Le has pedido a un asistente digital que te ahorre tiempo. Le has dado acceso a tu correo electrónico, a tus archivos y quizá a tu tienda online. Si toma una decisión equivocada, ¿hasta dónde podría llegar?
El 19 de octubre de 2026, Microsoft planteó una cuestión relacionada con el uso cotidiano de la inteligencia artificial en el trabajo: el riesgo que suponen los agentes de IA instalados por la propia empresa.
El asistente que puede hacer más de lo necesario
En el comunicado «Securing the agentic insider», la empresa señala que los agentes suelen disponer de permisos excesivos. Tienen acceso a datos y herramientas y participan en procesos críticos. Su comportamiento puede desviarse de la intención del usuario, sin que haya habido previamente una intrusión por parte de piratas informáticos.
Microsoft propone una supervisión y controles continuos de sus acciones, presentando el papel de los denominados «Guardian Agents» y del «Project Perception». Se trata de su propio enfoque en materia de seguridad, no de una garantía de que una herramienta elimine todo riesgo.
De «escríbeme» a «hazlo por mí»
Para apreciar el cambio, piensa en dos tareas diferentes. En la primera, le pides a la IA que redacte una respuesta a un cliente. Lees el texto, corriges lo que sea necesario y lo envías. En la segunda, le pides que lea los mensajes entrantes, que decida cuáles requieren respuesta y que se encargue de la comunicación.
La segunda opción promete un mayor ahorro de tiempo. Sin embargo, le plantea al asistente una serie de decisiones: qué mensaje es importante, qué archivo corresponde a ese cliente concreto, qué puede prometerle y cuándo debe detenerse para consultarte.
Ahí radica el encanto de los agentes y ahí es donde hay que prestar atención. La capacidad de completar una secuencia de tareas adquiere verdadero valor cuando cada paso se mantiene dentro de los límites de la tarea asignada.
El correo electrónico que pretende convertirse en una orden
También existe una trampa menos obvia. OWASP, el proyecto internacional de seguridad de aplicaciones, describe la «inyección indirecta de comandos»: las instrucciones contenidas en contenido externo, como una página web o un archivo, pueden influir en el comportamiento del modelo.
En pocas palabras, un texto que el asistente debe leer como información intenta dictarle lo que debe hacer. OWASP describe también un escenario con un asistente de correo electrónico en el que un mensaje entrante malicioso lo engaña para que busque información confidencial y la reenvíe. Se trata de un ejemplo de riesgo recogido en la documentación, no de un incidente que hayamos detectado en alguna empresa griega.
El resultado depende de la aplicación y de los permisos que tenga. Un asistente que solo puede leer tiene un ámbito de actuación diferente al de uno que, además, puede enviar, borrar o modificar datos.
Un ejemplo sencillo de una tienda online
Supongamos que le pides a un asistente que localice los pedidos atrasados. Para esta tarea, necesita consultar datos y elaborar una lista. Si además le has dado la posibilidad de realizar devoluciones, modificar precios o enviar mensajes, le has abierto muchas más puertas.
El ejemplo es hipotético. Sin embargo, ilustra por qué el acceso debe ajustarse a la tarea concreta. «Encuentra el problema» y «haz lo que consideres necesario» son instrucciones diferentes.
La trampa de «pues ayer lo hizo bien»
Sigamos con la tienda online hipotética. El primer día, el asistente prepara una lista de pedidos impecable. El segundo, redacta respuestas útiles. Entonces surge un caso límite: el cliente solicita una sustitución, el producto no está disponible y una nota antigua indica un acuerdo diferente.
El éxito en las tareas anteriores no responde a la pregunta de quién tiene derecho a comprometer a la tienda en este momento. Antes de automatizar este paso, hay que definir qué decisiones puede tomar el asistente y cuáles requieren la intervención de un responsable.
Una prueba práctica consiste en pedir que te describan qué sucederá en caso de excepción. Todo el mundo puede presentar un proceso sin contratiempos. La calidad de una instalación también se refleja en cómo se gestionan los pedidos ambiguos, los destinatarios equivocados o las tareas que no deben proseguirse.
Los límites requieren también una aplicación técnica
OWASP relaciona la autonomía excesiva con tres aspectos: más funciones, más derechos y más libertad de acción de la que requiere el trabajo. Propone permisos limitados, aprobación humana para acciones de gran impacto y controles de autorización en los sistemas conectados.
Esto significa que el «no envíes nada sin permiso» no debe quedarse solo en una buena intención en la conversación. Cuando se requiera autorización, el propio flujo de trabajo debe imponerla. El registro de acciones ayuda a comprender lo que ha ocurrido, pero por sí solo no anula un envío que ya se ha realizado.
Qué debes aclarar antes de pulsar «Conectar»
Para una pequeña empresa, un buen punto de partida son cuatro preguntas concretas:
- ¿Qué puede consultar? ¿Solo los archivos necesarios o toda la base de datos de clientes?
- ¿Qué puede modificar? ¿Elabora propuestas o interviene directamente?
- ¿Cuándo debe solicitar autorización? El envío a un cliente y la devolución de dinero requieren normas claras.
- ¿Cómo se comprueba lo que se ha hecho? Debes poder supervisar la acción y bloquear el acceso.
Estas son propuestas prácticas de BEEGITAL para el diseño de un flujo de trabajo. No constituyen la descripción de un caso concreto.
Como vimos en el artículo sobre quién puede escribir una respuesta en Facebook, la IA pasa de la redacción de texto a la ejecución de acciones.
Antes de asignarle una tarea, define hasta dónde llega su competencia. Esto hace que la automatización sea más útil y controlable.
Imagen ilustrativa: FlyD / Unsplash.