¿Qué es la gestión del ciclo de vida de los agentes?

ALM brinda a las organizaciones una forma estructurada de definir cómo se diseñan los agentes, a qué datos y herramientas pueden acceder, cómo se evalúa su comportamiento y cómo se actualizan o retiran.

En el ámbito empresarial, la gestión del ciclo de vida de los agentes se basa en prácticas habituales de software, seguridad y operaciones de IA, incluyendo SDLC, DevSecOps y MLOps. Sin embargo, los agentes de IA requieren más controles porque pueden usar modelos de lenguaje grandes (LLM), herramientas de llamada, mantener el contexto, planificar tareas de varios pasos y automatizar acciones. A diferencia de las aplicaciones tradicionales, los agentes pueden producir diferentes resultados para entradas similares o elegir diferentes pasos en función de la intención del usuario, el contexto disponible o los sistemas conectados.

Un agente de inteligencia artificial (IA) es un sistema que realiza tareas de forma autónoma mediante el diseño de flujos de trabajo con las herramientas disponibles. Los agentes de IA perciben el contexto, razonan en función de los objetivos y las restricciones y actúan mediante herramientas o servicios para completar tareas. Pueden usar uno o más modelos de lenguaje grandes para interpretar la intención del usuario, planificar los siguientes pasos, recuperar información, llamar a API, actualizar sistemas y generar respuestas.

Al ser sistemas adaptativos, los agentes de IA requieren una supervisión constante. Debido a que pueden razonar, actuar, usar herramientas y variar su comportamiento, las organizaciones necesitan gestionar más aspectos que solo el código. Deben administrar todo el sistema de agentes, incluyendo sus instrucciones, modelos, fuentes de datos, integraciones, permisos, evidencia de auditoría y medidas de seguridad operativas.

En las empresas, los agentes de IA se utilizan para el soporte de TI, atención al cliente, finanzas, cumplimiento de normas, RR. HH. , desarrollo de software, operaciones y trabajo de conocimiento. A diferencia de los chatbots básicos, los agentes a menudo pueden realizar acciones, como recuperar registros, abrir tickets, actualizar sistemas, generar informes o solicitar aprobaciones. Algunos agentes de IA se describen como agentes autónomos o sistemas autónomos, pero en entornos empresariales, la mayoría de los sistemas de agentes están diseñados con autonomía controlada, permisos definidos y supervisión humana para acciones de mayor riesgo.

La gestión de modelos se centra en el propio modelo de IA, incluidas las versiones del modelo, el rendimiento, el despliegue y el monitoreo. La gestión del ciclo de vida de los agentes es más amplia. Gestiona todo el sistema de agentes en torno al modelo, incluidas las instrucciones, las herramientas, la memoria, las fuentes de datos, las integraciones de sistemas, el control de acceso, las pistas de auditoría, las evaluaciones, la respuesta a incidentes y el desmantelamiento.

En otras palabras, la gestión de modelos pregunta si el modelo está funcionando como se espera. La gestión del ciclo de vida de los agentes pregunta si todo el agente (su modelo, permisos, acciones y contexto empresarial) funciona de forma segura, confiable y según lo previsto.

La gestión del ciclo de vida de los agentes es importante porque los agentes de IA están pasando de pilotos aislados a despliegues empresariales a mayor escala. A medida que eso sucede, la supervisión informal se vuelve más difícil de mantener. Las organizaciones necesitan una forma coherente de saber qué agentes existen, quién los posee, a qué pueden acceder, cómo funcionan y cuándo deben actualizarse o retirarse.

La investigación sugiere que la adopción de agentes se está acelerando más rápido que muchos programas de gobernanza. El Estudio sobre líderes tecnológicos de IBM® 2026 encontró que los CIO y CTO encuestados esperan un aumento del 38 % en los agentes de IA desplegados para 2027, mientras que solo el 11 % dijo que están completamente preparados para ese nivel de escala. La investigación también encontró que el 77 % de las organizaciones encuestadas dijeron que la adopción de la IA ya está superando sus capacidades actuales de gobernanza. Del mismo modo, una encuesta de 2026 a líderes empresariales y de TI encontró que solo el 21 % de las empresas mencionaron que tienen un modelo de gobernanza maduro para gestionar los riesgos de IA agéntica.¹

Estas brechas son importantes porque los agentes de IA no son herramientas de software estáticas. El software tradicional suele seguir reglas definidas: si un usuario realiza una acción específica, la aplicación responde de manera predecible. Los agentes de IA son diferentes. Pueden producir resultados diferentes para entradas similares. También pueden elegir diferentes pasos según la solicitud del usuario, el contexto disponible, las interacciones previas o las herramientas conectadas.

Esto genera varias necesidades de gestión:

• Seguridad: es posible que los agentes necesiten acceso a los sistemas, a los datos, a las API o a las cuentas de servicio de la empresa. Sin un control de acceso adecuado, pueden convertirse en identidades no humanas (NHI, por sus siglas en inglés) con permisos excesivos.
• Confiabilidad: los agentes pueden cometer errores, producir alucinaciones, llamar a la herramienta equivocada o fallar cuando cambia una integración.
• Gobernanza: las organizaciones deben saber qué agentes se están utilizando, quién es su propietario, a qué tienen acceso y si cumplen con las políticas internas o los requisitos normativos.
• Trazabilidad: los equipos necesitan pistas de auditoría que muestren lo que hizo un agente, qué herramientas utilizó, a qué datos accedió y por qué se tomó una decisión o acción.
• Resiliencia operativa: si un agente se comporta de manera inesperada, los equipos deben contar con formas de detenerlo, revocar su acceso, revertir los cambios, investigar el problema y restablecer el servicio.

La ALM ayuda a abordar estas necesidades al aplicar la estructura al ciclo de vida completo del agente. Ayuda a las empresas a ir más allá de las revisiones específicas mediante la creación de procesos repetibles para aprobar, probar, desplegar, monitorear, actualizar y desmantelar agentes a lo largo de su ciclo de vida. Además, ayuda a las organizaciones a gestionar riesgos como IA en la sombra, los permisos excesivos, observabilidad deficiente, los cambios de instrucción, los cambios en las versiones de los modelos, la latencia, la exposición de datos y el comportamiento inconsistente.

Un modelo práctico de ALM se puede organizar en torno a estas fases clave:

El ciclo de vida comienza con la identificación del problema empresarial que el agente debe resolver y la decisión de si un agente es el enfoque correcto. Algunos problemas se resuelven mejor con automatización tradicional, búsqueda, flujos de trabajo basados en reglas o una simple instrucción.

Durante la planificación, los equipos definen el propósito del agente, los usuarios, el propietario del negocio, las métricas de éxito y el perfil de riesgo. También determinan el nivel adecuado de autonomía. Por ejemplo, un agente que resume documentos internos necesita menos controles que uno que actualiza registros de clientes o activa flujos de trabajo financieros.

Las actividades de planificación típicas incluyen:

• Definir los resultados empresariales.
• Establecer los KPI como la precisión, la finalización de tareas, la latencia, el costo y la satisfacción del usuario.
• Identificar las fuentes de datos e integraciones de sistemas.
• Establecer los límites de autoridad y los puntos de aprobación humana.
• Evaluar los requisitos de cumplimiento normativo.
• Decidir cómo se evaluará el agente antes del lanzamiento.

En esta etapa, los equipos diseñan y configuran los componentes que conforman el sistema de agentes. Esto incluye los modelos que utilizará el agente, las instrucciones que guían su comportamiento, las herramientas a las que puede llamar, los datos que puede recuperar y los flujos de trabajo que puede ejecutar.

La configuración de agentes suele incluir:

• Plantillas de instrucciones e instrucciones del sistema
• Selección de modelos y seguimiento de versiones de modelos
• Definiciones de herramientas y esquemas de API
• Políticas de gestión de memoria y contexto
• Generación aumentada por recuperación o conexiones basadas en el conocimiento
• Control de acceso y configuración de identidad
• Registro, trazado e instrumentación de telemetría
• Rutas de escalamiento para revisión humana

Un principio clave es que las instrucciones, las herramientas, los modelos y las políticas deben tratarse como elementos gestionados del ciclo de vida en lugar de detalles de configuración informales. Los cambios en cualquiera de estos elementos pueden afectar el comportamiento, por lo que deben controlarse con versiones, revisarse y documentarse.

Para el uso empresarial, a los agentes solo se les debe otorgar el acceso a la herramienta y a los datos necesarios para su propósito aprobado. Los gerentes humanos deben usar controles para sus agentes, como el control de acceso basado en roles, la gobernanza de cuentas de servicio y el acceso justo a tiempo cuando corresponda.

Realizar pruebas a un agente de IA requiere más que comprobar si el software funciona. Los equipos también deben evaluar si el agente se comporta como se espera en una variedad de tareas, entradas, usuarios y condiciones del sistema.

Esta etapa puede incluir:

• Functional testing de herramientas e integraciones
• Evaluación de instrucciones y respuesta
• Pruebas de regresión
• Pruebas de seguridad para inyección de instrucciones y fuga de datos
• Comprobaciones de alucinaciones y fundamentación
• Pruebas de cumplimiento de políticas
• Pruebas de aprobación con participación de humanos
• Pruebas de carga
• Pruebas A/B
• Comparaciones entre campeón y aspirante
• Red teaming para casos de uso de alto riesgo

Una vez que un agente pasa con éxito las comprobaciones requeridas, puede desplegarse en un entorno controlado. El despliegue incluye poner el agente a disposición de los usuarios o sistemas, configurar su tiempo de ejecución y habilitar las identidades, los permisos y las integraciones que necesita para funcionar.

Las prácticas comunes incluyen el lanzamiento a través de un pipeline de CI/CD, la separación de los entornos de desarrollo, prueba y producción, la fijación de versiones para modelos e instrucciones, el despliegue por fases, los indicadores de características, los planes de reversión, la gestión de secretos y el control de acceso en tiempo de ejecución. Algunos agentes también pueden requerir un sandbox, especialmente si ejecutan código, procesan datos confidenciales o utilizan herramientas externas.

El aprovisionamiento es especialmente importante porque los agentes pueden actuar a través de API o de aplicaciones empresariales. Las credenciales, cuentas de servicio y licencias deben estar adaptados al rol aprobado por el agente. Las acciones sensibles pueden requerir aprobaciones, límites de velocidad o interruptores de emergencia.

Después del despliegue, la ALM continúa a través de la observabilidad, la evaluación y la mejora. Los equipos monitorean tanto el estado técnico como la calidad del comportamiento, incluyendo:

• Entradas, resultados y registros de conversación
• Llamadas y respuestas de herramientas
• Latencia y rendimiento
• Tasas de error y tipos de fallas
• Uso y costo del token
• Tasas de éxito de tareas
• Feedback de los usuarios
• Violaciones de políticas
• Indicadores de alucinaciones o fundamentación
• Tasas de escalamiento y aprobación
• Eventos de seguridad y patrones anómalos de acceso

Si el monitoreo muestra un rendimiento degradado, un comportamiento inesperado o necesidades cambiantes del negocio, los equipos pueden refinar las instrucciones, actualizar los modelos, ajustar las fuentes de recuperación, cambiar permisos o modificar flujos de trabajo. Estos cambios deben seguir los mismos controles de ciclo de vida que la versión original: pruebas, evaluación, aprobación y documentación.

Finalmente, es posible que sea necesario retirar a los agentes. El desmantelamiento debe incluir la desactivación de endpoints, la revocación de credenciales, la eliminación de cuentas de servicio, la preservación de los registros requeridos, el archivado de pruebas, la notificación a los usuarios y la actualización de catálogos.

La gestión del ciclo de vida de los agentes se basa en una combinación de capacidades de desarrollo, seguridad, monitoreo y gobernanza. En conjunto, estas herramientas ayudan a las organizaciones a crear agentes, controlar a qué pueden acceder, comprender cómo se comportan y administrarlos a lo largo del tiempo.

Las herramientas de desarrollo ayudan a los equipos a diseñar la forma en que los agentes razonan, planifican y realizan tareas. Pueden admitir plantillas de instrucciones, memoria, llamadas a herramientas, orquestación de flujos de trabajo y pasos de aprobación humana. En entornos empresariales, estas herramientas a menudo se conectan a procesos de entrega de software para que los cambios de los agentes puedan revisarse, probarse y publicarse a través de un pipeline de CI/CD controlado.

Los agentes dependen de algo más que del código. Su comportamiento puede cambiar cuando cambia una instrucción, la versión del modelo, el esquema de la herramienta, la fuente de datos o la configuración. La gestión de versiones ayuda a realizar un seguimiento de las instrucciones, los modelos, las herramientas, las fuentes de conocimiento, los conjuntos de datos de evaluación y el historial de versiones.

Los agentes a menudo se conectan a sistemas de tickets, plataformas de CRM, bases de datos, repositorios de documentos y herramientas de flujo de trabajo. Estas integraciones deben contar con esquemas, permisos y pistas de auditoría claros. Estándares como Protocolo de contexto de modelo (MCP, por sus siglas en inglés) pueden ayudar a que el acceso a las herramientas sea más coherente al definir cómo los agentes descubren y llaman a herramientas, recursos e instrucciones. Las puertas de enlace pueden centralizar la autenticación, la autorización, el enrutamiento, los límites de velocidad, las aprobaciones, el registro y el cierre de emergencia.

Dado que los agentes pueden actuar dentro de los sistemas empresariales, necesitan identidades y permisos gestionados. Las capacidades clave incluyen control de acceso basado en roles, permisos de privilegios mínimos, acceso justo a tiempo, gestión de secretos, gobernanza de cuentas de servicio, flujos de trabajo de aprobación y comentarios periódicos de acceso. El objetivo es ayudar a garantizar que cada agente pueda acceder solo a lo que necesita para su propósito aprobado.

Las herramientas de evaluación miden si los agentes se comportan según lo previsto antes y después de su implementación. Esto podría incluir pruebas de regresión, pruebas A/B, pruebas de inyección de instrucciones, verificaciones de alucinaciones y fundamentación, verificaciones de cumplimiento de políticas, revisión humana y "red teaming". Las pruebas deben evaluar tanto los resultados finales como los pasos intermedios, como las llamadas a herramientas y las decisiones de enrutamiento.

Las herramientas de observabilidad capturan entradas, resultados, rastros, llamadas a herramientas, latencia, errores, uso de token, costo, violaciones de políticas, escalamientos y eventos de seguridad. Estos datos respaldan la resolución de problemas, las pistas de auditoría y la respuesta a incidentes. Los controles operativos, como alertas, runbooks, procedimientos de reversión, disyuntores e interruptores de apagado, ayudan a los equipos a contener los problemas y restaurar el servicio.

Las herramientas de gobernanza de la IA mantienen inventarios de agentes aprobados, propietarios, niveles de riesgo, versiones de modelos, instrucción, herramientas, permisos, evaluaciones, aprobaciones y estado de desmantelamiento. La catalogación se vuelve especialmente importante a medida que las organizaciones se mueven de pequeños pilotos a grandes flotas de agentes.

La gestión del ciclo de vida de los agentes ayuda a las organizaciones a administrar los agentes de IA con mayor coherencia, visibilidad y control. Los beneficios clave incluyen:

• Visibilidad mejorada: un inventario de agentes muestra qué agentes existen, quién los posee, qué hacen, a qué sistemas acceden y qué versiones están activas.
• Mayor seguridad: el control de acceso, el control de acceso basado en roles, el privilegio mínimo y el acceso justo a tiempo ayudan a reducir los riesgos de cuentas de servicio con permisos excesivos e identidades no humanas no gestionadas.
• Mejor trazabilidad: las pistas de de auditoría y de linaje ayudan a los equipos a comprender qué hizo un agente, qué herramientas utilizó y qué cambios se produjeron entre las distintas versiones.
• Lanzamientos más confiables: las pruebas de regresión, las puertas de evaluación y los controles de pipeline de CI/CD reducen el riesgo de que los cambios en las instrucciones, el modelo, los datos o las herramientas causen un comportamiento inesperado.
• Respuesta más rápida a incidentes: el monitoreo, los planes de reversión, los interruptores de emergencia y los runbooks ayudan a los equipos a responder cuando los agentes fallan, se desvían o se comportan de manera inesperada.
• Una alineación más clara con el negocio: las métricas de evaluación pueden vincular el desempeño de los agentes con resultados como la tasa de resolución, la tasa de contención, el tiempo de procesamiento, la satisfacción del cliente y el costo por resultado.

La gestión del ciclo de vida de los agentes no elimina los riesgos de los agentes de IA. Proporciona una estructura para gestionarlos. Los desafíos incluyen:

• Comportamiento variable: los LLM pueden producir diferentes resultados para entradas similares, lo que dificulta las pruebas y el análisis de la causa principal.
• Alucinaciones: los agentes pueden generar respuestas no respaldadas o usar el contexto incorrecto. Las verificaciones de fundamentación y la revisión humana pueden reducir este riesgo, pero no eliminarlo por completo.
• Superficie de ataque ampliada: los agentes con acceso a herramientas pueden afectar a sistemas reales, al generar riesgos tales como la inyección de instrucciones, el uso indebido de API, el envenenamiento de memoria, el escalamiento de privilegios y las acciones no autorizadas.
• Latencia y costo: los agentes pueden usar múltiples llamadas de modelos, pasos de recuperación e invocaciones de herramientas, lo que aumenta el tiempo de respuesta y el costo operativo.
• Sobrecarga de la gobernanza: los catálogos, las aprobaciones, las evaluaciones, los registros de auditoría y los historiales de versiones requieren una coordinación constante entre los equipos.
• IA en la sombra: es posible que los empleados creen o utilicen agentes no autorizados al margen de los procesos formales, lo que dificulta su detección y control.

Los agentes de IA se están aplicando en atención al cliente, soporte de TI, RR. HH., finanzas, jurídico, cumplimiento normativo, desarrollo de software, operaciones y gestión del conocimiento. La gestión del ciclo de vida de los agentes es más relevante cuando estos agentes van más allá de las simples preguntas y respuestas para usar herramientas, acceder a datos gobernados o tomar medidas en los flujos de trabajo del negocio.

Una forma útil de evaluar estos casos de uso es preguntar: "¿El agente a qué podría acceder o bien qué podría cambiar o desencadenar? Cuanto más interactúa un agente con datos confidenciales, procesos regulados o sistemas de producción, más importantes se vuelven los controles del ciclo de vida.

Para casos de uso de bajo riesgo, el monitoreo básico y el control de versiones podrían ser suficientes. Para casos de uso de mayor riesgo, las organizaciones a menudo necesitan KPI definidos, control de acceso basado en roles, rutas de aprobación humana, umbrales de evaluación, pistas de auditoría, observabilidad, planes de respuesta a incidentes y procesos de desmantelamiento.

¿Cómo se ve en la práctica? Imagine que una empresa despliega un agente de IA para ayudar a los gerentes de relaciones a prepararse para las reuniones con los clientes. Durante el desarrollo, el equipo de IA define las fuentes de datos autorizadas del agente, los permisos de acceso, las reglas de escalación y los indicadores de éxito, tales como el tiempo ahorrado, la precisión de las respuestas y la satisfacción del usuario. Antes del lanzamiento, el agente se prueba en escenarios de clientes de muestra y se revisan los riesgos de cumplimiento. Está conectado a herramientas de monitoreo que rastrean resultados, latencia, patrones de uso y excepciones.

Tras el despliegue, la empresa trata al agente como un recurso digital gestionado en lugar de un proyecto puntual. El responsable de un producto revisa los paneles de rendimiento, los equipos de cumplimiento normativo auditan las interacciones de alto riesgo y los científicos de datos vuelven a entrenar o ajustan al agente cuando cambian las políticas, los productos o las necesidades del cliente. Cuando los usuarios informan que hay recomendaciones confusas, el equipo actualiza las instrucciones, las fuentes de información y los mecanismos de control. Con el tiempo, la empresa agrega nuevas capacidades, retira flujos de trabajo no utilizados y documenta cada versión. Este enfoque de ciclo de vida ayuda a la organización a escalar la IA agéntica, manteniendo la responsabilidad, la seguridad, el rendimiento y la alineación empresarial.

Este ejemplo hipotético muestra el proceso completo de la gestión del ciclo de vida de los agentes. Algunos ejemplos de la industria del mundo real incluyen:

AskHR, agente interno de RR. HH. de IBM, muestra cómo la gestión del ciclo de vida del agente puede respaldar la automatización a escala empresarial con rutas de escalamiento humano. Mejorado con IBM watsonx Orchestrate, AskHR admite más de 80 tareas de RR. HH. y maneja más de 2.1 millones de conversaciones de empleados al año. Se conecta con sistemas como Workday, SAP y Concur para que los empleados puedan hacer consultas sobre nóminas o solicitudes de vacaciones, mientras que los gerentes pueden iniciar flujos de trabajo, como transferencias o actualizaciones organizacionales.

Desde una perspectiva de ALM, estas capacidades requieren límites de autoridad, controles de integración, auditabilidad y lógica de enrutamiento. AskHR logró una tasa de contención del 94 % para preguntas comunes, contribuyó a una reducción del 75 % en los tickets de soporte planteados desde 2016 y ayudó a contribuir a una reducción del 40 % en los costos operativos de RR. HH. en cuatro años.

En la atención médica, ALM ayuda a administrar agentes que pueden interactuar con información de salud protegida y flujos de trabajo regulados. Una gran entidad pagadora de atención médica de EE. UU. implementó capacidades de chatbot agéntico y asistencia de voz para servicios a miembros en un entorno compatible con la HIPAA. Debido a que los datos históricos del centro de atención telefónica estaban restringidos, el equipo creó o sintetizó datos de verdad sobre el terreno para evaluar el comportamiento de los agentes de manera segura.

El proceso del ciclo de vida incluyó KPI para resolución, contención, latencia y seguridad; instrucciones e integraciones controladas por versiones; acceso a herramientas con privilegios mínimos; evaluación estructurada; verificaciones de cumplimiento; pruebas de seguridad; red teaming y observabilidad unificada. El monitoreo rastreó tanto las métricas técnicas, como la latencia y los errores, como las métricas comerciales, como la contención, la resolución y la satisfacción.

Dynamiq, un IBM Business Partner, creó un agente legal impulsado por IA utilizando IBM watsonx.data, los modelos fundacionales de IBM Granite e IBM watsonx Orchestrate para ayudar a los equipos legales a buscar, comparar y analizar contratos, informes de cumplimiento y documentos normativos. El agente permitía la búsqueda semántica de contratos, el análisis comparativo y la evaluación del cumplimiento a nivel de cláusulas. Ayudó a los equipos a encontrar lenguaje relevante, señalar preocupaciones regulatorias, detectar desviaciones de políticas y enrutar documentos para su aprobación.

Desde una perspectiva de ALM, el caso de uso requería ingestión de datos gobernada, controles de recuperación, integración, rutas de escalamiento para comentarios y alineación modelo-tarea. Dynamiq también utilizó modelos Granite más pequeños para tareas de cumplimiento de rutina para ayudar a equilibrar el rendimiento, la latencia y el costo.