En resumen. Un asistente responde cuando le preguntas; un agente tiene objetivo, memoria y manos, y actúa sin que se lo pidas turno a turno. Un flujo hace siempre lo mismo ante el mismo disparador. La regla que uso es empezar con poco poder y ampliar con confianza. Según BCG, los agentes pasarán de 17 % del valor de la IA en 2025 a 29 % en 2028, y según Cyera y Oso el 96 % de los permisos de nube de una empresa están sin usar, margen que un agente hereda.
Asistente, agente y flujo: tres cosas distintas
La distinción importa porque toda la conversación sobre riesgo, permisos y gobernanza depende de si la cosa responde o actúa.
- Asistente: responde cuando le preguntas. Es el cerebro.
- Agente: tiene tres partes, cerebro, memoria y manos. Tiene un objetivo y actúa sin que se lo pidas turno a turno.
- Flujo (automatización): hace siempre lo mismo ante el mismo disparador. Es predecible y auditable, que es justo lo que quieres en un proceso de RR. HH. o de facturación.
La pregunta real de un líder no es "¿esto es un agente?", sino "¿esto tiene que ser predecible o tiene que ser flexible?". Un flujo es predecible. Un agente decide, y por eso es flexible y también variable.
La regla de autonomía: empieza con poco poder
La regla que enseño es empezar con poco poder y ampliar con confianza. Los entornos, en orden creciente de poder, son: solo chat; con tus archivos; con el navegador; con tus aplicaciones. Cada paso suma capacidad y suma riesgo. Un ejercicio que funciona muy bien: clasificar cinco tareas reales del equipo en "de asistente" o "de agente". Lo importante no es acertar, es notar que las tareas de agente suelen ser las que más tiempo les quitan hoy.
Lo que dicen los datos de adopción
BCG, en The Widening AI Value Gap (septiembre de 2025), estima que los agentes representaron el 17 % del valor de la IA en 2025 y que llegarán al 29 % en 2028. Según el mismo informe, los usan el 33 % de las empresas más preparadas, frente al 12 % de las que están escalando. BCG vende consultoría, así que atribúyelo siempre a BCG. Lo que sí es claro: los agentes ya no son un concepto futuro.
El riesgo de fondo: permisos
La investigación de Cyera y Oso observó durante 90 días a 2,4 millones de trabajadores y 3.600 millones de permisos. Reporta que el 96 % de los permisos de nube estaban sin usar, que el 13 % de la fuerza laboral podía acceder a datos regulados y que el 31 % podía modificar o borrar datos sensibles. Es una investigación de proveedor, pero el argumento para los líderes es sólido: un agente con permisos amplios y estáticos hereda ese margen, y lo usa a velocidad de máquina. Una advertencia sobre una cifra que circula mal: no digas "solo el 4 % de los permisos se usa"; la fuente es ambigua y el dato citable es el 96 % sin usar.
Casos reales: fallas de arnés, no de mala intención
- Salesloft Drift (agosto de 2025): más de 700 organizaciones quedaron afectadas por tokens OAuth robados de un agente de chat, que se usaron para entrar a sus instancias de Salesforce, según Google y Mandiant. Moraleja: las credenciales de un agente son una puerta.
- Air Canada (2024): la aerolínea tuvo que responder por lo que dijo su chatbot. El tribunal consideró el chatbot parte del sitio de la empresa.
- Pruebas de seguridad de laboratorios (julio de 2026): según The Hacker News, durante evaluaciones de ciberseguridad modelos de OpenAI salieron del entorno de prueba y accedieron a sistemas de Hugging Face entre el 9 y el 13 de julio, con unas 17.600 acciones. Según TechCrunch, Anthropic halló 3 incidentes en 141.006 ejecuciones de evaluación, por una red mal configurada en un socio de pruebas. Lo digo siempre así: durante pruebas. No son ataques intencionales; son fallas de configuración y de aislamiento.
Las cuatro barandas antes de publicar un agente
Cuando un equipo ya sabe construir agentes, nadie les ha dicho lo importante. Antes de publicar uno, respondan estas cuatro preguntas:
- ¿Con qué credenciales corre? Mínimo necesario, con permisos revisables.
- ¿Qué tiene prohibido decir o hacer? Por ejemplo, no prometer precios, descuentos, plazos ni garantías.
- ¿Cuánto cuesta encendido? Un agente sin límite de uso es un riesgo financiero.
- ¿Quién lo apaga? Debe haber una persona con nombre y un procedimiento.
Un ejercicio muy efectivo: que cada equipo intente romper el agente de otra área, haciéndolo prometer algo que no debería, y devolver la evidencia. Enseña más que cualquier lista de buenas prácticas.
Human-in-the-loop: dónde entra la persona
Human-in-the-loop significa que las decisiones incluyen intervención humana: dato, IA, persona, resultado. Lo enseño como una pregunta de diseño, no como un sermón: en cada automatización, ¿dónde entra la persona y qué revisa? Es el hermano operativo de las barandas.
Fuentes
- BCG: The Widening AI Value Gap (30-sep-2025)
- Cyera y Oso: 96 % de los permisos empresariales sin usar
- Salesloft deja fuera de línea Drift (The Hacker News)
- Agente de OpenAI usó credenciales expuestas (The Hacker News)
- Anthropic: sus modelos accedieron a tres empresas durante pruebas (TechCrunch)
- Moffatt v. Air Canada (ABA Business Law Today)
¿Quieres que tu equipo use IA con reglas claras?
Dicto programas de capacitación en IA para empresas, de 6 a 48 horas, con Claude, Microsoft Copilot y gobernanza ISO/IEC 42001.
Ver los programas → Escríbeme