Las llaves del agente

Por Diego Urquijo · 28 de septiembre de 2026 · 6 min de lectura

Cuando un agente de IA se equivoca, el tamaño del daño casi nunca depende de lo inteligente que sea. Depende de las puertas que tenía abiertas.

Casi toda la conversación sobre adopción de inteligencia artificial gira alrededor del modelo: cuál es mejor, cuál razona más, cuál escribe con más naturalidad. Es una pregunta legítima, pero no es la que decide el riesgo. La que decide el riesgo es mucho más sencilla y casi nadie la responde por escrito: ¿qué puede tocar este agente?

El riesgo vive en el llavero, no en el modelo

Si un agente que solo puede leer se equivoca, el costo es una respuesta mala que alguien corrige. Si se equivoca un agente que puede enviar mensajes a clientes, cambiar un precio o borrar registros, el error ya no es una respuesta. Es un hecho. Es el mismo modelo con la misma instrucción, pero las consecuencias son completamente distintas.

En nuestras empresas operamos con agentes que responden leads y con tableros que se actualizan solos. Con los años aprendí que la diferencia entre que eso se sienta como tranquilidad o como vigilancia constante no está en la tecnología. Está en cómo se diseñaron los permisos desde el primer día.

Piensa en cómo recibes a una persona nueva en el equipo. No le entregas la chequera, la clave del banco y el acceso de administrador el lunes a las nueve. Le das lo que necesita para hacer su trabajo, la acompañas y le das más acceso a medida que demuestra criterio. Con un agente la lógica es la misma, con una ventaja: puedes definir cada permiso con una precisión que con las personas sería incómoda.

Cuatro tipos de llave

Para decidir qué entregar, ayuda separar los permisos en cuatro niveles, de menor a mayor consecuencia:

1. Leer. Consultar el CRM, revisar un tablero, buscar en documentos internos. El riesgo es bajo mientras la información no sea sensible.
2. Escribir en borrador. Preparar una respuesta, una cotización o un registro que queda pendiente. El agente hace el trabajo, una persona lo aprueba.
3. Escribir en firme. Enviar el mensaje, actualizar el estado de un cliente, agendar la cita. Aquí lo que haga el agente ya sale al mundo.
4. Comprometer. Cobrar, reembolsar, cambiar precios, borrar datos, aceptar condiciones. Todo lo que no se deshace con un clic.

La regla es simple: cada agente empieza en el nivel más bajo que le permita ser útil. Sorprende cuánto valor cabe en las dos primeras llaves. Un agente que lee todo y deja borradores impecables ya le devuelve horas al equipo, y en el peor de los casos queda un borrador que nadie envía.

Antes de conceder cualquier permiso de nivel tres o cuatro, hazte una pregunta: si esto sale mal un domingo de madrugada, ¿quién se entera, cuándo y cuánto cuesta deshacerlo? Si no tienes una respuesta clara para cada parte, esa llave todavía no se entrega.

Cada agente con su propia identidad

El error más común no es dar demasiados permisos. Es darlos con la cuenta equivocada. Se conecta el agente con el usuario del dueño, con la clave de administrador o con la llave de API general porque es lo más rápido. Desde ese momento todo lo que hace el agente parece hecho por una persona, y no hay forma de quitarle el acceso al agente sin quitárselo también a ella.

Lo sano es tratar al agente como un integrante más del organigrama digital:

• Una cuenta propia por agente, con un nombre que deje claro qué es y para qué existe.
• Credenciales separadas, guardadas en un gestor de secretos y nunca pegadas en un documento compartido.
• Permisos definidos sistema por sistema, no un acceso total por comodidad.
• Límites explícitos: un monto máximo, un volumen máximo de envíos por hora, un número máximo de registros que puede modificar en un día.

Los límites son lo que más se olvida y lo que más protege. Un agente con una instrucción mal escrita y sin límite puede repetir el mismo error cientos de veces antes de que alguien lo note. Con un límite, el error se detiene solo.

Todo lo que hace queda escrito

La otra mitad del diseño es la memoria. Cada acción del agente debería dejar rastro: qué hizo, cuándo, sobre qué dato y con qué razonamiento. No por desconfianza, sino porque sin registro no hay forma de aprender.

Cuando algo sale mal, el registro convierte una discusión en una revisión. Nadie tiene que adivinar ni defenderse. Se lee lo que pasó y se corrige la instrucción o el permiso. Cuando algo sale bien durante semanas, ese mismo registro es la evidencia que justifica entregar la siguiente llave.

A un agente no se le entrega confianza, se le entregan llaves. La confianza llega después, cuando el registro la respalda.

Junto al registro va el interruptor. Cualquier persona responsable del proceso debe poder apagar el agente o quitarle una llave en minutos, sin pedir permiso a nadie y sin depender de quien lo configuró. Si apagarlo requiere una reunión, en realidad no tienes interruptor.

Lo que puedes hacer el lunes

No hace falta una política de cuarenta páginas. Basta una hoja de cálculo y una tarde de concentración:

1. Haz el inventario. Anota cada agente, automatización e integración que hoy toca tus sistemas, incluidas las que alguien conectó solo para probar y nunca desconectó.
2. Asigna el nivel. Junto a cada una, escribe qué llaves tiene hoy según los cuatro niveles.
3. Marca lo urgente. Resalta toda llave de nivel cuatro que no tenga límite ni aprobación humana. Esa es tu lista de la semana.
4. Baja un nivel lo que sobra. Si un agente tiene permisos que no usa, quítaselos. Si en dos semanas nadie los extraña, nunca hicieron falta.
5. Agenda la revisión. Una vez al mes, repasa las llaves igual que repasas los movimientos bancarios.

Diseñar los permisos con criterio no frena la adopción de IA, la acelera. El equipo deja de temerle al agente cuando sabe exactamente qué puede y qué no puede hacer. El dueño deja de revisarlo todo cuando sabe que nada grave puede pasar sin una firma humana. Esa tranquilidad es la que permite delegar de verdad.

Empieza por el inventario. Es probable que encuentres alguna puerta abierta que nadie recuerda haber abierto. Ciérrala antes de conectar el próximo agente.