El Departamento de Salud y Servicios Humanos de EE. UU. logra un inventario completo de agentes de IA en 72 horas con Aegis de Elantis
Table of contents
Resumen
En enero de 2026, el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) implementó la plataforma Aegis de Elantis para descubrir, clasificar y gobernar cada agente de IA que operaba en sus entornos de producción.
Con más de 80.000 empleados distribuidos en 28 divisiones operativas y la responsabilidad de más de 1,7 billones de dólares en desembolsos anuales de programas, el HHS había acumulado una huella de agentes de IA extensa y en gran medida invisible. Las divisiones habían implementado de forma independiente agentes de LangChain, agentes de AWS Bedrock y automatizaciones de Microsoft Copilot Studio para acelerar el procesamiento de reclamaciones, la administración de subvenciones y los flujos de trabajo de investigación clínica. A finales de 2025, el HHS no podía confirmar cuántos de esos agentes existían ni si alguno operaba con información de salud protegida, lo que exponía al Departamento a infracciones de protección de datos según la Ley de Portabilidad y Responsabilidad del Seguro Médico y a posibles sanciones económicas significativas.
Resultados e impacto
Resultados iniciales
- 847 agentes de IA descubiertos en 23 divisiones operativas
- 312 agentes ocultos (37% del total) previamente desconocidos para el departamento de TI del HHS
- 67 infracciones de políticas de alta gravedad detectadas en los primeros 30 días
- 89 agentes que accedían a información de salud protegida sin vinculación de gobernanza, remediados en 45 días
- Tiempo de preparación de auditorías reducido de 6 semanas a 4 días
- Tiempo hasta el primer inventario completo de agentes: 71 horas desde la implementación del sensor
Resultados en curso / operativos
- 100% de agentes descubiertos bajo la gobernanza activa de Aegis
- Tiempo medio para detectar un nuevo agente no registrado: menos de 4 minutos
- Hallazgos ABIERTOS de ALTA/CRÍTICA gravedad reducidos en un 91% respecto a la línea de base
- La puntuación de la postura de cumplimiento mejoró de 22/100 a 88/100
El Reto: Gobernar un ecosistema federal de IA en 28 divisiones independientes
El HHS opera uno de los ecosistemas de TI más complejos del gobierno federal de EE. UU. Sus 28 divisiones operativas mantienen cada una entornos independientes de AWS y Azure, clústeres HPC locales e implementaciones SaaS. Los equipos de desarrollo de CMS, NIH y la Oficina del Coordinador Nacional habían implementado de forma independiente agentes de IA para acelerar el procesamiento de reclamaciones, la administración de subvenciones y los flujos de trabajo de investigación clínica. Sin embargo, sin una coordinación o supervisión centralizada, estos esfuerzos estaban dejando a la organización vulnerable a riesgos potenciales, como el acceso no autorizado a información de salud protegida, resultados de modelos que influyen indebidamente en decisiones clínicas o administrativas, o la proliferación de agentes de IA en la sombra fuera del control del equipo de TI.
Para el tercer trimestre de 2025, la oficina del CISO del HHS había recibido cuatro alertas de auditoría interna que citaban la proliferación de herramientas de IA como un riesgo no mitigado. La agencia no podía producir un recuento preciso de agentes de IA en producción, y mucho menos confirmar si alguno operaba con información de salud protegida. Una revisión de la Oficina del Inspector General (OIG) programada para el primer trimestre de 2026 incluía una nueva sección que exigía la documentación de los sistemas de IA con acceso a datos. El HHS tenía solo 90 días para prepararse.
La revisión de la OIG exigía al HHS mantener un inventario exhaustivo de todos los casos de uso de IA en sus divisiones, identificar qué sistemas calificaban como de «alto impacto» (aquellos que manejaban información de salud protegida, influían en decisiones clínicas o afectaban a los derechos individuales) y certificar que se aplicaban prácticas mínimas de gestión de riesgos para cada uno.
Las implicaciones eran considerables: las infracciones de HIPAA relacionadas con un agente de IA no gobernado que procesaba registros de miembros conllevan sanciones de hasta 1,9 millones de dólares por categoría de infracción, y la OIG ya había calificado el programa de seguridad de la información del HHS como «No Efectivo» por sexto año consecutivo en el año fiscal 2025.
Era imposible producir manualmente una auditoría precisa y exhaustiva en el tiempo disponible. El descubrimiento manual en 14 cuentas de AWS, 3 entornos de Azure y 7 entornos locales habría requerido un estimado de 2.400 horas de personal y aun así habría producido una imagen incompleta. Se necesitaba un enfoque diferente.
La Solución: Descubrimiento sin instrumentación y aplicación en tiempo de ejecución
Aegis, la plataforma de descubrimiento y gobernanza de IA agéntica de Elantis, se implementó inicialmente como una capa de descubrimiento de solo lectura, lo que significaba que ningún agente o aplicación existente necesitaba ser modificado o puesto fuera de línea. A las pocas horas de su implementación, sus sensores ligeros comenzaron a observar pasivamente el tráfico de red en toda la infraestructura en la nube y local del HHS, identificando el comportamiento de los agentes sin interceptar ni almacenar ninguna información de salud protegida.
Al mismo tiempo, Aegis extrajo el inventario de agentes de las cuentas en la nube del HHS en 14 entornos de AWS y tres de Azure, y cotejó esos datos con la actividad de los puntos finales y los repositorios de código. Este enfoque de múltiples fuentes reveló agentes que los escaneos de infraestructura en la nube por sí solos habrían pasado por alto, incluyendo herramientas de desarrollador ejecutándose en los portátiles del personal y 54 agentes escritos en código pero aún no implementados en producción.
Para el día 4, Aegis había producido un inventario completo de 847 agentes. Cada uno fue clasificado, puntuado por riesgo y mapeado a los sistemas a los que podía acceder. Para los 89 agentes con acceso a registros de miembros de Medicare y Medicare o conjuntos de datos de pacientes de los Institutos Nacionales de Salud, Aegis generó automáticamente políticas de cumplimiento de HIPAA recomendadas. La aplicación de esas políticas no requirió cambios en los propios agentes, ya que la aplicación se ejecutó en la capa de infraestructura, situándose entre cada agente y los datos a los que podía acceder.
Implementación e Inversión
La implementación se llevó a cabo en tres fases. En la primera semana, la capa de descubrimiento de Aegis fue activada en todos los entornos en la nube del HHS, se conectó la monitorización de la actividad de los puntos finales y se escanearon los repositorios de código del HHS en busca de agentes aún no en producción.
Durante las dos semanas siguientes, se compiló y puntuó por riesgo el inventario completo de agentes, y se generaron políticas de cumplimiento de HIPAA para los 89 agentes con acceso a información de salud protegida. El equipo de seguridad del HHS revisó y aprobó directamente 83 de esas asignaciones de políticas. Las seis restantes fueron escaladas para una revisión adicional de gobernanza de datos.
La aplicación completa de las políticas entró en vigor el día 47. Cuando llegó la auditoría de la OIG, Aegis generó el paquete completo de documentación de agentes de IA a partir de su registro de auditoría y lo entregó al departamento de Cumplimiento del HHS en cuatro horas.
“Teníamos cuatro alertas de auditoría distintas que nos indicaban que los agentes de IA eran un riesgo que no podíamos cuantificar. En 72 horas, Aegis nos dio la respuesta que ningún proceso manual habría podido producir en 90 días. Lo que lo hizo viable para un entorno federal fue el enfoque de instrumentación cero: no tuvimos que pedir a 28 divisiones que cambiaran su código para obtener una imagen completa. Entramos en la revisión de la OIG con un inventario completo de agentes y un registro de auditoría firmado. Eso no es algo que hayamos podido decir sobre ninguna otra categoría tecnológica.”
— CISO Adjunto, Departamento de Salud y Servicios Humanos de EE. UU.
Replicabilidad
La implementación del HHS demuestra que el enfoque de descubrimiento de instrumentación cero de Aegis es viable en entornos altamente descentralizados donde la imposición centralizada de cambios de código a los agentes existentes no es operativamente factible. Las agencias federales y los grandes organismos gubernamentales estatales con infraestructuras de TI distribuidas y próximos requisitos de auditoría de IA deben tener en cuenta que el modelo de implementación de descubrimiento primero, aplicación después puede proporcionar un inventario completo de agentes antes de que se aplique cualquier política de gobernanza, lo que hace que el enfoque sea compatible con las limitaciones de adquisición por fases y gestión de cambios.
Elantis es adjudicatario del contrato cooperativo de la Plataforma de Gobernanza, Cumplimiento y Habilitación de Inteligencia Artificial (IA) de TXShare. Para obtener más información sobre Elantis y explorar el contrato, visite Civic Marketplace.
.avif)
