Aaron Fulkerson, CEO de OPAQUE – Serie de entrevistas

Aaron Fulkerson, CEO de OPAQUE, es un emprendedor veterano del software empresarial y pionero del código abierto. Lleva más de dos décadas creando y ampliando plataformas tecnológicas centradas en la confianza, los datos y la transformación digital. Antes de incorporarse a OPAQUE en 2023, fundó MindTouch y contribuyó a convertirla en una plataforma de gestión del conocimiento ampliamente adoptada por empresas, antes de su adquisición por NICE Systems. Después lideró el lanzamiento de ServiceNow Impact, una de las unidades de negocio de mayor crecimiento en la historia de ServiceNow. A lo largo de su carrera, Fulkerson ha trabajado en la intersección de las tecnologías emergentes, el software empresarial y los ecosistemas abiertos, además de asesorar a varias empresas emergentes y organizaciones tecnológicas. Más recientemente se ha convertido en un destacado defensor de la IA confidencial: sostiene que la privacidad, la gobernanza y la confianza verificable serán requisitos fundamentales a medida que los sistemas de IA se integren en procesos empresariales críticos.

OPAQUE es una empresa de IA confidencial surgida del prestigioso RISELab de la Universidad de California en Berkeley, el mismo ecosistema de investigación que ayudó a crear tecnologías como Apache Spark y Databricks. Ha desarrollado una plataforma que permite ejecutar modelos de IA, agentes y flujos de trabajo sobre datos muy sensibles, manteniendo garantías de privacidad y cumplimiento verificables mediante criptografía. En lugar de obligar a las organizaciones a elegir entre innovación en IA y seguridad de los datos, OPAQUE utiliza computación confidencial, entornos de ejecución cifrados y ejecución con atestación de hardware para proteger la información sensible antes, durante y después del procesamiento con IA. Su tecnología está diseñada para sectores muy regulados, como finanzas, seguros, sanidad y alta tecnología. Entre sus clientes y socios figuran ServiceNow (NOW ), Anthropic, Accenture y otras empresas que buscan llevar proyectos de IA de la fase piloto a producción sin exponer datos propios o sujetos a regulación.

Has creado y ampliado varias plataformas empresariales a lo largo de tu carrera. ¿Qué te llevó a asumir el cargo de CEO de OPAQUE y dedicar tu siguiente etapa a la confianza, la privacidad y la gobernanza de la IA?

He pasado casi dos décadas creando plataformas empresariales, primero en MindTouch, que todavía utilizan mil millones de usuarios al año, y después en ServiceNow, donde creé su producto de crecimiento más rápido. Ambas experiencias me enseñaron lo mismo: incluso la tecnología más potente solo gana cuando la gente confía en ella.

Cuando conocí a los cofundadores de OPAQUE, Raluca Ada Popa, Ion Stoica y Rishabh Poddar, vi una combinación poco habitual de talento y visión. Raluca es una de las principales investigadoras del mundo en privacidad y seguridad. Ion cofundó Databricks. Rishabh construyó los sistemas criptográficos esenciales que se convirtieron en la base de OPAQUE.

En el RISELab de UC Berkeley habían creado algo que reconocí de inmediato como un avance de importancia para toda una generación: una prueba criptográfica de que los datos permanecen privados a lo largo de cada flujo de trabajo de IA. No promesas. No políticas. Pruebas.

Miré hacia dónde se dirigía la IA: agentes que actúan de forma autónoma en sistemas empresariales a velocidad de máquina. Y vi la misma carencia sobre la que Vint Cerf lleva advirtiendo 30 años: la falta de una capa de confianza. Internet sobrevivió sin ella porque los seres humanos actuaban como barrera de protección. La web impulsada por agentes no tendrá ese lujo. Eso fue lo que me atrajo.

MCP (Model Context Protocol, un estándar que permite a los agentes de IA acceder de forma segura a herramientas, aplicaciones y datos) está convirtiéndose en una base común. ¿Cómo crees que cambiará la forma en que las empresas despliegan y amplían la IA basada en agentes?

MCP es un paso importante en la forma en que las empresas despliegan y amplían la IA basada en agentes. Imagínalo como un conector universal para los flujos de trabajo de IA. Estandariza cómo se conectan los agentes a herramientas, aplicaciones y datos, elimina obstáculos reales y acelera la experimentación.

Pero estandarizar el acceso, por sí solo, no hace que la IA basada en agentes sea segura o escalable. A medida que se multiplican las conexiones, con más agentes, herramientas y fuentes de datos, cada nueva integración amplía la superficie por la que pueden filtrarse datos. Todo punto de conexión sin imposición de reglas durante la ejecución es una posible vía de exposición. Cuando los agentes de IA interactúan con sistemas sensibles y lógica propietaria, el cifrado de los datos almacenados y los controles de red no bastan. El límite de seguridad se ha desplazado a la propia ejecución, y ese cambio resulta más urgente conforme aumenta la escala del ecosistema.

La capacidad de verificación en estos puntos de conexión esenciales será crítica para las empresas. Pueden ampliar la IA basada en agentes cuando el acceso al estilo de MCP se combina con pruebas criptográficas de qué código se ejecutó, dónde y bajo qué política, antes, durante y después de la ejecución. Acceso más verificabilidad. Esa combinación permite el uso en producción.

Ahora que MCP estandariza el acceso de los agentes, ¿dónde ves las mayores carencias en seguridad, imposición de políticas y confianza en los sistemas dirigidos por agentes?

Completamos nuestra investigación AI Leak Surface de 2026 y publicamos un resumen de los resultados, «Doce formas en que tu entorno de IA filtra datos», que aborda este tema. Identificamos 46 vías de exposición en 8 categorías que abarcan todo el límite de confianza de la IA: cómputo, control, aplicaciones y los traspasos entre ellas. Y eso sin tener en cuenta a actores maliciosos. Son situaciones en las que nada está averiado, los registros parecen normales y, aun así, el sistema filtra datos.

Las mayores carencias no están en la conectividad; MCP está resolviendo eso. Están en lo que ocurre después de que se conecta un agente. La mayoría de las organizaciones no puede responder a tres preguntas básicas: ¿Cómo se comporta realmente nuestra IA? ¿Quién la controla? ¿Y cómo demostramos que se impusieron las políticas?

Nuestra investigación mostró que los límites se configuran, pero nunca se hacen cumplir. Una política existe en un documento, un archivo de configuración o un ajuste establecido en el despliegue, pero no restringe el sistema en funcionamiento. Un asistente de IA para directivos coloca información relevante no pública en una invitación del calendario. Un asistente RAG proporciona a un analista júnior datos financieros destinados al consejo de administración. El SDK de un proveedor extrae silenciosamente 10 millones de consultas fuera del sistema durante 12 meses. En todos los casos había controles de acceso. Los datos se filtraron de todos modos.

Hasta que las empresas cierren la brecha entre la política configurada y la que realmente se hace cumplir, MCP estandariza la puerta principal. Pero la casa sigue sin vigilancia.

Cuando los agentes de IA reciben acceso a sistemas sensibles y datos propios de la empresa, ¿qué nuevos riesgos de privacidad y cumplimiento aparecen para los que las organizaciones suelen no estar preparadas?

La mayoría de las empresas piensa en la privacidad en términos de datos almacenados o en tránsito. Ese modelo falla en los flujos de trabajo con agentes porque el mayor riesgo es la exposición de los datos mientras se utilizan.

Me refiero a lo siguiente. Un fabricante de automóviles de altas prestaciones utiliza IA a lo largo de su línea de montaje. Los datos sin procesar parecen inofensivos: lecturas de sensores, secuencias temporales y controles de calidad. Pero un gran modelo de lenguaje ya puede reconstruir procesos de fabricación propietarios a partir de los rastros de datos generados como subproducto de la actividad. Lo que hace cinco años era ruido es hoy un plano listo para un competidor.

Nuestra investigación AI Leak Surface documenta este patrón en decenas de situaciones. Las herramientas de telemetría operativa capturan por defecto todo el contenido de datos de la IA. En un banco europeo, 2,1 millones de prompts con información de identificación personal fluían a una instancia de SaaS en Estados Unidos porque nadie había cambiado los ajustes predeterminados de la supervisión del rendimiento de aplicaciones (APM). La memoria de los agentes filtra contexto entre sesiones. Las trazas de cadenas de razonamiento exponen expedientes completos de investigación en plataformas de observabilidad accesibles para contratistas. Los marcos tradicionales de cumplimiento no se diseñaron para detectar este tipo de filtración. Suponían que eran personas quienes movían los datos a velocidad humana.

¿Por qué la IA confidencial se está convirtiendo en un complemento necesario de MCP y cómo resuelve desafíos que los estándares de acceso, por sí solos, no pueden resolver?

MCP resuelve quién puede acceder a qué y cómo, mientras que la IA confidencial resuelve lo que ocurre una vez concedido el acceso. Son capas complementarias.

Los estándares de acceso, por sí solos, no pueden impedir que se vulnere la seguridad durante la ejecución, que las políticas se desvíen gradualmente de lo previsto o que se utilicen datos sin autorización. Piénsalo así: MCP ofrece una forma estandarizada de conectar agentes a los sistemas. La IA confidencial ofrece garantías criptográficas de que, una vez conectados, solo pueden hacer aquello para lo que están autorizados, y tú puedes demostrarlo.

La IA confidencial proporciona esas garantías durante la ejecución para los datos, la identidad, el código y la comunicación. Aporta pruebas verificables de la ejecución y garantiza que la privacidad y la imposición de políticas no se detengan en el límite de acceso, sino que continúen mientras la IA razona, genera y actúa activamente. Sin ella, MCP es un cimiento sólido. Pero un cimiento, por sí solo, no hace seguro un edificio.

En la práctica, ¿cómo es la confianza verificable para una empresa que utiliza agentes autónomos de IA en flujos de trabajo críticos?

La confianza verificable significa poder demostrar qué código se ejecutó, dónde, bajo qué políticas, a qué datos se accedió y cómo se comportó el sistema a lo largo del tiempo.

Considera una aseguradora que utiliza agentes de IA para procesar cartas con reclamaciones de indemnización. Antes de la ejecución, la atestación de hardware verifica la identidad del agente y la integridad del entorno. Durante la ejecución, la vinculación criptográfica a las políticas dentro de un entorno de ejecución de confianza protegido por hardware (Trusted Execution Environment, TEE) garantiza que los datos estén protegidos y las políticas se hagan cumplir. Después, un registro de auditoría a prueba de manipulaciones documenta exactamente lo ocurrido.

El riesgo en los flujos de trabajo con agentes no es que un agente se descontrole. El verdadero riesgo es no poder demostrar si se hizo cumplir una política o si los datos sensibles estuvieron protegidos mientras los agentes operaban, antes, durante y después. Eso es lo que significa confianza verificable.

Cuando los sistemas basados en agentes funcionan a velocidad de máquina, ¿por qué deja de funcionar la supervisión humana tradicional y cómo deberían las organizaciones replantearse la gobernanza en este nuevo entorno?

Durante décadas, Internet tuvo una barrera de protección invisible: nosotros. Las personas leen contenido, hacen clic deliberadamente y no actúan en silencio en cien sistemas a la vez.

La IA basada en agentes elimina esos supuestos de la noche a la mañana. Los agentes operan continuamente, toman decisiones a velocidad de máquina y pueden ser manipulados mediante entornos diseñados para personas pero explotables por máquinas. Una página maliciosa no necesita engañar a una IA como a una persona: puede darle instrucciones directamente.

Con apenas un 1% de riesgo por agente, una red de 100 agentes tiene un 63% de probabilidad de sufrir una vulneración de seguridad. Aumenta a mil agentes y la probabilidad llega al 99,99%. La gobernanza que requiere participación humana en el proceso no puede seguir ese ritmo. La supervisión debe pasar de la revisión reactiva a las garantías durante la ejecución. Eso significa flujos de trabajo de confianza cero, imposición de políticas por defecto y ejecución verificable que no dependa de que una persona descubra el fallo después de ocurrido.

¿Qué fallos de seguridad observas con más frecuencia cuando las empresas experimentan con IA basada en agentes sin una capa de confianza integrada?

El patrón más frecuente es que las empresas dejan actuar y coordinarse a los agentes sin garantías criptográficas sobre su comportamiento. Procesan propiedad intelectual sensible confiando en que todo salga bien.

El resultado es predecible, y documentamos los patrones concretos en nuestra investigación AI Leak Surface. Las vulneraciones durante la ejecución eluden las defensas perimetrales tradicionales porque el agente ya está dentro de la red. Las cadenas de agentes autónomos crean fallos en cascada. Un solo agente explotado desencadena un efecto dominó en los sistemas conectados. La lógica propietaria se filtra mediante rastros de datos que nadie pensó en supervisar. Los agentes pierden la capacidad de distinguir la intención de la empresa de las entradas maliciosas porque durante la ejecución no hay identidad verificable ni vinculación a las políticas.

No son situaciones hipotéticas. Trazamos 46 vías por las que los datos escapan de los controles previstos, incluso cuando nada parece averiado. Los agentes de IA generan y comparten datos a velocidad de máquina. Sin medidas de protección verificables durante la ejecución e integradas en el flujo de trabajo, los fallos se propagan más rápido de lo que cualquier equipo de seguridad puede detectarlos o responder.

¿Cómo combinan las organizaciones líderes el aprovechamiento de capacidades avanzadas de IA con la protección de sus datos más sensibles?

Las organizaciones que lo hacen bien tratan la privacidad y la gobernanza como aceleradores, no como frenos. Esa es la idea clave.

En la práctica, veo que las empresas líderes combinan capacidades avanzadas de IA con plataformas de IA confidencial que ofrecen garantías verificables, no solo listas de comprobación del cumplimiento. Habilitan el uso de datos sensibles para innovar con IA mientras protegen la información propietaria, incluso cuando los flujos de trabajo funcionan de forma autónoma.

Antes se planteaba como una elección entre capacidad y seguridad. Las organizaciones que avanzan más rápido han rechazado por completo esa disyuntiva. Integran la confianza verificable en la base de su estrategia de IA para aprovechar sus datos más valiosos. Entretanto, los competidores siguen atrapados en la fase piloto, ejecutando IA sobre conjuntos de datos depurados que no producen resultados significativos.

A partir de lo que observas hoy, ¿cómo evolucionarán los modelos de gobernanza de IA empresarial en los próximos años, cuando los sistemas basados en agentes pasen de los pilotos al pleno uso en producción?

La gobernanza pasará del papeleo a las pruebas. Es la forma más sencilla de expresarlo. Los primeros modelos se diseñaron para software que funcionaba al ritmo humano: políticas sobre el papel, aprobaciones antes del despliegue y revisiones después de que algo saliera mal. Los sistemas basados en agentes rompen todos esos supuestos. Operan continuamente, actúan de forma autónoma y generan efectos en cascada a velocidad de máquina.

Vemos que la gobernanza se dirige hacia la verificabilidad durante la ejecución como nuevo límite de seguridad, respaldada por garantías criptográficas que demuestran el comportamiento en cada etapa del ciclo de vida de un agente, antes, durante y después. El mismo patrón que vimos con HTTPS se está convirtiendo en la norma para el tráfico web. Nadie discute ya si se deben cifrar las conexiones web. En pocos años, nadie discutirá si se debe verificar la ejecución de la IA mientras ocurre. Será un requisito básico.

Gracias por la excelente entrevista. Los lectores que quieran saber más pueden visitar OPAQUE.