Tu agente de IA tiene más accesos de los que reconocerías en voz alta

Un agente de IA solo es útil si puede tocar tus sistemas: leer el CRM, enviar correos, crear facturas, mover datos. Y ahí aparece una decisión que casi nadie toma de forma consciente: qué puede hacer exactamente y con qué credenciales.

En la mayoría de empresas la respuesta real es incómoda. El agente funciona con la cuenta de alguien de confianza, con permisos de administrador, porque era lo más rápido para que el piloto arrancara. El piloto funcionó, se quedó en producción, y nadie ha vuelto a mirar qué puede hacer esa cosa un martes a las tres de la mañana.

El patrón que se repite

Casi todos los proyectos de agentes pasan por la misma secuencia. Primero, prisa por demostrar valor: se conecta el agente con la credencial que había a mano, normalmente la de quien lo montó. Segundo, el agente funciona y se le van añadiendo capacidades: ya no solo lee el correo, también responde; ya no solo consulta el ERP, también crea registros. Tercero, la persona cuya cuenta usa el agente cambia de rol o se va, y ahora hay un proceso crítico ejecutándose con la identidad de alguien que ya no está.

Ninguno de estos pasos es una negligencia grave por separado. El problema es la suma: un sistema autónomo, con permisos amplios, sin identidad propia y sin nadie que lo revise.

Por qué un agente no es un empleado más

La tentación es tratar los permisos del agente como los de una persona: “hace el trabajo de un administrativo, pues los accesos de un administrativo”. El razonamiento falla en tres puntos:

• No tiene sentido del contexto. Un empleado que recibe un correo pidiendo exportar toda la base de clientes levanta la ceja. Un agente, si el texto está bien construido, puede interpretarlo como una instrucción legítima. Los ataques de inyección de instrucciones existen precisamente porque los agentes leen contenido externo —correos, webs, documentos— y actúan sobre él.
• Opera a velocidad de máquina. Un error humano afecta a un registro. Un agente equivocado afecta a tres mil antes de que nadie mire. El mismo permiso tiene un radio de daño completamente distinto.
• No rinde cuentas. Si algo sale mal con la cuenta de Marta, hablas con Marta. Si el agente usa la cuenta de Marta, ni siquiera puedes distinguir en los registros qué hizo ella y qué hizo el sistema.

Las tres reglas que evitan el 90% del problema

Identidad propia. Cada agente con su propia cuenta de servicio, nunca la cuenta personal de un empleado. Cuesta una hora configurarlo y te da algo que no tiene precio: saber siempre qué hizo el agente y qué hizo la persona. Además, revocar accesos deja de ser traumático.

Mínimo privilegio de verdad. No “acceso al CRM”, sino acceso de lectura a las fichas de cliente y de escritura solo al campo de notas. La pregunta correcta no es qué le facilita el trabajo al agente, sino qué es lo mínimo que necesita para esta tarea concreta. Todo lo que esté por encima de eso es superficie de riesgo sin retorno.

Separar leer de actuar. Que un agente lea datos y prepare un borrador tiene un riesgo bajo. Que envíe, borre, pague o modifique es otra categoría. Para las acciones irreversibles —enviar comunicaciones a clientes, tocar facturación, borrar registros— pon aprobación humana. No en todo: en lo irreversible. Un agente que prepara 40 respuestas y una persona que las aprueba en 10 minutos sigue ahorrando el 95% del tiempo.

Un ejemplo concreto

Un agente de recobro que gestiona facturas vencidas. Versión peligrosa: acceso completo al ERP y al correo corporativo, envía reclamaciones directamente. Versión sensata: cuenta de servicio con lectura de facturas y vencimientos, escritura solo en su propio registro de actividad, y los correos de reclamación salen a una bandeja de aprobación donde administración los revisa en bloque cada mañana.

La diferencia de productividad entre ambas versiones es mínima. La diferencia de riesgo es enorme: en la primera, un fallo o una manipulación puede reclamar deudas inexistentes a tus mejores clientes con tu dominio y tu firma.

Audítalo esta semana

No necesitas un proyecto de seguridad. Necesitas una tarde y cuatro preguntas por cada agente o automatización que tengas en marcha:

1. ¿Con qué cuenta opera? Si es la de una persona, cámbialo ya.
2. ¿Qué puede escribir, enviar o borrar? No qué hace normalmente: qué podría hacer con los permisos que tiene.
3. ¿Qué acciones irreversibles ejecuta sin que nadie las vea antes? Decide cuáles deberían pasar por aprobación.
4. ¿Quién revisa sus registros y cada cuánto? Si la respuesta es nadie, ya sabes por dónde empezar.

Los agentes van a tener cada vez más accesos porque cada vez harán más cosas. Eso no es el problema. El problema es dárselos como se han dado hasta ahora: deprisa, con la cuenta de alguien y sin que nadie lo haya decidido. Los permisos de un agente son una decisión de negocio, no un detalle técnico. Trátala como tal.