Permisos y controles de agentes de IA: cómo diseñarlos paso a paso

Los permisos y controles de un agente de IA se diseñan antes de darle un solo caso real, y se diseñan como se le dan poderes a un empleado nuevo: acceso a lo justo, límites en lo que puede comprometer y una forma rápida de retirarle todo. En la práctica son cinco decisiones concretas: qué puede leer y escribir, hasta qué importe o volumen puede llegar solo, qué exige la firma de una persona y cómo se le revoca el acceso. Este es el orden en que las tomo cuando preparo un despliegue.

Paso 1: inventaría qué necesita tocar el agente

Antes de conceder nada, escribe la lista de sistemas que el proceso toca y clasifica cada uno en tres columnas: lectura, escritura y prohibido. Un agente que concilia facturas necesita leer pedidos y albaranes, escribir en el registro de conciliación y tiene prohibido emitir pagos. La disciplina está en que la columna de prohibido no quede vacía por defecto: todo lo que no esté justificado por la función va ahí.

Sistema	Acceso del agente conciliador
Pedidos y albaranes	Lectura
Registro de conciliación	Escritura
Emisión de pagos	Prohibido
Nóminas y RR. HH.	Prohibido
Correo saliente a proveedores	Escritura con aprobación

Este inventario es también el mapa de tu superficie de riesgo. Cada permiso de escritura y cada acceso de lectura a datos sensibles es una vía por la que un error o un ataque puede propagarse, por eso conviene revisarlo junto con las amenazas de seguridad de un agente, porque el permiso excesivo es lo que convierte un fallo pequeño en uno caro.

Paso 2: dale identidad propia y permiso mínimo

Conectar el agente con la cuenta de una persona es lo más rápido y lo peor. Hereda todos los permisos de esa cuenta y, además, los sistemas registran sus acciones como si fueran las del empleado, con lo que pierdes la capacidad de distinguir quién hizo qué. Dale credenciales propias, acotadas al proceso que opera. La regla es de lectura donde baste leer y de escritura solo donde escribir sea su trabajo, aplicada con más rigor del que aplicarías a una persona, porque con el agente puedes hacerlo de forma exacta y verificable.

Empieza estrecho y amplía con evidencia. Es más barato conceder un permiso más cuando el proceso lo pide que retirar uno que nunca debió existir después de un incidente.

Paso 3: fija límites de acción y de gasto

Los permisos dicen qué puede tocar el agente. Los límites dicen hasta dónde puede llegar solo. Son la capa que más despliegues se saltan y la que primero pregunta un director financiero. Cuatro tipos cubren casi todo:

• Tope por operación. El valor máximo de una acción individual sin intervención: un importe de pago, un descuento, un ajuste de precio.
• Tope acumulado. El máximo por periodo, para que muchas acciones pequeñas no sumen un problema grande sin que nadie lo vea.
• Límite de ritmo. Cuántas acciones por unidad de tiempo. Un agente puede repetir el mismo error cientos de veces antes de que una persona lo note, y el límite de ritmo acota cuántos casos afecta antes de que salte una revisión.
• Umbrales de excepción. Condiciones que, al cumplirse, sacan el caso del flujo automático: un cliente nuevo, una desviación sobre las condiciones del contrato, un dato que falta.

El criterio para poner cada número es la reversibilidad. Lo que se deshace barato admite un tope alto. Lo que no se deshace se acota corto o se prohíbe. Imagina una distribuidora de 80 M€ cuyo agente aplica notas de crédito: un tope por operación bajo, un acumulado diario y firma humana para cualquier cliente fuera de la cartera habitual acotan el daño de un error a una cifra que el comité puede tolerar.

Paso 4: define qué exige aprobación humana

El escalado a una persona forma parte de la especificación desde el primer día, no es un parche que se añade tras el susto. La pregunta es qué acciones no deberían ejecutarse nunca sin que alguien las mire. Mi lista de partida son las irreversibles y las que comprometen a la empresa frente a un tercero: enviar dinero, borrar registros, adquirir un compromiso con un cliente, dar de alta un nuevo proveedor. Esas van con firma hasta que la evidencia justifique otra cosa.

Para el resto, la revisión no tiene por qué ser caso a caso. Revisar todo elimina buena parte del beneficio, y no revisar nada deja el error del modelo sin freno. Entre medias está el muestreo, con una tasa que se ajusta según los fallos observados. Dónde poner esa frontera y cómo preparar el caso para quien lo revisa lo trato en detalle en el escalado de excepciones a humanos, y encaja con el patrón general de human in the loop.

Paso 5: prepara la revocación y la revisión

Un permiso sin fecha de caducidad tiende a quedarse para siempre. Cada concesión debería llevar asociada una condición de revisión: cuándo se mira si sigue siendo necesaria y con qué criterio se amplía o se retira. Y todo agente necesita una forma inmediata de cortarle el acceso, un interruptor que un responsable de negocio pueda accionar sin llamar a un técnico, para el día en que algo va mal y hay que pararlo antes de entender por qué.

La autonomía se gana con historial, igual que con las personas. Cuando meses de registro demuestran que una clase de casos se resuelve bien, el límite se amplía, y si aparece una clase nueva de error, se contrae. Eso exige que el registro exista y sea legible, que es justo lo que conecta este trabajo con la auditoría de las decisiones del agente: sin traza no puedes justificar ninguna ampliación de permisos.

Cómo encaja con la seguridad y la gobernanza

Estos cinco pasos son el diseño operativo de los límites. Por qué esos límites importan lo explican las amenazas propias de un agente. Cómo se demuestra que se han respetado lo explica la auditoría de sus decisiones. Y el marco que decide quién fija el apetito de riesgo y quién responde es el de la gobernanza de agentes. Diseñar los permisos desde el principio, en lugar de después del primer incidente, es lo que permite ampliar el alcance del agente sin rehacer la arquitectura, y es parte de lo que reviso al preparar una empresa para agentes. El contexto completo de qué ejecuta un agente y con qué garantías está en agentes de IA para empresas.

Preguntas frecuentes

¿Cuál es la diferencia entre un permiso y un control?

Un permiso dice qué sistemas puede tocar el agente y en qué modo: leer, escribir o nada. Un control dice hasta dónde puede llegar dentro de lo permitido: un tope de importe, un límite de ritmo, una acción que exige firma humana. El permiso define la superficie; el control, la profundidad. Se necesitan los dos.

¿Puede el agente usar las credenciales de un empleado para ir más rápido?

Puede, pero es la decisión que más problemas concentra. El agente hereda todos los permisos de esa persona, incluidos los ajenos a su tarea, y los sistemas dejan de distinguir sus acciones de las del empleado. Darle identidad propia cuesta algo más al principio y te devuelve permiso mínimo y trazabilidad, que son la base de todo lo demás.

¿Cuánta autonomía es razonable al arrancar?

Poca y creciente. Al principio conviene que el agente trabaje en lectura o en propuesta para todo lo que tenga consecuencias externas, y que las acciones irreversibles pasen por una persona. La autonomía se amplía por clases de casos cuando el registro muestra una tasa de error aceptable, con cada permiso ligado a una fecha y una condición de revisión.

¿Necesito personal técnico para gestionar los permisos día a día?

Depende del modelo. Si construyes o compras la plataforma, alguien de tu casa mantiene identidades, límites y revisiones. Si contratas una operación gestionada, el proveedor mantiene ese mecanismo y tu equipo conserva la autoridad para fijar los límites y accionar la revocación. Lo que no debería ocurrir nunca es que nadie sepa quién puede pararlo.