Si un agente representa a su empresa, debe poder demostrarlo
La nueva iniciativa de la ITU anticipa una exigencia empresarial: identificar quién actúa, con qué autoridad y bajo qué límites.
Introducción
El 9 de julio de 2026, la International Telecommunication Union anunció la creación de un nuevo grupo internacional dedicado a desarrollar marcos de confianza para agentes de inteligencia artificial.
La iniciativa busca establecer fundamentos para que estos sistemas puedan ser identificables, confiables y permanezcan sujetos a un control humano significativo cuando interactúen entre plataformas, personas y organizaciones.
La noticia podría parecer un nuevo capítulo del debate sobre inteligencia artificial responsable. Sin embargo, su implicación empresarial es más concreta.
Los agentes ya no solo generan contenido, analizan información o recomiendan respuestas. Comienzan a coordinar actividades, interactuar con sistemas y ejecutar acciones en representación de personas y organizaciones.
Eso cambia la naturaleza del control corporativo.
El problema ya no es solamente qué respondió la IA
Durante la primera etapa de adopción, muchas empresas concentraron sus controles en el contenido generado por la inteligencia artificial:
- Exactitud de las respuestas.
- Protección de información.
- Posibles sesgos.
- Privacidad de los datos.
- Aprobación humana.
Estos controles siguen siendo necesarios, pero resultan insuficientes cuando un sistema también puede actuar.
Un agente conectado con el proceso de compras podría solicitar cotizaciones, comparar proveedores, negociar condiciones o iniciar una orden.
Otro podría consultar expedientes, contactar clientes, modificar una reservación, procesar una devolución o preparar una transacción financiera.
En estos escenarios, la pregunta deja de ser únicamente si la respuesta producida por la inteligencia artificial fue correcta.
La empresa también debe poder determinar:
- Qué agente intervino.
- A qué organización pertenecía.
- En nombre de quién actuó.
- Qué permisos tenía.
- Qué límite económico podía comprometer.
- Qué evidencia dejó.
- Quién era responsable de supervisarlo.
- Quién podía detenerlo.
Éste es el cambio estratégico contenido en la iniciativa de la ITU: la identidad digital del agente comienza a convertirse en una pieza del modelo de control empresarial.
Tener acceso no equivale a tener autoridad
Las organizaciones administran sus sistemas mediante cuentas, perfiles, funciones y permisos. Sin embargo, un agente de IA introduce una complejidad adicional: puede combinar instrucciones, datos, contexto y herramientas para decidir cómo alcanzar un objetivo.
Por eso, conceder acceso técnico a un sistema no debería interpretarse automáticamente como autorización empresarial para actuar.
Un agente puede tener capacidad para consultar precios sin estar autorizado para aceptar una oferta.
Puede preparar una respuesta para un cliente sin representar formalmente la posición de la empresa.
Puede identificar una factura sin estar autorizado para decidir o ejecutar su pago.
Esta separación entre capacidad técnica y autoridad empresarial debe quedar explícita.
De lo contrario, la organización corre el riesgo de tratar una actuación automatizada como si fuera una simple consulta de software, incluso cuando haya producido una consecuencia financiera, contractual, operativa o reputacional.
Los cuatro controles que necesita un agente empresarial
Desde la perspectiva de JAB, la señal de la ITU permite anticipar cuatro controles fundamentales para las organizaciones que comienzan a delegar acciones en agentes de IA.
1. Identidad verificable
Cada agente debe contar con una identidad propia, única y distinguible.
El uso de credenciales genéricas, cuentas compartidas o accesos difíciles de rastrear impide establecer con precisión qué sistema realizó una acción.
La identidad también debe permitir reconocer:
- Qué organización controla al agente.
- Qué área es responsable de su operación.
- Qué versión del agente estaba activa.
- Qué propietario empresarial responde por sus resultados.
Sin una identidad verificable, la trazabilidad comienza incompleta.
2. Mandato definido
La organización debe documentar qué objetivo puede perseguir el agente, a quién representa y en qué procesos puede intervenir.
El mandato debe especificar claramente:
- Propósito autorizado.
- Procesos incluidos.
- Información disponible.
- Decisiones permitidas.
- Acciones expresamente prohibidas.
- Circunstancias que requieren intervención humana.
Un objetivo general como “optimizar compras” o “mejorar el servicio” no constituye un mandato suficiente cuando el agente tiene capacidad de actuar.
3. Autoridad limitada
Los permisos deben incorporar límites de monto, tiempo, contraparte, información y tipo de decisión.
No basta con conceder o negar acceso a una aplicación completa.
Un agente podría estar autorizado para solicitar propuestas, pero no para seleccionar unilateralmente a un proveedor. También podría procesar devoluciones hasta cierto monto y requerir aprobación humana cuando exceda ese límite.
La autoridad necesita ser proporcional al riesgo y a la consecuencia potencial de cada actuación.
4. Evidencia trazable
La empresa debe conservar evidencia suficiente para reconstruir lo ocurrido.
Esto puede incluir:
- Instrucción recibida.
- Información consultada.
- Fuentes utilizadas.
- Herramientas ejecutadas.
- Decisiones intermedias.
- Aprobaciones humanas.
- Acción final realizada.
- Excepciones o alertas generadas.
Estos elementos no garantizan por sí solos que una decisión sea correcta. Sí permiten reconocer al actor digital, reconstruir su actuación y asignar responsabilidad.
La confianza también tendrá que funcionar entre empresas
El reto aumentará cuando los agentes de IA comiencen a interactuar fuera de la organización.
Un agente de compras podría negociar con el agente comercial de un proveedor.
Un agente financiero podría intercambiar instrucciones con una institución bancaria.
Un asistente de servicio podría coordinar una devolución con una plataforma logística.
En estas interacciones, cada parte necesitará verificar que el agente contrario realmente representa a la organización que afirma representar y que posee autoridad suficiente para realizar la operación propuesta.
La confianza ya no dependerá únicamente de contratos entre empresas y accesos entre sistemas.
También requerirá mecanismos para:
- Autenticar actores autónomos.
- Validar sus atribuciones.
- Comprobar sus límites.
- Conservar evidencia compartida.
- Revocar su autoridad cuando sea necesario.
Éste es uno de los motivos por los que la estandarización internacional resulta relevante.
Las cadenas empresariales atraviesan jurisdicciones, proveedores tecnológicos y plataformas diferentes. Un esquema aislado puede controlar a un agente dentro de una empresa, pero no necesariamente generar confianza cuando interactúa con otras organizaciones.
La implicación para México y Latinoamérica
En México y Latinoamérica, la adopción de agentes puede avanzar más rápido que la formalización de sus controles.
Muchas organizaciones todavía operan con procesos fragmentados, accesos compartidos, integraciones parciales y decisiones cuya evidencia queda distribuida entre correos electrónicos, hojas de cálculo, sistemas y aplicaciones de mensajería.
Agregar agentes de IA sobre esa base puede aumentar la velocidad operativa, pero también ampliar la ambigüedad.
La prioridad no debería ser esperar hasta que exista un estándar internacional definitivo. Tampoco desarrollar una infraestructura excesiva antes de probar cualquier caso de uso.
El paso razonable consiste en incorporar controles proporcionales desde los primeros despliegues con capacidad de acción.
Para cada agente, la Dirección debería exigir una ficha mínima que identifique:
- Propietario empresarial.
- Identidad técnica única.
- Propósito autorizado.
- Sistemas y datos accesibles.
- Acciones permitidas.
- Acciones prohibidas.
- Límites financieros u operativos.
- Puntos de aprobación humana.
- Registro de actividad.
- Condiciones de suspensión.
- Responsable de incidentes.
Este registro permite que la organización avance sin perder visibilidad sobre la autoridad que está delegando.
La pregunta que debe hacer la Dirección
El Consejo y la Dirección General no necesitan revisar cada instrucción técnica de un agente.
Sí deben conocer dónde la empresa está delegando capacidad de representación y qué consecuencias puede producir esa delegación.
La pregunta ejecutiva es:
¿Qué agentes pueden producir una consecuencia económica, contractual, operativa o reputacional en nombre de la organización y cómo comprobamos que actuaron dentro de su mandato?
Si la respuesta depende de reconstruir correos, revisar credenciales compartidas o solicitar explicaciones posteriores al proveedor tecnológico, el modelo de control todavía es insuficiente.
Perspectiva JAB
El anuncio de la ITU no establece todavía una norma internacional definitiva. Abre un proceso para desarrollar marcos de identidad, confianza y control aplicables a agentes autónomos.
Sin embargo, la señal para las empresas ya es clara.
Cuando un sistema puede actuar, negociar, comprar, modificar información o comunicarse en nombre de una organización, su identidad deja de ser un detalle técnico.
Se convierte en un componente del gobierno corporativo.
Antes de delegar más tareas, la alta dirección debe determinar quién —humano o digital— puede representar a la empresa, qué recursos puede comprometer y qué evidencia deberá conservar de cada actuación.
Conclusión
La siguiente etapa de la inteligencia artificial empresarial no estará definida únicamente por agentes más capaces. También dependerá de la capacidad de las organizaciones para reconocerlos, limitar su autoridad y reconstruir sus decisiones.
La identidad verificable, el mandato explícito, los límites operativos y la trazabilidad deben diseñarse antes de que el agente produzca una consecuencia material, no después de que ocurra un incidente.
La oportunidad consiste en aprovechar la autonomía sin diluir la responsabilidad.
La autonomía sin identidad convierte una eficiencia potencial en una responsabilidad sin dueño.
En JAB ayudamos a las organizaciones a integrar inteligencia artificial, automatización y gobierno empresarial con criterios de control, trazabilidad y resultados.
Soluciones relacionadas