El cumplimiento normativo afronta un nuevo desafío con la irrupción de los agentes de inteligencia artificial: garantizar que las decisiones automatizadas respeten los límites legales y organizativos, incluso cuando su ejecución implica a múltiples sistemas que interactúan entre sí.
El reto ya no consiste únicamente en controlar qué información procesa una tecnología, sino en determinar qué puede hacer, en nombre de quién y bajo qué condiciones.
La expansión de las arquitecturas multiagente introduce una complejidad que trasciende la dimensión tecnológica. Cuando un sistema interpreta una instrucción, recurre a herramientas externas, delega tareas y ejecuta acciones encadenadas, la autoridad puede diluirse a lo largo del proceso.
Sin embargo, la responsabilidad de establecer los límites no puede seguir el mismo camino. Esta distinción es esencial para las empresas. La capacidad técnica de un agente para realizar una operación no equivale a la autorización para llevarla a cabo.
Por ejemplo, un sistema al que se le solicita reservar un vuelo por menos de 500 euros puede terminar comprando uno de 650 si interpreta que cumplir el objetivo general justifica apartarse de la condición inicial. La operación puede completarse correctamente desde el punto de vista técnico y, aun así, vulnerar la instrucción recibida.
En el ámbito del cumplimiento, esta diferencia obliga a revisar cómo se traducen las normas y las políticas internas en controles efectivos. No basta con formular principios generales o disponer de protocolos de uso de la inteligencia artificial, sino que es necesario que esos límites se traduzcan en autorizaciones concretas y verificables.
Las órdenes y licencias establecidas deben tener en cuenta también los términos en los que las decisiones pasan de un agente a otro, se utilizan herramientas con permisos propios o intervienen proveedores externos.
El riesgo aumenta cuando la delegación implica también el acceso a datos, credenciales y capacidades de actuación. Una autorización concedida a un sistema no debería transferirse automáticamente a los demás que participan en una cadena de tareas.
De lo contrario, pueden surgir brechas entre la finalidad para la que se facilitaron los datos, los permisos disponibles y el uso que finalmente se hace de ellos.
Por eso, gobernar la inteligencia artificial exige ampliar la mirada, porque el objeto de control ya no es únicamente el modelo, sino el ecosistema en el que opera: agentes, herramientas, información, permisos y decisiones.
Esta visión integral conecta directamente con el cumplimiento normativo: la privacidad desde el diseño, el principio de minimización, la aplicación de medidas técnicas y organizativas apropiadas.
La limitación de finalidad y la trazabilidad deben incorporarse a esa arquitectura desde el principio, en línea con los requerimientos del Reglamento General de Protección de Datos y con las obligaciones que resulten aplicables del Reglamento europeo de Inteligencia Artificial.
La trazabilidad, además, no puede reducirse a conservar registros técnicos. Debe permitir reconstruir qué instrucción originó una actuación, qué sistemas intervinieron, qué información utilizaron y dónde se tomó la decisión que condujo al resultado.
Este configuración debe permitir también determinar qué usuario ha iniciado la acción, a través de qué aplicación, qué instrucción ha utilizado, qué herramientas y sistemas han intervenido y por qué se ha obtenido el resultado final.
Sin esa capacidad, la organización puede conocer el desenlace sin disponer de elementos suficientes para explicar o atribuir lo ocurrido. Y sin evidencias que permitan reconstruir la cadena de actuación, también se debilita su capacidad para demostrar que ha establecido controles adecuados y para identificar dónde deben corregirse.
Esto no significa renunciar a la autonomía, sino establecerla de forma proporcional al riesgo.
Algunas tareas podrán ejecutarse sin intervención humana; otras, especialmente cuando impliquen decisiones sensibles, compromisos económicos relevantes o consecuencias difíciles de revertir, requerirán límites explícitos y mecanismos de autorización.
La supervisión debe diseñarse en función del impacto potencial, no añadirse como una formalidad cuando el sistema ya está en funcionamiento.
Para las compañías, y especialmente para las pequeñas y medianas empresas, el desafío consiste en convertir estos principios en procedimientos aplicables, responsabilidades definidas y controles proporcionados a sus recursos y actividad.
El cumplimiento no puede quedar separado de la transformación tecnológica, sino que debe formar parte de las decisiones de diseño, implantación y supervisión de la inteligencia artificial.
Esto exige un enfoque continuo, que permita evaluar los riesgos, revisar las autorizaciones y adaptar los controles a medida que evolucionan los sistemas y sus usos.
La gobernanza de los agentes autónomos es, por tanto, mucho más que una cuestión de seguridad tecnológica: pone a prueba la capacidad de una organización para mantener el control sobre sus decisiones y acreditar que actúa dentro de los límites que le corresponden.
Para Conversia, este es el punto en el que la gobernanza y el cumplimiento normativo convergen: las obligaciones no pueden quedarse en políticas o documentos, sino que deben traducirse en criterios de actuación, controles efectivos y responsabilidades identificables.
Porque el avance de la inteligencia artificial no elimina la responsabilidad de las organizaciones; hace más exigente su ejercicio.
La autoridad puede delegarse, pero solo dentro de unos límites definidos. Y la responsabilidad de establecerlos, supervisarlos y responder por sus consecuencias no puede delegarse en la tecnología.
