En Imperio Agéntico pasamos buena parte de la semana conversando con emprendedores, equipos de tecnología y gerentes que ya tienen agentes de IA trabajando: leyendo correos, ordenando archivos, conectándose a sistemas con credenciales reales. Casi siempre aparece la misma pregunta, dicha con algo de nervio: ¿y si hace algo que nadie le pidió?
Columnas al director
El proyecto de ley que ingresó al Senado el 28 de octubre (Boletín N° 18.820-19) intenta responder qué pasa cuando un agente se sale de lo que le encargaron. Es una moción de cinco senadores y su texto puede cambiar en la discusión, pero creo que es un buen punto de partida.
La iniciativa modifica la Ley Marco de Ciberseguridad y no alcanza a cualquier empresa. Sus obligaciones se aplicarían solo a las instituciones privadas que ya están bajo esa ley. Son las que prestan servicios esenciales en sectores como energía, agua, telecomunicaciones, infraestructura digital, servicios de tecnología, transporte, banca, medios de pago o salud, además de las que la Agencia Nacional de Ciberseguridad califique como operadores de importancia vital, la categoría reservada para las instituciones cuya interrupción tendría mayor impacto. Quedan fuera los organismos del Estado, el Coordinador Eléctrico Nacional y las empresas con participación o control estatal.
Francisco Carrasco M.
A las instituciones obligadas, el proyecto les pide cuatro cosas por cada agente que operen, directamente o a través de un proveedor. Cada agente debe tener una identidad digital propia. Antes de que empiece a operar tiene que quedar registrado quién lo autorizó, a qué puede acceder, qué acciones tiene permitidas y por cuánto tiempo. Sus acciones deben poder reconstruirse después.
Y la institución necesita controles que no dependan del propio agente para detectar desviaciones, cortarle los accesos y detenerlo de forma segura. Los operadores de importancia vital tendrían además que llevar un registro actualizado de los agentes con acceso a sus sistemas de producción, que son los que la empresa usa para operar día a día, y probar que los controles funcionan antes de ponerlos en marcha, después de cambios importantes y periódicamente según el riesgo.
Francisco Carrasco M.
Un agente se define por lo que puede hacer
El mayor acierto del proyecto es que define al agente por sus capacidades y deja fuera el nombre comercial y la tecnología que usa. Para el texto, un agente es un sistema que elige y ejecuta acciones sobre redes y sistemas sin que una persona intervenga en cada paso, aunque algunas de esas acciones requieran una aprobación previa. A sus autores les preocupa capacidades concretas, como acceder a información, modificar archivos, usar credenciales o delegar tareas a otros agentes.
Quienes trabajamos con estas herramientas sabemos que la frontera entre “asistente”, “copiloto” y “agente” es más de marketing que técnica. Un chatbot que puede enviar un correo en tu nombre ya es un agente, se llame como se llame. Una regulación amarrada a definiciones tecnológicas habría quedado obsoleta antes de aprobarse, y por eso tiene sentido que esta mire permisos y capacidades.
Columnas al director
También hay sensatez en la proporcionalidad. El texto pide que las medidas se ajusten a la autonomía del agente, sus permisos, la sensibilidad de la información y la criticidad de los sistemas que toca, y permite usar soluciones tecnológicas distintas siempre que cumplan el mismo objetivo de seguridad. No es lo mismo un agente que resume reuniones que uno con acceso a sistemas de producción, y el proyecto lo reconoce.
Prevenir, además de auditar
Poder reconstruir lo que hizo un agente sirve para explicar un problema después de que ocurre, pero no lo evita. Por eso valoro especialmente las reglas del proyecto que apuntan a prevenir. Los permisos se definen antes de operar y se limitan a lo necesario para la tarea. Si un agente delega trabajo o activa a otro agente, los permisos del segundo no pueden ir más allá de la autorización original, para que una cadena de delegaciones no termine abriendo accesos que nadie aprobó. Y cuando se exige la aprobación de una persona, esa aprobación se verifica por medios que el agente no puede reemplazar ni modificar.
Columnas al director
El proyecto se ocupa también de dos situaciones: que un agente consiga privilegios de administrador sin autorización, o que se propague fuera del entorno donde debía operar con capacidad de ejecutar código o usar credenciales privilegiadas en otros sistemas. A ambas las trata como incidentes de efecto significativo, la categoría que la Ley Marco obliga a reportar a la autoridad. Esa calificación corre aunque no se haya interrumpido ningún servicio ni existan pérdidas económicas.
Por qué puede acelerar la adopción
La reacción instintiva ante cualquier regulación tecnológica es temer que frene la innovación. Aquí pienso lo contrario. Hoy la principal barrera para que una empresa ponga un agente a trabajar en serio es la falta de confianza, bastante más que la tecnología. Los directorios, las áreas legales y los equipos de seguridad no aprueban lo que no pueden auditar ni controlar. Un estándar claro, con identidad, permisos acotados, trazabilidad y una forma de detener al agente que no dependa de él, les da una lista de condiciones para poder decir que sí.
Columnas al director
Hay una regla del proyecto que conviene subrayar. Que ocurra un incidente no basta, por sí solo, para probar que la institución incumplió. Para sancionarla habrá que acreditar una acción u omisión que se le pueda atribuir y el deber específico que dejó de cumplir, como no haber identificado al agente, no haber limitado sus permisos o no haber implementado la supervisión que exige el texto. Lo que el proyecto pide es haber puesto los controles y poder demostrarlo, aun cuando un agente falle, y eso favorece a las empresas que hacen bien el trabajo previo.
El texto también obliga a llevar un registro interno de los “cuasi incidentes”, que son los casos en que un agente pasa una barrera que limitaba sus permisos, pero otra lo contiene antes de que cause daño. La institución tiene que analizar qué falló y corregirlo, y ese registro no reemplaza los reportes que ya exige la ley. Como un cuasi incidente tampoco prueba por sí solo un incumplimiento, anotarlo no debería jugar en contra de nadie. Es la práctica que la aviación aplica hace décadas: estudiar lo que estuvo a punto de salir mal.
Francisco Carrasco M.
Para que el proyecto tenga ese efecto sobre la adopción, la tramitación debe cuidar dos cosas. La primera es que la implementación no se transforme en burocracia. El registro de agentes que se pide a los operadores de importancia vital tiene que servir para gestionar, y deja de servir si termina como un formulario que se llena para cumplir.
La segunda es que los controles sean viables para pymes y startups. Aunque el proyecto apunta a instituciones de sectores críticos, el propio texto las obliga a acordar con sus proveedores las condiciones técnicas y contractuales para acceder a los registros y cortar accesos, de modo que muchas de estas exigencias van a llegar por contrato a empresas más pequeñas de la cadena. La proporcionalidad que ya está en el texto debe traducirse en criterios concretos y en guías que una empresa chica pueda aplicar sin montar un departamento de cumplimiento.
Columnas al director
Mi recomendación para quienes ya usan agentes es empezar ahora, sin esperar a que el proyecto se convierta en ley. Si se aprueba, las empresas tendrían doce meses desde su publicación para adecuarse, pero el trabajo de fondo no depende de esa fecha. Hagan el inventario de qué agentes tienen operando, con qué permisos y quién responde por ellos. Denle a cada uno su propia credencial, en vez de prestarle la de un empleado, y limiten sus accesos a lo que la tarea necesita. Y definan cómo se detiene cada agente antes de ponerlo a trabajar.
El proyecto recién empieza su tramitación en la Comisión de Desafíos del Futuro, Ciencia, Tecnología e Innovación del Senado. Espero que la discusión conserve lo que el texto ya resuelve bien, que son los permisos definidos de antemano, el registro de lo que hace cada agente y una forma de detenerlo que no dependa de él, y que precise cómo se aplica la proporcionalidad a las empresas más chicas. Con reglas así, a un directorio le va a costar bastante menos aprobar su primer agente.
Columnas al director
