son importantes porque los agentes de IA no son herramientas de software estáticas. El software tradicional suele seguir unas reglas definidas: si un usuario realiza una acción concreta, la aplicación responde de forma predecible. Los agentes de IA son diferentes. Pueden producir diferentes outputs para entradas similares. También pueden elegir diferentes pasos en función de la solicitud del usuario, el contexto disponible, las interacciones previas o las herramientas conectadas.

Esto genera varias necesidades de gestión:

• Seguridad: es posible que los agentes necesiten acceder a los sistemas de la empresa, a los datos, a las API o a las cuentas de servicio. Sin un control de acceso adecuado, pueden convertirse en identidades no humanas con permisos excesivos.
• Fiabilidad: los agentes pueden cometer errores, generar alucinaciones, seleccionar la herramienta equivocada o fallar cuando se produce un cambio en la integración.
• Gobierno: las organizaciones necesitan saber qué agentes están en uso, quién es su propietario, a qué pueden acceder y si cumplen con las políticas internas o los requisitos normativos.
• Trazabilidad: los equipos necesitan registros de auditoría que muestren lo que hizo un agente, qué herramientas utilizó, a qué datos accedió y por qué se produjo una decisión o acción.
• Resiliencia operativa: si un agente se comporta de forma inesperada, los equipos deben disponer de medios para detenerlo, revocar su acceso, revertir los cambios, investigar el problema y restablecer el servicio.

La ALM ayuda a cubrir estas necesidades aplicando estructura a todo el ciclo de vida del agente. Ayuda a las empresas a ir más allá de las revisiones ad hoc mediante la creación de procesos repetibles para aprobar, probar, implementar, monitorizar, actualizar y retirar agentes a lo largo de su ciclo de vida. Además, ayuda a las organizaciones a gestionar riesgos como la IA en la sombra , los permisos excesivos, la escasa observabilidad, los cambios de instrucción, las modificaciones en las versiones de los modelos, la latencia, la exposición de datos y el comportamiento incoherente.

Un modelo práctico de ALM puede organizarse en torno a estas fases clave:

El ciclo de vida comienza identificando el problema empresarial que el agente debe resolver y determinando si un agente es la solución adecuada. Algunos problemas se resuelven mejor con la automatización tradicional, la búsqueda, los flujos de trabajo basados en reglas o una simple instrucción.

Durante la planificación, los equipos definen el propósito del agente, los usuarios, el propietario del negocio, las métricas de éxito y el perfil de riesgo. También determinan el nivel adecuado de autonomía. Por ejemplo, un agente que resume documentos internos requiere menos controles que uno que actualiza los registros de los clientes o activa flujos de trabajo financieros.

Las actividades típicas de planificación incluyen:

• Definición de los resultados empresariales
• Establecer KPI como la precisión, la finalización de las tareas, la latencia, el coste y la satisfacción del usuario
• Identificación de fuentes de datos e integraciones de sistemas
• Establecer límites de autoridad y puntos de aprobación humana
• Evaluación de los requisitos de cumplimiento
• Decidir cómo se evaluará al agente antes de su lanzamiento

En esta etapa, los equipos diseñan y configuran los componentes que componen el sistema de agentes. Esto incluye los modelos que utilizará el agente, las instrucciones que guían su comportamiento, las herramientas a las que puede recurrir, los datos que puede recuperar y los flujos de trabajo que puede ejecutar.

La configuración de agentes suele incluir:

• Plantillas de instrucciones e indicaciones del sistema
• Selección de modelos y seguimiento de versiones de modelos
• Definiciones de herramientas y esquemas de API
• Políticas de gestión de memoria y contexto
• Generación aumentada por recuperación o conexiones basadas en el conocimiento
• Control de acceso y configuración de identidades
• Información de registro, trazado e instrumentación de telemetría
• Rutas de escalado para revisión humana

Un principio clave es que las instrucciones, las herramientas, los modelos y las políticas deben tratarse como elementos gestionados del ciclo de vida en lugar de como detalles de configuración informales. Los cambios en cualquiera de estos elementos pueden afectar al comportamiento, por lo que deben versionarse, reseñas y documentarse.

En el ámbito empresarial, a los agentes solo se les debe conceder el acceso a las herramientas y a los datos que sea necesario para el fin autorizado. Los gestores humanos necesitan utilizar controles para sus agentes, como el control de acceso basado en roles, el gobierno de cuentas de servicio y el acceso justo a tiempo cuando corresponda.

Probar un agente de IA requiere más que comprobar si el software funciona. Los equipos también deben evaluar si el agente se comporta como se espera en una serie de tareas, entradas, usuarios y condiciones del sistema.

Esta etapa puede incluir:

• Pruebas funcionales de herramientas e integraciones
• Evaluación de instrucción y respuesta
• Pruebas de regresión
• Pruebas de seguridad para inyección de prompts y fuga de datos
• Comprobaciones de alucinaciones y de conexión con la realidad
• Pruebas de cumplimiento de políticas
• Pruebas de aprobación con intervención humana
• Pruebas de carga
• Pruebas A/B
• Comparaciones entre campeón y aspirante
• Red teaming para casos de uso de alto riesgo

Una vez que un agente pase las comprobaciones necesarias, puede implementarse en un entorno controlado. La implementación incluye poner el agente a disposición de los usuarios o sistemas, aprovisionar su entorno de tiempo de ejecución y habilitar las identidades, permisos e integraciones que necesita para funcionar.

Las prácticas comunes incluyen el lanzamiento a través de un pipeline de CI/CD, la separación de los entornos de desarrollo, prueba y producción, la fijación de versiones para modelos e instrucciones, la implementación por fases, los indicadores de características, los planes de reversión, la gestión de secretos y el control de acceso en tiempo de ejecución. Es posible que algunos agentes también necesiten un entorno aislado, sobre todo si ejecutan código, procesan datos confidenciales o utilizan herramientas externas.

El aprovisionamiento reviste especial importancia, ya que los agentes pueden actuar a través de API o de aplicaciones empresariales. Las credenciales, cuentas de servicio y permisos deben estar adaptados al rol aprobado por el agente. Las acciones sensibles pueden requerir aprobaciones, límites de velocidad o interruptores de emergencia.

Después de la implementación, la ALM continúa a través de la observabilidad, la evaluación y la mejora. Los equipos monitorizan tanto la salud técnica como la calidad del comportamiento, incluyendo:

• Entradas, outputs y seguimientos de conversaciones
• Llamadas a herramientas y respuestas a herramientas
• Latencia y rendimiento
• Tasas de error y tipos de fallos
• Uso y coste del token
• Tasas de éxito de las tareas
• Feedback de los usuarios
• Violaciones de las políticas
• Indicadores de alucinación o de conexión con la realidad
• Tasas de escalado y aprobación
• Eventos de seguridad y patrones anómalos de acceso

Si la monitorización muestra un rendimiento degradado, un comportamiento inesperado o necesidades empresariales cambiantes, los equipos pueden refinar las instrucciones, actualizar los modelos, ajustar las fuentes de recuperación, cambiar los permisos o modificar los flujos de trabajo. Estos cambios deben seguir los mismos controles de ciclo de vida que la versión original: pruebas, evaluación, aprobación y documentación.

Con el tiempo, puede que los agentes tengan que jubilarse. El desmantelamiento debe incluir la desactivación de endpoints, la revocación de credenciales, la eliminación de cuentas de servicio, la conservación de los registros necesarios, el archivo de pruebas, la notificación a los usuarios y la actualización de catálogos.

La gestión del ciclo de vida de los agentes se basa en una combinación de capacidades de desarrollo, seguridad, monitorización y gobierno. Juntas, estas herramientas ayudan a las organizaciones a crear agentes, controlar a qué pueden acceder, comprender cómo se comportan y gestionarlos a lo largo del tiempo.

Las herramientas de desarrollo ayudan a los equipos a diseñar la forma en que los agentes razonan, planifican y realizan tareas. Pueden admitir plantillas de instrucciones, memoria, llamadas a herramientas, orquestación de flujos de trabajo y pasos de aprobación humana. En los entornos empresariales, estas herramientas suelen conectarse a los procesos de entrega de software para que los cambios de los agentes puedan revisarse, probarse y publicarse a través de una canalización de CI/CD controlada.

Los agentes dependen de algo más que del código. Su comportamiento puede variar cuando se modifica una instrucción, una versión del modelo, un esquema de herramienta, una fuente de datos o una configuración. La gestión de versiones permite realizar un seguimiento de las instrucciones, los modelos, las herramientas, las fuentes de conocimiento, los conjuntos de datos y el historial de versiones.

Los agentes suelen conectarse a sistemas de tickets, plataformas CRM, bases de datos, repositorios de documentos y herramientas de flujo de trabajo. Estas integraciones deben contar con esquemas, permisos y registros de auditoría bien definidos. Estándares como el Model Context Protocol (MCP) pueden ayudar a que el acceso a las herramientas sea más coherente al definir cómo los agentes descubren y llaman a las herramientas, los recursos y las instrucciones. Las pasarelas pueden centralizar la autenticación, la autorización, el enrutamiento, los límites de velocidad, las aprobaciones, el registro de eventos y el corte de emergencia.

Dado que los agentes pueden actuar dentro de los sistemas empresariales, necesitan identidades y permisos gestionados. Las capacidades clave incluyen control de acceso basado en roles, permisos de privilegios mínimos, acceso justo a tiempo, gestión de secretos, gobierno de cuentas de servicio, flujos de trabajo de aprobación y revisiones periódicas de acceso. El objetivo es ayudar a garantizar que cada agente pueda acceder solo a lo que necesita para su propósito aprobado.

Las herramientas de evaluación miden si los agentes se comportan según lo previsto antes y después de su implementación. Esto podría incluir pruebas de regresión, pruebas A/B, pruebas de inyección de instrucciones, comprobaciones de alucinación y conexión a tierra, comprobaciones de cumplimiento de políticas, revisión humana y red teaming. Las pruebas deben evaluar tanto los resultados finales como los pasos intermedios, como las llamadas a herramientas y las decisiones de enrutamiento.

Las herramientas de observabilidad recogen datos de entrada, outputs, trazas, llamadas a herramientas, latencia, errores, uso de tokens, costes, incumplimientos de políticas, escalaciones y eventos de seguridad. Estos datos sirven de apoyo para la resolución de problemas, los registros de auditoría y la respuesta ante incidentes. Los controles operativos, como las alertas, los manuales de procedimientos, los procedimientos de reversión, los "circuit breakers" y los "kill switches", ayudan a los equipos a contener los problemas y restablecer el servicio.

Las herramientas de gobierno de la IA mantienen inventarios de agentes aprobados, propietarios, niveles de riesgo, versiones de modelos, instrucciones, herramientas, permisos, evaluaciones, aprobaciones y estado de desmantelamiento. La catalogación cobra especial importancia a medida que las organizaciones pasan de pequeños proyectos piloto a grandes flotas de agentes.

La gestión del ciclo de vida de los agentes ayuda a las organizaciones a gestionar los agentes de IA con mayor coherencia, visibilidad y control. Los beneficios clave incluyen:

• Mayor visibilidad: el inventario de agentes muestra qué agentes existen, quién es su propietario, qué funciones desempeñan, a qué sistemas tienen acceso y qué versiones están activas.
• Mayor seguridad:el control de acceso, el control de acceso basado en roles, el privilegio mínimo y el acceso justo a tiempo ayudan a reducir los riesgos de las cuentas de servicio con permisos excesivos y las identidades no humanas no gestionadas.
• Mejor trazabilidad: los registros de auditoría y de linaje ayudan a los equipos a comprender qué ha hecho un agente, qué herramientas ha utilizado y qué cambios se han producido entre las distintas versiones.
• Lanzamientos más fiables: las pruebas de regresión, las puertas de evaluación y los controles de pipeline de CI/CD reducen el riesgo de que los cambios en las instrucciones, el modelo, los datos o las herramientas provoquen un comportamiento inesperado.
• Respuesta más rápida a incidentes: la monitorización, los planes de reversión, los "kill switches" y los manuales de procedimientos ayudan a los equipos a reaccionar cuando los agentes fallan, se desvían de lo previsto o se comportan de forma inesperada.
• Alineación empresarial más clara: las métricas de evaluación pueden conectar el rendimiento de los agentes con resultados como la tasa de resolución, el índice de contención, el tiempo de procesamiento, la satisfacción del cliente y el coste por resultado.

La gestión del ciclo de vida de los agentes no elimina los riesgos que plantean los agentes de IA. Proporciona una estructura para gestionarlos. Los desafíos incluyen:

• Comportamiento variable: los LLM pueden producir diferentes outputs para entradas similares, lo que dificulta las pruebas y el análisis de la causa raíz.
• Alucinaciones: los agentes pueden generar respuestas no compatibles o utilizar el contexto incorrecto. Las comprobaciones de conexión a tierra y las reseñas humanas pueden reducir este riesgo, pero no eliminarlo por completo.
• Superficie de ataque ampliada: los agentes con acceso a herramientas pueden afectar a sistemas reales, lo que genera riesgos como la inyección de prompts, el uso indebido de la API, el envenenamiento de memoria, la escalada de privilegios y las acciones no autorizadas.
• Latencia y coste: los agentes pueden realizar múltiples llamadas a modelos, pasos de recuperación e invocaciones de herramientas, lo que aumenta el tiempo de respuesta y el coste operativo.
• Carga administrativa: los catálogos, las aprobaciones, las evaluaciones, los registros de auditoría y los historiales de versiones requieren una coordinación continua entre los distintos equipos.
• IA en la sombra: los empleados pueden crear o utilizar agentes no aprobados fuera de los procesos formales, lo que dificulta el descubrimiento y el control.

Los agentes de IA se están aplicando en el servicio de atención al cliente, el soporte de TI, los recursos humanos, las finanzas, el departamento legal, el cumplimiento, el desarrollo de software, las operaciones y la gestión del conocimiento. La gestión del ciclo de vida de los agentes cobra mayor relevancia cuando estos van más allá de las simples preguntas y respuestas para utilizar herramientas, acceder a datos controlados o realizar acciones en los flujos de trabajo empresariales.

Una forma útil de evaluar estos casos de uso es preguntarse: ¿a qué podría acceder, qué podría modificar o qué podría activar el agente? Cuanto más interactúa un agente con datos sensibles, procesos regulados o sistemas de producción, mayor importancia adquieren los controles del ciclo de vida.

Para casos de uso de bajo riesgo, la monitorización básica y el control de versiones pueden ser suficientes. Para casos de uso de mayor riesgo, las organizaciones a menudo necesitan KPI definidos, control de acceso basado en roles, rutas de aprobación humana, umbrales de evaluación, registros de auditoría, observabilidad, planes de respuesta a incidentes y procesos de desmantelamiento.

¿Cómo se ve en la práctica? Imagínese que una empresa implementa un agente de IA para ayudar a los gestores de relaciones a prepararse para las reuniones con los clientes. Durante el desarrollo, el equipo de IA define las fuentes de datos autorizadas del agente, los permisos de acceso, las reglas de escalado y las métricas, tales como el tiempo ahorrado, la precisión de las respuestas y la satisfacción de los usuarios. Antes de su puesta en marcha, el agente se somete a pruebas con casos prácticos de clientes y se revisa para detectar posibles riesgos de cumplimiento normativo. Está vinculado a herramientas de monitorización que registran los outputs, la latencia, los patrones de uso y las excepciones.

Tras la implementación, la empresa considera al agente como un recurso digital gestionado, en lugar de como un proyecto puntual. El propietario de un producto revisa los paneles de control de rendimiento, los equipos de cumplimiento auditan las interacciones de alto riesgo y los científicos de datos vuelven a entrenar o ajustan al agente cuando cambian las políticas, los productos o las necesidades del cliente. Cuando los usuarios informan de recomendaciones confusas, el equipo actualiza las instrucciones, las fuentes de recuperación y los límites de seguridad. Con el tiempo, la empresa añade nuevas capacidades, retira flujos de trabajo no utilizados y documenta cada versión. Este enfoque de ciclo de vida ayuda a la organización a escalar la IA agéntica, manteniendo la responsabilidad, la seguridad, el rendimiento y la alineación empresarial.

Este ejemplo hipotético muestra el proceso completo de la gestión del ciclo de vida de los agentes. Algunos ejemplos del sector del mundo real incluyen:

El agente interno de RR. HH. de IBM, AskHR, muestra cómo la gestión del ciclo de vida de los agentes puede respaldar la automatización a escala empresarial con rutas de escalado humano. Mejorado con IBM® watsonx Orchestrate, AskHR da soporte a más de 80 tareas de RR. HH. y gestiona más de 2,1 millones de conversaciones de empleados al año. Se conecta con sistemas como Workday, SAP y Concur para que los empleados puedan preguntar sobre nóminas o solicitudes de vacaciones, mientras que los gestores pueden iniciar flujos de trabajo como transferencias o actualizaciones organizativas.

Desde el punto de vista de la gestión del ciclo de vida de las aplicaciones (ALM), estas capacidades requieren límites de autorización, controles de integración, auditabilidad y lógica de enrutamiento. AskHR ha logrado un índice de contención del 94 % para preguntas comunes, ha contribuido a una reducción del 75 % en los tickets de soporte planteados desde 2016 y ha contribuido a una reducción del 40 % en los costes operativos de RR. HH. en cuatro años.

En el sector sanitario, la ALM ayuda a gestionar agentes que pueden interactuar con información médica protegida y flujos de trabajo regulados. Una importante entidad aseguradora sanitaria estadounidense implementó capacidades de chatbot agéntico y asistencia por voz para los servicios a sus afiliados en un entorno que cumple con la normativa HIPAA. Como los datos históricos de los call center estaban restringidos, el equipo creó o sintetizó datos básicos para evaluar el comportamiento de los agentes de forma segura.

El proceso del ciclo de vida incluía KPI para resolución, contención, latencia y seguridad; instrucciones versionadas e Integraciones; acceso a herramientas de privilegio mínimo; evaluación estructurada; comprobaciones de cumplimiento; pruebas de seguridad; red teaming; y observabilidad unificada. La monitorización rastreó tanto las métricas técnicas, como la latencia y los errores, como las métricas empresariales, como la contención, la resolución y la satisfacción.

Dynamiq, un IBM Business Partner, creó un agente legal con IA utilizando IBM watsonx.data, modelos fundacionales de IBM Granite e IBM watsonx Orchestrate para ayudar a los equipos jurídicos a buscar, comparar y analizar contratos, informes de cumplimiento y documentos normativos. El agente apoyó la búsqueda semántica de contratos, el análisis comparativo y la puntuación de cumplimiento a nivel de cláusula. Ayudó a los equipos a encontrar el idioma relevante, a detectar problemas reglamentarios, a detectar desviaciones en las políticas y a enviar los documentos para su aprobación.

Desde una perspectiva de ALM, el caso de uso requería la ingesta de datos gobernados, los controles de recuperación, la integración del sistema empresarial, las rutas de escalado para la revisión legal y la alineación del modelo con la tarea. Dynamiq también utilizó modelos Granite más pequeños para tareas de cumplimiento rutinarias para ayudar a equilibrar el rendimiento, la latencia y el coste.