Imagine que el equipo de marketing llega el lunes y descubre que, durante el fin de semana, un agente de inteligencia artificial redistribuyó el presupuesto de una campaña, pausó varios anuncios, generó nuevas piezas, actualizó oportunidades en el CRM y envió mensajes de seguimiento a clientes.
Los resultados preliminares parecen positivos.
Entonces surge una pregunta incómoda: ¿quién autorizó cada una de esas decisiones?
En mi columna anterior expliqué que escalar la inteligencia artificial también puede escalar la dependencia de modelos, proveedores, datos, workflows y conocimiento. Pero la conversación no termina cuando una herramienta se vuelve parte de la infraestructura. Comienza una etapa más delicada cuando, además de integrarse al proceso, recibe permiso para actuar dentro de él.
La diferencia parece pequeña, pero cambia la naturaleza del riesgo.
Un asistente de IA propone. Un agente puede consultar sistemas, descomponer una meta en tareas, utilizar herramientas y ejecutar acciones con distintos grados de supervisión. La OECD advierte que la IA agéntica puede coordinar varios agentes, delegar actividades y operar durante periodos más largos en entornos menos predecibles y con intervención humana limitada.
La oportunidad es evidente: pasar de recibir respuestas a completar procesos.
También lo es el reto: cuando la IA deja de limitarse a recomendar y comienza a modificar la realidad de la empresa, ya no basta con evaluar la calidad de sus respuestas. Hay que gobernar su autoridad.
El cambio importante no es la inteligencia, sino el permiso
Muchas conversaciones sobre agentes de IA se concentran en lo que el sistema puede hacer: investigar, comparar, redactar, programar, negociar con otras herramientas o coordinar tareas. Sin embargo, para una organización existe una pregunta anterior.
¿Qué le permitiremos hacer sin consultar?
No es lo mismo que un agente redacte una propuesta a que la envíe. Tampoco es lo mismo que recomiende una modificación de precio a que la aplique, que identifique una factura vencida a que contacte al cliente, o que detecte una anomalía a que bloquee una operación.
La capacidad técnica puede ser similar. La autoridad empresarial no lo es.
El National Cybersecurity Center of Excellence de NIST está estudiando precisamente cómo identificar a los agentes de software y de IA, administrar su identidad y autorizar sus accesos y acciones. El problema es fundamental: si un agente puede entrar a un CRM, ejecutar código, consultar información confidencial o activar una transacción, necesita una identidad reconocible y permisos tan deliberados como los de cualquier usuario o servicio digital.
Dar acceso a una herramienta no equivale a darle autoridad ilimitada.
La autonomía no es un interruptor
Con frecuencia se habla de mantener o retirar al ser humano del proceso como si existieran solamente dos alternativas: supervisión total o autonomía completa. En la práctica, la autonomía puede diseñarse por niveles.
Un agente puede:
1. Observar y recomendar. Analiza información y propone una acción, pero no modifica ningún sistema.
2. Preparar. Genera el correo, la orden, el reporte o el cambio, y espera autorización.
3. Ejecutar con aprobación. Realiza la acción después de recibir una confirmación específica.
4. Actuar dentro de límites. Opera automáticamente cuando se cumplen reglas, montos, horarios o condiciones previamente definidos.
5. Gestionar excepciones. Completa el proceso y solicita intervención únicamente ante señales de riesgo, ambigüedad o impacto elevado.
Esta escala no pretende ser una clasificación oficial. Es un marco práctico para evitar una decisión demasiado amplia: “activar agentes” para toda la empresa.
La pregunta correcta es más concreta: ¿qué nivel de autonomía merece cada acción?
Una misma tarea puede contener riesgos distintos
Volvamos al ejemplo de marketing.
Un agente puede analizar el desempeño de una campaña y sugerir mover presupuesto. Esa recomendación es reversible y todavía requiere criterio humano. Si además puede modificar la pauta, el impacto financiero se vuelve inmediato. Si también genera y publica mensajes, aparece el riesgo de reputación. Si utiliza datos personales para segmentar o personalizar, se suma el riesgo de privacidad. Y si aplica descuentos para recuperar clientes, puede afectar margen, contratos y consistencia comercial.
Por eso no conviene asignar autonomía a un proceso completo como si todas sus acciones fueran equivalentes.
La unidad de control debe ser la acción y su posible consecuencia.
Más autonomía exige una arquitectura de responsabilidad
El problema no se resuelve colocando a una persona frente a cada movimiento del agente. Una supervisión humana que aprueba decenas de solicitudes sin tiempo, contexto o capacidad para cuestionarlas puede convertirse en una formalidad. Incluso puede aumentar el sesgo de automatización: la tendencia a aceptar una salida porque proviene del sistema.
La supervisión efectiva necesita diseño.
El Reglamento de Inteligencia Artificial de la Unión Europea ofrece un principio útil, aunque sus obligaciones específicas de supervisión humana se refieren a sistemas de alto riesgo y no deben generalizarse a cualquier uso. Su artículo 14 establece que las medidas de supervisión deben ser proporcionales al riesgo, al nivel de autonomía y al contexto. También contempla que una persona pueda comprender las capacidades y limitaciones del sistema, ignorar o revertir su salida e interrumpirlo de manera segura.
La idea trasciende el cumplimiento regulatorio: supervisar no es mirar. Es tener información, autoridad y medios reales para intervenir.
El mandato de autonomía
Antes de poner un agente en producción, propongo documentar un mandato de autonomía. No es un estándar oficial, sino una herramienta de gobierno para convertir una intención general en límites operativos verificables.
Ese mandato debería responder seis preguntas:
1. ¿Cuál es su objetivo? Definir qué resultado debe buscar y qué objetivos quedan fuera de su función.
2. ¿A qué puede acceder? Especificar datos, aplicaciones, herramientas y credenciales, aplicando el principio de mínimo privilegio.
3. ¿Qué puede decidir? Separar recomendaciones, acciones permitidas y decisiones reservadas a una persona.
4. ¿Cuándo debe detenerse? Establecer umbrales monetarios, legales, reputacionales, de seguridad, privacidad o baja confianza que obliguen a escalar el caso.
5. ¿Qué evidencia debe conservar? Registrar instrucciones, fuentes consultadas, herramientas utilizadas, decisiones, aprobaciones, cambios y resultados.
6. ¿Quién responde? Nombrar a la persona propietaria del proceso, con autoridad para revisar, suspender, corregir y retirar el agente.
La última pregunta es la más importante.
Un agente puede ejecutar una acción, pero no puede asumir responsabilidad organizacional. La empresa sigue respondiendo por el diseño del proceso, los permisos concedidos, los controles omitidos y las consecuencias que se produzcan.
La OECD incluye la rendición de cuentas entre sus principios para una IA confiable. A su vez, el AI Risk Management Framework de NIST plantea que la gestión del riesgo debe incorporarse al diseño, desarrollo, uso y evaluación de los sistemas de IA. Ambos marcos apuntan a la misma dirección: la responsabilidad no aparece al final, cuando ocurre un incidente; se diseña desde el principio.
Sin trazabilidad, la autonomía se vuelve opacidad
Cuando una persona toma una decisión relevante, normalmente esperamos que pueda explicar qué información utilizó, qué criterio aplicó y quién la autorizó. Un agente no debería reducir esa exigencia.
La trazabilidad permite reconstruir qué sucedió. Pero conservar un historial técnico no basta si el registro es incomprensible, está fragmentado entre plataformas o nadie lo revisa.
Una organización necesita saber:
qué agente actuó;
en representación de qué proceso o persona;
con qué versión del modelo y de las instrucciones;
a qué datos y herramientas accedió;
qué decisión tomó y con qué límites;
qué resultado produjo;
quién aprobó una excepción;
y si la acción puede revertirse.
Esta información no elimina los errores. Permite detectarlos, investigarlos y aprender de ellos.
La necesidad es especialmente relevante porque los riesgos agénticos no se reducen a una respuesta equivocada. El marco OWASP Top 10 for Agentic Applications 2026 reúne riesgos de seguridad asociados con agentes capaces de planear, decidir y actuar en workflows complejos. Por otra parte, el AI Agent Index 2025, que documentó 30 agentes avanzados, encontró niveles desiguales de transparencia y poca información pública de muchos desarrolladores sobre seguridad, evaluaciones e impactos sociales.
Si el proveedor no explica suficiente, la organización necesita elevar sus propias pruebas, restricciones y registros. La ausencia de evidencia externa no debe compensarse con confianza interna.
Cinco pruebas antes de permitir que un agente actúe
Antes de aumentar el nivel de autonomía, conviene realizar una revisión breve, pero exigente.
1. Prueba de alcance
¿El objetivo está definido de manera suficientemente estrecha? “Mejorar ventas” es demasiado amplio. “Priorizar oportunidades que cumplen criterios documentados y preparar un seguimiento para aprobación” es verificable.
2. Prueba de autoridad
¿Los permisos corresponden a lo que el agente necesita hacer? Un sistema que prepara recomendaciones no necesita credenciales para modificar precios, publicar campañas o eliminar registros.
3. Prueba de consecuencia
¿Cuál es el peor resultado razonablemente previsible de una acción equivocada? A mayor impacto financiero, legal, reputacional o humano, menor debería ser la autonomía inicial y más clara la intervención requerida.
4. Prueba de reversibilidad
¿Podemos deshacer la acción de forma segura? Editar un borrador no equivale a enviar un mensaje a miles de clientes. Reordenar una lista no equivale a transferir recursos. La irreversibilidad debe elevar el umbral de aprobación.
5. Prueba de rendición de cuentas
¿Existe una persona que recibe alertas, revisa resultados, atiende incidentes y puede retirar permisos? Si todos utilizan el agente pero nadie es su propietario, la empresa ha automatizado la acción sin asignar responsabilidad.
Estas pruebas deben repetirse cuando cambie el modelo, se incorpore una herramienta, aumente el volumen, se conecte una nueva fuente de datos o se amplíe el objetivo. La autonomía concedida en un contexto no debe heredarse automáticamente en otro.
El indicador no es cuánto hace el agente, sino cuánto control conserva la empresa
La narrativa comercial suele presentar la autonomía como una carrera: el agente más avanzado sería el que necesita menos intervención humana. Para la empresa, esa métrica es insuficiente.
Un agente que actúa más no necesariamente crea más valor. Puede ejecutar con mayor rapidez una decisión mediocre, amplificar una instrucción ambigua o convertir un error pequeño en una cadena de acciones.
La madurez no consiste en retirar personas del proceso tan pronto como sea técnicamente posible. Consiste en reservar su atención para las decisiones donde el juicio, la responsabilidad y el contexto realmente importan, mientras la automatización opera dentro de límites claros.
Esto exige aceptar una idea menos espectacular, pero más útil: la autonomía empresarial no se compra como una función del software. Se diseña como una distribución de autoridad.
En algunos procesos, el agente solo debería recomendar. En otros, podría preparar y esperar. En tareas repetitivas, reversibles y de bajo impacto, quizá convenga permitirle ejecutar. Y en escenarios críticos, la organización necesitará aprobaciones, separación de funciones o incluso prohibir determinadas acciones.
No existe un nivel correcto para toda la empresa.
Existe un nivel adecuado para cada decisión.
En la columna anterior preguntábamos si una organización podría sustituir una solución de IA sin perder sus datos, conocimiento y capacidad de operar. Ahora debemos añadir una pregunta más exigente:
Si un agente puede actuar en nombre de su empresa, ¿están definidos los límites de su autoridad y la persona que responderá por sus decisiones?
La respuesta revelará si la organización está incorporando agentes de IA o si, sin darse cuenta, también está delegando el control.
Escalar la IA también puede escalar su dependencia
Can we create a clear understanding of what agentic AI is and does?
Software and AI Agent Identity and Authorization.
OWASP GenAI Security Project. OWASP Top 10 for Agentic Applications for 2026