RECURSOS DATATORIA
Cómo definir permisos y supervisión para agentes de IA
Antes de permitir que un agente actúe sobre un proceso empresarial, acuerda su autoridad, los controles y la evidencia necesaria para ampliar sus permisos.
Por Datatoria · Actualizado el 4 de octubre de 2026
Descargar la ficha editableDescribe la tarea y su impacto
Empieza por una acción concreta: clasificar solicitudes, preparar una respuesta o actualizar un registro. Identifica qué ocurre si el agente se equivoca, qué personas reciben el resultado y si la acción puede revertirse. Un agente que resume documentos necesita controles distintos de uno que modifica pedidos.
Microsoft incorpora identidad, permisos, registros y supervisión en el gobierno de agentes. NIST ofrece un marco voluntario para gestionar riesgos de IA. Estas referencias ayudan a organizar los controles; no acreditan por sí mismas que una implementación sea segura.
Acuerda cinco niveles de autoridad
La siguiente escala es una propuesta operativa para conversar sobre permisos; no es una clasificación oficial de Microsoft o NIST.
- Informar: consultar fuentes autorizadas y recomendar una acción sin ejecutarla.
- Preparar: generar un borrador que una persona revisa antes de utilizarlo.
- Ejecutar tareas reversibles: realizar acciones definidas dentro de límites de volumen, costo y alcance.
- Coordinar un flujo: encadenar tareas aprobadas, observar el resultado y escalar excepciones.
- Operar un proceso acotado: actuar dentro de una autorización revisada periódicamente, con trazabilidad y capacidad de interrupción.
El paso a otro nivel depende de las pruebas, del impacto y de la capacidad de detectar y corregir fallas. Una buena respuesta en una demostración no justifica automáticamente ampliar la autoridad.
Configura los límites antes de activar el agente
- Identidad: usa una identidad identificable y permisos ajustados a la tarea.
- Datos: registra fuentes permitidas, información excluida y reglas de conservación.
- Herramientas: distingue consulta, escritura, envío y eliminación; autoriza cada acción por separado.
- Operación: fija un límite de acciones y presupuesto, un responsable y una condición de parada.
- Evidencia: conserva el registro necesario para reconstruir qué solicitó el usuario, qué hizo el agente y quién aprobó.
No registres secretos o información personal innecesaria para obtener trazabilidad. Comprueba que un documento o mensaje recibido por el agente no pueda cambiar por sí mismo sus permisos ni el destino de la información.
Prueba también las excepciones
En un entorno de prueba, incluye datos incompletos, instrucciones contradictorias, fuentes no disponibles, solicitudes fuera del alcance y una interrupción durante el flujo. Verifica que el agente se detenga o derive el caso según lo acordado. Prueba además quién puede suspenderlo y cómo se recupera el proceso manual.
Ejemplo hipotético: un agente de soporte consulta una base aprobada y prepara respuestas. Puede clasificar un ticket, pero necesita revisión humana para enviar instrucciones al cliente o cerrar una incidencia crítica. Su ficha separa esas acciones para evitar que una autorización general permita todo el flujo.
Revisa la autorización cuando cambie el proceso
Asigna una fecha de revisión y vuelve a probar después de cambiar el modelo, las herramientas, los datos o los permisos. Registra incidentes y excepciones junto con la decisión tomada. Si nadie puede explicar una acción importante o detener el agente, corrige esa condición antes de ampliar su alcance.
Preguntas frecuentes
¿Un agente necesita los mismos permisos que su supervisor?
No. Debe recibir los permisos necesarios para sus tareas autorizadas. La supervisión humana no requiere compartir una cuenta ni delegar todos sus accesos.
¿Todo resultado necesita aprobación manual?
Depende del impacto, la reversibilidad y los controles probados. Define expresamente qué tareas pueden ejecutarse y cuáles requieren aprobación o escalamiento.
Ficha práctica para tu equipo
Ficha de autorización de un agente de IA. Incluye campos para completar responsables, evidencias y próximos pasos. Puedes editar el archivo de texto y adaptarlo a tu proceso.
Descargar la ficha editable