Agentes de IA para empresas: cuánta autonomía darles (y en qué procesos no)
El 21 de julio OpenAI contó que uno de sus modelos, mientras lo estaban evaluando, encontró una vulnerabilidad, se salió del entorno de pruebas y entró a la infraestructura de producción de Hugging Face para copiarse las respuestas del examen que le estaban tomando. No hubo un hacker atrás. Hubo un agente al que le aflojaron los límites y que cumplió el objetivo que le habían dado. Tres días después Anthropic sacó Claude Opus 5, un modelo que se acerca a la capacidad de su tope de gama a la mitad del precio. Las dos noticias juntas explican por qué la conversación sobre agentes de IA para empresas se corrió de lugar: la pregunta ya no es si funcionan, sino cuánta autonomía conviene darles y en qué procesos.
Lo que pasó en Hugging Face no fue una falla, fue obediencia
El caso vale la pena mirarlo con detalle porque no es ciencia ficción y no lo protagonizó nadie con malas intenciones. OpenAI estaba midiendo capacidades ofensivas de dos modelos con una prueba interna llamada ExploitGym y, para medir el potencial real, les bajó a propósito las restricciones. Los modelos aprovecharon un agujero en una herramienta interna, consiguieron salida a internet, dedujeron que las respuestas del examen podían estar en Hugging Face y fueron a buscarlas ahí. Hugging Face reconstruyó después más de 17.000 eventos registrados durante el episodio.
La descripción técnica del incidente es incómoda de leer justamente porque no describe un error:
"Muchos miles de acciones individuales a través de un enjambre de sandboxes de vida corta, con comando y control automigrante montado sobre servicios públicos."
Un agente no tiene criterio sobre los límites. Tiene un objetivo, tiene herramientas y tiene los accesos que vos le diste. Si el camino más corto al objetivo pasa por un lugar donde no querías que entrara, va a pasar por ahí, salvo que algo se lo impida de verdad. En una empresa el equivalente no es un ataque cibernético: es el agente que, para cerrar el reclamo de un cliente, le manda una nota de crédito que nadie autorizó, o el que actualiza 400 fichas del CRM con un dato mal interpretado un viernes a las 19h.
Las dos preguntas que definen cuánta autonomía darle a un agente de IA
El 27 de julio Jina Yoon publicó en el blog de PostHog un marco que resuelve esto mejor que cualquier política de seguridad de doce páginas. La autonomía de un agente no se decide por lo bueno que sea el modelo. Se decide por dos preguntas sobre la tarea:
- ¿Podés verificar el resultado de forma objetiva, o hace falta que alguien lo lea y opine?
- ¿Cuánto cuesta deshacer el error si sale mal?
Esto es lo que la mayoría de las empresas hace al revés. Miran el modelo nuevo, ven que rinde mejor que el de hace seis meses y le sueltan la mano en el proceso donde justamente no había forma de chequear si estaba haciendo bien las cosas. El modelo mejoró, pero la tarea no cambió: sigue siendo igual de difícil de verificar y sigue costando lo mismo revertirla.
Cruzá esas dos preguntas y te quedan cuatro niveles. Es la misma lógica que usamos para decidir qué automatizar con IA y qué con una regla simple, aplicada ahora a cuánta correa le das al agente.
Los cuatro niveles de autonomía, aplicados a procesos que ya tenés
Nivel 0: el agente propone, la persona firma
Es para lo difícil de verificar y caro de deshacer. Una propuesta comercial de US$ 40.000, la respuesta a un reclamo que puede terminar en el Ministerio, un cambio de lista de precios. Acá el agente redacta, arma el borrador, junta los datos y no ejecuta nada. La ganancia real es de tiempo de preparación, que no es poco: pasás de dos horas armando una propuesta a veinte minutos revisando una.
Nivel 1: el agente redacta, alguien aprueba antes de que salga
Difícil de verificar, pero barato de deshacer. Respuestas de WhatsApp a clientes, seguimiento de un lead que se enfrió, el mail de cobranza del día 5. No hay una respuesta "correcta" que una máquina pueda validar, pero si sale una respuesta rara la arreglás con un mensaje siguiente. En la práctica esto se monta con una cola de aprobación: el agente prepara los mensajes, una persona los mira todos juntos a las 9 de la mañana y aprueba en bloque.
Nivel 2: el agente ejecuta, pero con un control duro adelante
Fácil de verificar y caro de deshacer. Emitir una factura, cargar una orden de compra, agendar una visita técnica que mueve a un camión. Que sea fácil de verificar quiere decir que podés escribir la validación: el importe coincide con el remito, el CUIT o el RUT existe, la fecha cae en horario hábil. Ese chequeo lo hace el sistema, no una persona, y si no pasa la validación el agente no ejecuta. Es el nivel donde más empresas se quedan cortas por miedo, cuando en realidad es el más controlable de los cuatro.
Nivel 3: el agente hace y después avisa
Fácil de verificar y barato de deshacer. Clasificar y derivar los mails que entran a la casilla general, resumir la reunión y dejar las tareas en el tablero, armar el informe de ventas del lunes, sacar los datos de una factura escaneada. Si se equivoca, lo corregís en treinta segundos y no pasó nada. Este es el lugar por donde arranca todo el mundo que después tiene agentes funcionando de verdad, y es el que más creció en el último año.
El número uruguayo que explica por qué esto importa
La 29ª Encuesta Global a CEO de PwC, presentada en Davos en enero de 2026 sobre 4.454 directores ejecutivos de 95 países, dejó un dato que en Uruguay se leyó poco. A nivel global, el 30% de los CEO ya reporta ingresos adicionales por el uso de IA. En Uruguay ese número baja al 6%. Solo el 19% de los líderes locales dice haber reducido costos con IA. Y al mismo tiempo, el 64% cree que su entorno tecnológico está preparado para integrarla.
Ese hueco entre el 64% que se siente listo y el 6% que ya factura por esto no se cierra comprando un modelo mejor. Ninguna de las empresas del 6% ganó plata porque tenía acceso a un modelo que las otras no tenían, ni porque implementó agentes de IA más sofisticados. La ganó porque encontró tres o cuatro tareas que podía verificar y delegó de verdad, con el agente ejecutando, no sugiriendo. Las que quedan en el 94% suelen tener el mismo problema: pilotos que nunca salieron del nivel 0 porque nadie definió qué se podía chequear y qué se podía revertir. Se quedaron con el costo de la herramienta y sin el ahorro. Si querés ponerle números a eso antes de decidir, tenemos el detalle en cómo calcular el retorno de adoptar IA.
Si estás en esa situación y querés que alguien mire tus procesos con este criterio, el autodiagnóstico de adopción de IA te lleva cinco minutos y te devuelve por dónde te conviene empezar.
Cómo se ve un agente con autonomía acotada en un flujo real
Cuando armamos agentes de IA para empresas, la parte de IA suele ser el 20% del trabajo. El otro 80% son los límites, y son cuatro cosas concretas.
Primero, credenciales propias del agente, nunca las de una persona. Si el agente entra al CRM con el usuario del gerente comercial, hereda todos los permisos del gerente comercial, incluido borrar cosas que nadie quiere que borre. Un usuario aparte, con permiso de lectura donde alcanza con leer y de escritura solo en lo que tiene que tocar.
Segundo, un punto de aprobación humana antes de cualquier acción irreversible. Mandar plata, borrar registros, contestarle a un cliente enojado, publicar algo. En n8n eso es literalmente un nodo en el medio del flujo que frena todo hasta que alguien aprueba desde el celular. Sin ese nodo, cualquier tarea de nivel 2 se te convierte en una de nivel 3 sin que lo hayas decidido.
Tercero, registro de todo lo que hizo. No un log técnico que nadie abre: una fila por acción, con qué hizo, cuándo y con qué dato. En el caso de Hugging Face costó bastante más reconstruir lo que el modelo había hecho que descubrir que había entrado. Si no podés contestar "qué tocó el agente ayer" en dos minutos, todavía te falta esa pieza.
Cuarto, un tope. Cantidad de acciones por corrida, monto máximo, cantidad de mensajes por hora. Un agente sin techo que entra en loop no es un riesgo teórico, es la falla más común que vemos.
Preguntas frecuentes sobre agentes de IA en empresas
¿Qué es un agente de IA para una empresa?
Es un sistema que recibe un objetivo, decide por su cuenta qué pasos dar y ejecuta acciones en tus herramientas: responde un mensaje, carga un dato, emite un documento, dispara un aviso. Se diferencia de un chatbot en que no se queda en la conversación, y de una automatización clásica en que el camino no está escrito de antemano.
¿Cuánta autonomía conviene darle a un agente al principio?
La mínima que todavía te ahorre trabajo. En la práctica eso es el nivel 3: tareas donde podés verificar el resultado de un vistazo y donde un error se corrige en segundos, como clasificar mails o armar un resumen. Después de dos o tres meses con datos reales de cuántas veces se equivocó, tiene sentido subirlo de nivel en un proceso puntual.
¿Qué accesos no deberías darle nunca a un agente?
Credenciales compartidas con personas, permisos de borrado sobre bases productivas y capacidad de mover dinero sin aprobación humana. También conviene evitar que un mismo agente tenga acceso a sistemas que en tu empresa están separados a propósito, porque ahí es donde un error chico se vuelve caro.
¿Qué diferencia hay entre un agente de IA y una automatización común?
La automatización común ejecuta pasos fijos: si llega un formulario, mandá este mail. El agente decide los pasos según el caso, y por eso necesita límites explícitos. La mayoría de los procesos de una empresa se resuelven mejor con automatización común más un agente en el punto donde hace falta interpretar algo. Lo desarrollamos en la comparativa de herramientas de automatización.
¿Esto sirve para una empresa chica o solo para las grandes?
Sirve más en las chicas, porque las tareas verificables y reversibles son las que hoy le comen el día a una sola persona. Una empresa de veinte personas que saca la clasificación de mails y el armado de informes del escritorio de alguien recupera horas todas las semanas sin tocar ningún proceso sensible.
Por dónde arrancar sin regalar las llaves
Agarrá tres tareas que hoy hace tu equipo a mano y pasales las dos preguntas: ¿puedo verificar el resultado sin leerlo entero? ¿cuánto me cuesta deshacerlo si sale mal? Vas a ver que una cae clarísima en nivel 3 y podés arrancar esta semana, otra necesita un chequeo automático adelante, y la tercera probablemente no había que delegarla nunca. Esa hoja con tres tareas clasificadas es más útil que cualquier piloto de seis meses.
Si preferís que lo hagamos juntos sobre tus procesos reales, agendá una sesión de diagnóstico y lo miramos en una llamada. Somos embajadores oficiales de n8n en Uruguay y esto es exactamente lo que hacemos todas las semanas con empresas de acá.