Antes de darle una tarea a una IA, decidí qué no puede hacer
En este artículo
Antes de delegarle una tarea a una IA, definí qué puede preparar, qué necesita tu aprobación y qué no debe tener disponible. El objetivo explica lo que querés lograr. Los límites explican hasta dónde puede actuar para conseguirlo.
“Respondé este correo” parece una instrucción sencilla. Pero puede significar dos cosas distintas: escribir una respuesta para que la revises o enviársela directamente a un cliente.
El texto puede ser idéntico. Las consecuencias, no.
La distinción importa cuando la IA tiene herramientas para actuar, no solo para conversar. Si querés ubicar esa diferencia, está explicada en la introducción a los agentes de IA para empresas.
Preparar no es ejecutar
Un buen primer alcance termina en algo que puedas revisar: un borrador, una propuesta de cambios o una comparación. La acción posterior conserva su propia aprobación.
Estos son ejemplos hipotéticos, no resultados de clientes:
| Tarea | Trabajo que podés delegar | Acción que no queda autorizada por eso |
|---|---|---|
| Responder una consulta | Redactar una respuesta usando información aprobada | Enviar el correo o prometer condiciones comerciales |
| Mejorar un documento | Proponer cambios en una copia | Sobrescribir el original o compartirlo con terceros |
| Evaluar una compra | Comparar opciones y señalar datos faltantes | Pagar, aceptar un contrato o activar una suscripción |
La frontera no depende de que el resultado “parezca correcto”. Depende de lo que autorizaste.
Además, preparar tampoco es inocuo por definición. Para redactar una respuesta, la IA quizá necesite leer información del negocio. También tenés que decidir qué datos puede consultar y si corresponde compartirlos con el proveedor elegido.
Separá lo permitido, lo condicionado y lo que queda afuera
No necesitás empezar con una política enorme. Necesitás poder explicar el alcance de una tarea concreta.
Permitido: trabajar con las fuentes acordadas y producir el entregable. Por ejemplo, redactar una respuesta usando una consulta específica y el tarifario vigente.
Condicionado a tu aprobación: ejecutar una acción identificada después de revisar sus detalles. Por ejemplo, enviar ese texto a ese destinatario, sin agregar adjuntos ni cambiar las condiciones.
Fuera de alcance: acciones que no aportan a esa tarea. Si solo necesitás un borrador, no hay motivo para habilitar pagos, borrar mensajes o darle acceso a toda la información de la empresa.
Esto no exige que controles cada paso. Permite que la IA avance dentro de un trabajo acotado y se detenga donde cambian las consecuencias.
OWASP, en su guía sobre autonomía excesiva, recomienda limitar funciones y permisos a lo necesario y exigir aprobación humana antes de acciones de alto impacto. Su ejemplo es concreto: resumir un buzón requiere leer mensajes, no disponer también de funciones para enviarlos o eliminarlos.
Una instrucción no es un permiso
Decirle “no envíes nada sin preguntarme” sirve para comunicar tu intención. No equivale a impedir técnicamente el envío.
Hay una diferencia entre una regla que el modelo debe seguir y un control que la herramienta aplica aunque el modelo intente otra cosa.
OWASP recomienda que la autorización se compruebe en los sistemas que ejecutan las acciones, en lugar de dejar que el modelo decida por sí solo si están permitidas. Anthropic describe la misma separación en su enfoque de contención: las instrucciones orientan el comportamiento; las restricciones del entorno delimitan lo que el agente puede hacer.
En la práctica, revisá dos cosas:
- Qué le pedís: el objetivo, las fuentes, el entregable y el punto de parada.
- Qué le habilitás: las herramientas, los datos y las operaciones realmente disponibles.
No todas las aplicaciones permiten separar esos accesos con el mismo detalle. Si no podés quitar el permiso de enviar, una alternativa es dejar el correo fuera de la integración: la IA prepara el texto y vos lo enviás desde tu cuenta.
Ningún control elimina todos los riesgos. Pero reducir el acceso evita depender solamente de que una instrucción se cumpla.
La aprobación tiene que llegar antes y referirse a algo concreto
“Ya envié el correo, ¿está bien?” no es una solicitud de aprobación. Es un informe de una acción consumada.
Antes de una acción con consecuencias, deberías poder revisar qué se va a hacer, sobre qué información y con qué alcance. Para un correo: destinatario, mensaje y adjuntos. Para una compra: proveedor, producto, importe y condiciones.
En su marco para agentes seguros, Anthropic usa un ejemplo parecido: detectar gastos excesivos en suscripciones no significa que una empresa quiera que el agente las cancele sin aprobación.
También conviene evitar el consentimiento que se estira. Aprobar un borrador no autoriza su envío. Aprobar un envío no autoriza a responder todos los correos futuros de ese cliente.
Si cambian el destinatario, el contenido o las condiciones relevantes, la aprobación anterior no debería darse por válida automáticamente.
Cómo pedir una tarea con límites claros
Podés empezar con una instrucción como esta:
Prepará una respuesta a esta consulta usando únicamente el tarifario que te comparto. Entregame el texto como borrador en esta conversación. No envíes mensajes, no modifiques el tarifario ni prometas descuentos. Si falta un dato o encontrás una contradicción, señalala y detenete para preguntarme.
Esto define un objetivo, una fuente, un entregable y un punto de parada. Es una instrucción de trabajo, no una configuración de seguridad. Después tenés que comprobar que los accesos de la herramienta coincidan con ese alcance.
Antes de empezar, preguntate:
- ¿Qué resultado espero recibir y cómo lo voy a revisar?
- ¿Qué información necesita realmente?
- ¿Qué acciones puede hacer sin volver a consultarme?
- ¿Qué acción necesita aprobación y quién la dará?
- ¿Qué debe hacer si falta información o falla una herramienta?
Probar el flujo con datos de ejemplo permite observar si se detiene donde esperás, sin enviar mensajes reales ni comprometer dinero. Esa prueba no reemplaza la revisión de los permisos.
El límite también forma parte del trabajo
Delegar bien no es pedirle a una IA que haga todo y esperar que tenga criterio. Es definir un espacio útil de actuación, un resultado revisable y una frontera explícita para lo que viene después.
La próxima vez que escribas “encargate de esto”, agregá otra pregunta: ¿qué parte de esta tarea no estoy autorizando?
Preguntas frecuentes
¿Alcanza con decirle a una IA que no envíe ni borre nada?
No. Esa instrucción orienta su comportamiento, pero no reemplaza los permisos de la herramienta ni un control de aprobación antes de ejecutar la acción.
¿Hay que aprobar cada paso de un agente de IA?
No necesariamente. Podés autorizar un trabajo acotado y reservar la aprobación para acciones que afecten a otras personas, modifiquen información importante o comprometan dinero.
¿Qué hago si la herramienta no permite separar los permisos?
Mantené la ejecución fuera de esa herramienta: pedile un borrador o una propuesta y realizá vos la acción final. No asumas que una instrucción escrita compensa un acceso demasiado amplio.
Especialista en Agentes de IA · Copenhague
Diseño e implemento agentes IA, MCP servers y harnesses en producción: el loop, las herramientas y el contexto que hacen que un modelo pase de contestar a trabajar. Todo lo que ves en este sitio está construido así.
Artículos relacionados
Grok 4.7: qué es, precio y análisis del modelo de xAI
Qué es Grok 4.7: precio (2/6 USD por millón de tokens), ficha técnica, benchmarks reportados por xAI y para quién conviene el nuevo modelo de SpaceXAI.
Qué es Jev: el modelo que no genera texto y cuándo conviene
Analizo Jev de TypeSafe AI: cómo funciona un System One model, qué claims de 200x se sostienen frente a la evidencia independiente, cuánto cuesta y cuándo usarlo.
¿La IA nos va a matar? Miedo, intereses y qué hay de real
El pánico por la IA mezcla riesgos operativos reales, intereses comerciales que viven del FOMO y una carrera geopolítica. Un análisis racional con fuentes.