El control no es lo que el mercado te está vendiendo

Cuando un directivo de una empresa pequeña pregunta cómo controla a un agente de IA, lo más habitual es que le respondan con un catálogo: RBAC, audit logs centralizados, alertas en tiempo real, dashboards de gobernanza, comités de revisión, certificaciones. Todo eso existe, todo eso vale en empresas grandes, y casi nada de eso aplica a una pyme de cinco a treinta personas.

Para una empresa que no tiene un departamento de IT con cinco personas dedicadas, el control no se monta con herramientas caras. Se monta con tres decisiones de diseño al arrancar el agente. Si esas tres decisiones están bien tomadas, el control es real. Si están mal tomadas, ningún panel posterior compensa el agujero.

Este artículo describe los tres mecanismos en su versión pyme. No son teoría. Son lo que aplicamos cuando ponemos en marcha un agente para un cliente real, y lo que recomendamos cuando un cliente nuevo nos pregunta por dónde empezar. Si has leído el caso PocketOS o IA con criterio humano, este artículo es la pieza operativa que cierra el bucle.

Mecanismo 1: aprobación humana en los pasos que no se pueden deshacer

El primer mecanismo es el más simple de explicar y el que más gente se salta. Antes de dejar al agente en producción, se identifican los pasos del flujo que son irreversibles o costosos y se decide que en esos pasos el agente propone, pero un humano aprueba.

Irreversibles o costosos significa cosas muy concretas: enviar un mensaje a un cliente externo, mover dinero, modificar un registro legal o contable, comprometer a la empresa con una fecha o un precio, borrar información. Si rehacerlo cuesta minutos, no hace falta aprobación. Si rehacerlo cuesta una conversación incómoda, una factura rectificativa o una llamada al cliente, sí hace falta.

La forma operativa más sencilla para una pyme: el agente prepara la acción, la deja en un sitio donde un humano la ve (un correo, un canal de mensajería interna, una bandeja en una herramienta que ya use el equipo) y espera. Cuando el humano da el visto bueno, el agente ejecuta. Sin visto bueno, el agente no ejecuta. No hace falta más.

Esto se conoce en la jerga técnica como human in the loop, pero el nombre da igual. Lo importante es que el listado de pasos críticos esté escrito antes de arrancar y que el equipo sepa quién aprueba qué. Ese listado, en una pyme, cabe en una hoja de cálculo de quince filas.

El error más común. Pedir aprobación humana para todo. Si el humano tiene que aprobar cada paso, el agente no libera tiempo, lo consume. La gracia del mecanismo es que el 90% de los pasos van solos y el 10% crítico va con freno. Confundir prudencia con desconfianza convierte al agente en un formulario lento, y entonces nadie lo usa.

Mecanismo 2: sandbox por defecto con whitelist explícita

El segundo mecanismo responde a una pregunta distinta. La aprobación humana decide quién autoriza una acción. El sandbox decide qué tiene permitido tocar el agente en primer lugar. Son capas complementarias, no sustitutas.

La regla operativa es simple y, sobre todo, es la opuesta a lo que mucha gente hace al empezar. Por defecto, el agente no tiene acceso a nada. Cada sistema, carpeta, base de datos, API o herramienta a la que pueda llegar se añade de uno en uno y por escrito. Eso es la whitelist: una lista corta y explícita de lo que el agente puede tocar.

El motivo de hacerlo así, y no al revés, es estructural. Si arrancas con acceso amplio y vas restringiendo después, siempre queda algún sitio donde el agente puede entrar y no debería. Si arrancas con acceso cero y vas abriendo, lo que queda accesible está accesible a propósito, no por descuido. La diferencia entre las dos posturas se nota el día que algo va mal.

En una pyme, la whitelist se construye en una conversación de una mañana. Se hace una lista de los sistemas que el agente necesita de verdad para hacer su trabajo, se descarta el resto y se documenta. Si el agente tiene que leer correos, lee solo la bandeja específica que se le asigne, no toda la cuenta. Si tiene que escribir en una hoja de cálculo, escribe en esa hoja y no en la carpeta entera. Si tiene que consultar una base de datos, consulta las tablas que se le abren, no el esquema completo.

Esto no exige tecnología especial. Las herramientas SaaS que ya usa la pyme (Google Workspace, Microsoft 365, los CRM habituales, las plataformas de facturación) traen permisos granulares por defecto. Lo que falta no suele ser la herramienta, es la decisión de aplicarla. La preparación previa es la misma que recomendamos en agentes de IA para pymes: antes de dar acceso, definir el perímetro.

Cómo se ve un perímetro mínimo viable

Un ejemplo concreto, sacado de un despliegue real reciente. El agente leía pedidos entrantes de una bandeja específica de correo, los clasificaba, los registraba en una hoja de control en Google Sheets y preparaba un borrador de respuesta. La whitelist completa era esta:

El agente no tenía acceso al resto del correo, ni a la contabilidad, ni a la lista de clientes histórica, ni a la mensajería interna del equipo, ni a la red social corporativa. La pregunta que cierra la decisión: ¿qué pasaría si el agente se equivocase con cualquier cosa fuera de la whitelist? Respuesta: nada, porque no puede llegar ahí. Eso es control real.

Mecanismo 3: registro estructurado mínimo accionable

El tercer mecanismo es el que más se subestima en pyme, y el que más se agradece el día que algo no sale bien. Un agente que actúa sin dejar rastro es un agente sobre el que no se puede auditar nada después. El registro estructurado es el cuaderno de bitácora que convierte una pregunta difícil ("¿qué hizo el agente la semana pasada?") en una consulta de cinco minutos.

La palabra clave aquí es mínimo accionable. No se trata de un sistema de logging empresarial. Se trata de que cada acción significativa del agente deje cuatro datos: qué hizo, cuándo, sobre qué entidad y qué información usó para decidirlo. Cuatro columnas. Una fila por acción.

En una pyme, esto se monta sobre una herramienta que ya existe en la empresa. Una hoja de cálculo dedicada, una tabla en Notion, una base de datos sencilla. No hace falta más, mientras se escriba siempre y se escriba con un formato consistente. La consistencia es lo que permite leer mil filas en cinco minutos en lugar de en cinco horas.

La utilidad del registro aparece en tres momentos. En el día a día, permite revisar el trabajo del agente en lotes cortos (diez minutos a la semana basta) en lugar de revisar cada acción una a una. Cuando algo falla, permite reconstruir la cadena de eventos sin tener que reconstruirla de memoria. Y cuando llega el AI Act europeo en agosto de 2026, deja a la empresa preparada para responder a las obligaciones de trazabilidad sin un proyecto extra: hay registro porque ya había registro, no porque la ley lo haya forzado. Si te interesa cómo se está aplicando ese reglamento en empresas pequeñas, conviene revisar AI Act pyme: el aplazamiento de agosto 2026 y lo que cambia.

Qué se registra y qué no

Lo que se registra: cada acción que toca el mundo (escribir en una hoja, enviar un borrador, modificar un registro), cada aprobación humana solicitada y resuelta, cada error o salida inesperada del agente. Lo que no se registra: los pasos intermedios de razonamiento del agente, las consultas internas que no tocan datos, las repeticiones de la misma acción dentro de un mismo lote. Si se registra de todo, el registro deja de ser útil porque no se lee. Si se registra lo que importa, el registro se mantiene y se consulta.

Cómo encajan los tres mecanismos

Los tres mecanismos no son tres opciones entre las que elegir. Son tres capas que se aplican a la vez, cada una resolviendo un problema distinto.

  1. Sandbox con whitelist decide a qué puede llegar el agente. Es la capa estructural, se define una vez y rara vez cambia.
  2. Aprobación humana decide qué pasos críticos requieren validación antes de ejecutarse. Es la capa de decisión, se define en función del tipo de acción.
  3. Registro estructurado deja constancia de todo lo que el agente hace, dentro de su perímetro. Es la capa de trazabilidad, alimenta auditoría y mejora continua.

Una empresa que aplica los tres tiene control real. Una empresa que aplica solo uno tiene una sensación de control que se evapora la primera vez que algo va mal. Y lo que va mal con un agente de IA, va mal de forma silenciosa hasta que alguien lo encuentra: aquí enlazo con cuándo no usar IA en tu empresa, donde aparece el caso opuesto, el del proceso que no debería automatizarse de entrada.

Lo que conviene tener decidido antes de arrancar

Antes de poner el primer agente en producción, una pyme tendría que poder responder a estas preguntas. Si no puede responder a alguna, es señal de que falta diseño, no de que falten herramientas:

Si las seis respuestas existen, la empresa está lista para arrancar con control. Si tres o más respuestas faltan, conviene parar y resolverlas antes de poner al agente a hacer trabajo real. Es una conversación de una mañana con el responsable interno y el proveedor; cuesta menos que reconstruir un desastre después.

El criterio que aplica Ailitica

Cuando ponemos en marcha un agente para un cliente, los tres mecanismos están definidos antes de escribir una sola línea de configuración. No es opcional, no es una buena práctica que se añade al final, es parte del diseño desde el primer día. La whitelist se acuerda con el cliente antes del arranque. La lista de pasos críticos se acuerda con el cliente antes del arranque. El registro se acuerda con el cliente antes del arranque.

El motivo es muy directo. Un agente sin control no es un agente útil, es una bomba de relojería. Y un agente con control desproporcionado para el tamaño de la empresa tampoco es útil, porque se convierte en proceso pesado que nadie quiere usar. La proporción adecuada se decide al principio, leyendo a la empresa real que tenemos delante. No hay plantilla universal, hay criterio aplicado.

Si estás pensando en poner un agente de IA en producción y quieres revisar si los tres mecanismos están bien diseñados antes de arrancar, escríbenos a [email protected]. Revisamos tu caso, vemos lo que falta y, si conviene esperar a tener mejores cimientos, también lo decimos.