Qué es un agente de IA
Un chatbot contesta con texto. Un agente, además, usa herramientas: busca en tus documentos, consulta una API, escribe en una base de datos o manda un correo. Eso es lo que lo hace útil y lo que lo vuelve peligroso, porque ya no solo dice cosas, las hace.
Dentro de la empresa suelen nacer pegados a algo que ya existe: el buscador interno, el CRM, la mensajería. Ahí es donde heredan permisos que nadie revisó.
Tipos de agentes de IA
Los manuales los clasifican por cómo deciden: reactivos, basados en objetivos, que aprenden. En una empresa sirve más clasificarlos por lo que pueden hacer. El asistente con herramientas responde y consulta sistemas cuando se le pide. El agente de flujo ejecuta solo una tarea de varios pasos, como clasificar correos y abrir incidencias. Y en los sistemas de varios agentes uno planifica y otros ejecutan, que es lo que suele llamarse IA agéntica.
Cuanta más autonomía, más importa lo que puede tocar. Un asistente que solo lee es un riesgo de datos; un agente que escribe, envía o paga es además un riesgo de dinero y de reputación.
Ejemplos de agentes de IA en una empresa
Atención al cliente: contesta con la base de conocimiento y abre el caso en el CRM. Ventas: resume llamadas y actualiza oportunidades. Desarrollo: escribe cambios y propone pull requests. Datos: responde preguntas de negocio consultando el almacén de datos. Operaciones: lee alertas, busca la causa y propone el arreglo.
En todos se repite la misma pregunta: con qué permisos actúa y quién ve lo que hace. Un agente de soporte que puede leer todos los casos puede devolver los de otro cliente; uno de datos que consulta con permisos de administrador responde lo que quien pregunta no debería ver.
Qué puede salir mal
Tres cosas se repiten. La primera, que devuelva a una persona datos que no le tocan, porque el agente ve más de lo que ve quien pregunta. La segunda, prompt injection: un texto escondido en un documento o en una web le cambia las instrucciones. Y la tercera, que actúe de más: borra, envía o paga sin que nadie lo haya aprobado.
Ninguna de las tres se ve en la demostración, porque en la demostración el documento es tuyo, la pregunta es amable y el volumen es de tres ficheros.
Qué revisamos antes de dejarlo solo
Qué datos puede leer y devolver, y a quién; qué herramientas puede usar y con qué límites de gasto y de uso; su resistencia a prompt injection, probada a mano con los casos que usaría quien quiera abusar; qué queda registrado de cada decisión; y qué pasa cuando el modelo cambia, que es lo que nadie vuelve a mirar.
Esa revisión es la de gobernanza de la IA cuando hablamos del conjunto, y la del backend y su API cuando hablamos del sistema donde vive el agente.