Con los agentes de IA, el debate deja de ser de productividad. Cuando una herramienta puede acceder a datos, activar procesos o escribir a terceros, hablamos de permisos y responsabilidad.
De lo que puede hacer una IA a quien responde cuando actúa
La pregunta ya no es qué IA utilizamos, sino qué le hemos dejado hacer. Con los agentes, una herramienta puede acceder a datos, resumir información sensible, activar procesos, escribir a terceros o recomendar decisiones. Esto cambia la conversación: ya no hablamos de eficiencia, sino de permisos, responsabilidad y gobernanza. Varios estudios ya hablan de una brecha de control creciente a medida que el despliegue se acelera, lo que afecta de lleno a las entidades sociales.
El riesgo no es sólo que una IA se equivoque. El riesgo es no saber dónde está actuando, quién lo ha autorizado, con qué datos trabaja y quién responde cuándo corregir. En el caso de los agentes, la seguridad es ya una barrera real de adopción. Por eso hay tres preguntas que cualquier equipo directivo debería responder antes de escalar usos.
Tres preguntas antes de escalar usos
La primera: ¿tenemos un mapa real de los usos de IA dentro de la organización? No sólo las herramientas aprobadas, también las que ya se utilizan en comunicación, captación, atención o gestión documental. La segunda: ¿sabemos qué permisos tiene cada herramienta? Leer no es lo mismo que escribir; recomendar no es lo mismo que ejecutar; automatizar una labor interna no es lo mismo que intervenir en una relación con personas atendidas o donantes.
La tercera pregunta es la cadena de responsabilidad. Si una IA expone datos, genera una respuesta inadecuada o toma una acción fuera de contexto, la organización no puede descubrir entonces quién debía supervisarla. Esta cadena debe definirse antes, no después del incidente, y existen marcos de políticas de IA que ayudan a hacerlo.
De recomendar a ejecutar
El salto cualitativo de los agentes es que dejan de sugerir para empezar a actuar. Un asistente que redacta un borrador es algo; un agente que puede enviar el correo, modificar un registro o consultar una base de datos de personas atendidas es otra muy diferente. La frontera entre recomendar y ejecutar es precisamente donde una organización juega la responsabilidad, ya menudo es invisible hasta que alguien la traspasa sin querer.
Por eso el mapa de usos y permisos no es un ejercicio burocrático. Es la condición para que, el día en que algo falle, la organización pueda decir quién debía autorizarlo y quién debía supervisarlo, en vez de descubrirlo en medio del incidente.
Adoptar IA sin gobernanza puede parecer eficiencia; gobernarla bien es proteger la misión. ¿Sabrías decir ahora mismo qué permisos tienen las herramientas que tu entidad ya utiliza?
✳ Este artículo se ha elaborado con apoyo de IA generativa. Revisión y responsabilidad editorial: Enric Guinart Mauri. Más información →
