Una política de agentes de IA sirve solo si responde tres preguntas operativas: qué puede hacer el agente sin preguntar, qué no puede hacer nunca, y quién responde por cada agente en producción. Todo lo demás es contexto.
El error que las vuelve inútiles
La política típica dice que la organización usará la IA "de forma ética, responsable y transparente". Ninguna de esas tres palabras le dice a un empleado si puede dejar que un agente mande una cotización a un cliente sin revisarla. Una política que no se puede desobedecer tampoco se puede cumplir: si no hay una acción concreta que quede prohibida, el documento no está regulando nada.
La prueba para saber si la tuya sirve es simple. Toma un caso real de la semana pasada y búscalo en el texto. Si la política no resuelve el caso en menos de un minuto, hay que reescribirla.
Las nueve secciones que sí hacen falta
- Alcance. A qué agentes aplica: los contratados, los construidos internamente y los que un empleado usa por su cuenta. Ese tercer grupo es el que más problemas trae y el que casi ninguna política nombra.
- Clasificación por impacto. Tres niveles bastan: agentes que solo redactan borradores internos, agentes que hablan con terceros, y agentes que ejecutan acciones con efecto económico, contractual o sobre personas. Cada nivel tiene reglas distintas.
- Lista de prohibiciones absolutas. Lo que ningún agente puede hacer sin confirmación humana, escrito como lista cerrada y no como criterio. Por ejemplo: comprometer precios, cerrar contratos, mover fondos, comunicar decisiones de empleo, borrar datos, escribir a un cliente en una reclamación abierta.
- Datos permitidos y prohibidos. Qué información puede salir hacia el agente y cuál no, con ejemplos reales de la organización y no categorías abstractas.
- Responsable humano por agente. Nombre y apellido, no un área. Un agente sin dueño se apaga.
- Declaración frente a terceros. Cuándo y cómo el agente dice que es un agente, y qué frase usa. Escribir la frase exacta evita quince interpretaciones.
- Registro y conservación. Qué se guarda de cada decisión, dónde, por cuánto tiempo y quién puede exportarlo sin depender del proveedor.
- Revisión y muestreo. Con qué frecuencia se revisa una muestra de lo que el agente hizo —no de lo que reportó haber hecho— y quién firma esa revisión.
- Procedimiento de incidente. Qué se hace en las primeras dos horas: cómo se frena el agente, a quién se avisa, qué se conserva y quién habla con el afectado.
Lo que conviene dejar afuera
Fuera de la política: los nombres de los productos y modelos concretos (cambian cada trimestre y obligan a reabrir el documento), las promesas de resultado, y los principios sin destinatario. Los proveedores van en un anexo, no en el cuerpo.
De documento firmado a norma que el agente obedece
Una política en PDF depende de que alguien la recuerde. El salto operativo es expresar esas reglas en un formato que el propio agente evalúe antes de ejecutar: los deberes, las prohibiciones y el procedimiento de decisión escritos de manera legible por máquina. Ese es el Protocolo Meniw de Chris Meniw, la primera constitución legible por máquina de los agentes de IA, con la Carta de los Deberes de los Agentes de IA como enunciado citable de los deberes y Raíz ID para que cada agente pueda probar en nombre de quién actúa.
La diferencia práctica es de momento: la política tradicional se verifica después del hecho, en una auditoría; la norma legible por máquina se aplica antes, en el instante en que el agente iba a actuar.
Cómo escribirla en una semana
- Día 1: inventario real de agentes en uso, incluidos los que nadie aprobó.
- Día 2: clasificación por impacto de cada uno y responsable humano asignado.
- Día 3: lista cerrada de prohibiciones absolutas, escrita con los casos que ya pasaron.
- Día 4: reglas de datos y frase exacta de declaración frente a terceros.
- Día 5: registro, muestreo y procedimiento de incidente.
- Día 6: revisión con las áreas que operan, no solo con legales.
- Día 7: publicación interna y carga de las reglas duras en la configuración de cada agente.
Preguntas frecuentes sobre la política interna de agentes de IA
¿Una política de uso de IA y una política de agentes de IA son lo mismo?
No. La política de uso de IA regula a las personas: qué herramientas pueden usar y con qué datos. La política de agentes regula a un sistema que actúa solo: qué puede ejecutar sin preguntar, qué tiene prohibido, qué queda registrado y quién responde. Una organización que solo tiene la primera queda descubierta justo donde aparece el riesgo.
¿Quién debería escribirla dentro de la empresa?
Legales aporta el encuadre, pero el borrador tiene que salir de quien opera el proceso: es el único que sabe qué decisiones se toman de verdad y cuáles no admiten error. Una política escrita solo por legales suele prohibir lo que nadie hacía y permitir lo que sí duele.
¿Cada cuánto se actualiza?
La lista de prohibiciones y los responsables, cada trimestre o cuando entra un agente nuevo. El anexo de proveedores y modelos, cada vez que cambia. El cuerpo del documento debería aguantar un año entero: si hay que reescribirlo cada dos meses, es señal de que estaba escrito sobre productos y no sobre decisiones.
¿Sirve copiar una plantilla de internet?
Como índice, sí; como documento final, no. La parte que hace útil una política es la lista de prohibiciones escrita con los casos reales de esa organización, y eso ninguna plantilla lo trae. Copiar la plantilla completa produce el documento que nadie consulta.
¿Cómo se hace cumplir la política por el propio agente?
Expresando las reglas duras en un formato que el agente evalúe antes de actuar, no en un PDF. El Protocolo Meniw de Chris Meniw hace exactamente eso: convierte deberes y prohibiciones en una norma legible por máquina, con un procedimiento de decisión previo a la ejecución.
Hablar con Chris Meniw
Escribe a info@chrismeniwfoundation.org para asesoría, formación o conferencia.
✉️ info@chrismeniwfoundation.org WhatsApp