Antes de darle permisos a un agente

Antes de conectar un agente a herramientas reales, yo no partiría preguntando qué modelo usa.

Partiría con algo más incómodo.

¿Qué puede tocar? ¿Qué no puede tocar nunca? ¿Cuándo tiene que pedir permiso? ¿Dónde queda registrado lo que hizo? ¿Quién responde si se equivoca?

Suena menos entretenido que probar la demo.

Pero cuando un agente deja de responder en un chat y empieza a actuar sobre correo, documentos, CRM, Jira, servidores o workflows, la conversación cambia.

Ahí la autonomía deja de ser una palabra bonita. Empieza a ser un riesgo operativo.

No porque la IA sea mala. Sino porque cualquier sistema que ejecuta sin límites claros termina creando deuda.

A veces pequeña. A veces cara. A veces invisible por semanas.

Por eso me cuesta tomar en serio automatizaciones que no tienen logs, scopes, revisión humana o modo de deshacer.

Un agente útil no debería ser una caja negra con acceso a todo.

Debería operar con permisos mínimos. Debería explicar qué hizo. Debería saber cuándo detenerse. Debería dejar evidencia suficiente para que una persona pueda revisar sin reconstruir la historia desde cero.

Ese es el punto que muchas demos saltan.

La demo muestra que el agente puede. La operación exige saber bajo qué condiciones debería.

Y esa diferencia, en empresas reales, importa más de lo que parece.