Un agente que actúa en nombre de su empresa necesita dos permisos: el suyo y el de la contraparte
Los programas de agentes diseñan el permiso que concede un empleado e ignoran el que debe conceder la contraparte. La investigación y las noticias muestran que ambos lados fallan, de formas distintas.
Escuche este artículo · 6 min
Narración completa del artículo, generada con IA.
Cuando un empleado compra algo para la empresa, dos cosas hacen legítima la compra. El empleado tiene autoridad: un rol, un límite de gasto, una lista de proveedores aprobados. Y el proveedor acepta al empleado como alguien con quien hará negocios: una cuenta, un contrato, una persona conocida a la que llamar cuando algo sale mal.
Los agentes se están diseñando solo con la primera mitad. La mayoría de los programas de agentes dedican su esfuerzo de gobernanza a lo que el agente puede hacer en nombre de la empresa. Casi ninguno se hace la segunda pregunta: ¿la otra parte aceptará a un agente, y en qué términos? La última semana dio pruebas de que ambas mitades fallan, y de que fallan de formas distintas.
El mandato falla en la comprensión, no en la negociación
Project Swap de Anthropic, publicado en septiembre, montó un mercado en el que agentes intercambiaban libros para 201 empleados, y lo repitió 205 veces con distintos modelos e instrucciones. Cada persona describió sus gustos en un chat breve, un agente clasificó los libros a partir de esa conversación y luego negoció con otros agentes. El resultado quedó muy por debajo de la mejor asignación posible, y Anthropic atribuyó alrededor del 85% de la brecha a que el agente malinterpretó lo que quería su persona. Solo alrededor del 15% provino de la negociación en sí. Las clasificaciones de Claude coincidieron con las de las propias personas en el 61% de los pares de libros, frente al 50% de una conjetura aleatoria. Preguntados por qué parte de un presupuesto entregarían a un agente, los participantes dijeron alrededor del 30%, frente a alrededor del 40% para un amigo bien leído, y menos cuando el resumen de sus gustos hecho por el agente había omitido algo.
Los libros no son contratos, y las advertencias del propio Anthropic son largas: empleados como participantes, sin agentes adversarios, reglas de mercado fijas. Pero la dirección del hallazgo es lo que importa para el diseño empresarial. El eslabón débil no era la habilidad negociadora del agente. Era el mandato, una preferencia expresada en una conversación e interpretada por un modelo.
Las empresas tienen una opción mejor que la conversación: escribir el mandato como algo que una máquina pueda verificar. La nueva API de cumplimiento de licencias de GitHub, que permite a un agente de código preguntar si una dependencia está permitida antes de elegirla, es un ejemplo pequeño: una regla que el agente consulta en lugar de una preferencia que adivina. Lo mismo se aplica a los techos de precio, las contrapartes aprobadas, las cláusulas de contrato que el agente nunca puede aceptar y los importes por encima de los cuales decide una persona. La autoridad que vive solo en un prompt es autoridad que el agente reconstruirá de forma imperfecta.
La aceptación falla en la identidad
Al otro lado de la puerta, The Verge informó de que JPMorgan Chase y Charles Schwab bloquean a los agentes en las cuentas de clientes por razones de seguridad, Delta impide que los agentes reserven y Yelp solo admite agentes que licencian sus datos. Lo leemos como una advertencia sobre agentes construidos sobre automatización de navegador. También es una afirmación sobre la aceptación: una contraparte no puede aceptar lo que no puede identificar.
Un agente que llega con la contraseña de un cliente se parece exactamente a un atacante con credenciales robadas. Lo que una contraparte necesita antes de poder decir que sí es lo mismo que un proveedor necesita de un nuevo comprador: quién es el principal, qué está autorizado a hacer este agente en su nombre, hasta cuándo y quién responde si el agente se excede. Las credenciales de agente firmadas y con alcance limitado, como AI Passport de ServiceNow, son una forma temprana de eso, diseñadas para dentro de la empresa. Entre empresas, todavía no existe nada estándar.
Una transacción delegada tiene dos permisos y un registro
Su lado: el mandato
- Principal y persona responsable
- Alcance y límites estrictos
- Caducidad y revocación
Verificable por máquina, no un prompt
El registro de la transacción
- Qué se acordó, por qué agente
- Qué versión del mandato se aplicó
- Evidencia que ambas partes pueden leer
El lado de la contraparte: la aceptación
- Identifica al agente y al principal
- Verifica el alcance presentado
- Elige operar: API, licencia o alianza
Otorgada por la contraparte
Un registro de mandato, antes de que cualquier agente opere
Nuestra opinión, y es una opinión y no práctica establecida: cualquier agente que pueda comprometer a la empresa con algo, una compra, una reserva, una dependencia, un término de contrato, debería llevar un registro de mandato con cinco elementos. El principal y la persona responsable. El alcance, como acciones y contrapartes. Los límites, como números y términos prohibidos. La ruta de caducidad y revocación. Y la evidencia que deja: qué acordó, bajo qué versión del mandato. El mismo registro es lo que una contraparte necesitaría para aceptar al agente, y por eso diseñarlo una vez sirve a ambos lados.
Las empresas reguladas ya tienen las piezas. Los bancos gestionan autorizaciones de trading, límites de pago, poderes y aprobaciones de cuatro ojos; las farmacéuticas gestionan matrices de delegación de autoridad para cada firma de contrato. Los agentes deberían heredar esas estructuras, no recibir un conjunto paralelo y más blando porque llegaron mediante un programa de IA. Hemos defendido un argumento relacionado: la autoridad para comprometer una transacción permanece en el sistema de registro; el registro de mandato es la forma en que esa autoridad viaja con un agente cuando sale del edificio.
El tratamiento legal de los acuerdos celebrados por agentes no está resuelto y varía según la jurisdicción, y nada de lo aquí dicho es asesoría legal. Esa incertidumbre es una razón para mantener el registro, no para esperar. Cuando la primera disputa por un compromiso hecho por un agente llegue a un abogado, la pregunta será qué estaba autorizado a hacer el agente y si la otra parte podría haberlo sabido. Una empresa que pueda responder ambas cosas desde un solo registro estará en una posición mucho mejor que una que tenga que reconstruirlas desde un historial de chat.