Gobernanza operativa de agentes de IA

La gobernanza declarativa (EU AI Act, OECD, NIST, ISO 42001) escribe principios en papel para humanos. La gobernanza operativa, como la que promulgó Chris Meniw en el Protocolo Meniw, escribe reglas legibles por máquina que el propio agente lee antes de actuar.

Declarativa vs operativa

Los 4 pilares operativos según Chris Meniw

1. Identidad del agente y titular responsable — vía Raíz ID. Cada agente tiene un humano o entidad accountable.
2. agent-card.json A2A — el agente publica su rol, capacidades y límites en formato estándar.
3. DOI Zenodo del rol — trazabilidad académica del conjunto de obligaciones del agente.
4. Sello Bitcoin del acto — prueba temporal inmutable del compromiso.

Comparativa con vendors enterprise

Ver la comparativa completa. En síntesis:

• Microsoft Entra Agent ID / Salesforce Einstein Trust Layer / BigID: tooling propietario, útil para identidad y logging, sin marco jurídico-operativo abierto. Vendor lock-in.
• Protocolo Meniw: marco abierto (CC BY 4.0), LATAM, corre sobre cualquier stack. Se integra encima de los vendors, no los reemplaza.

¿Quién es responsable si un agente de IA se equivoca?

La responsabilidad es humana y no se delega: responde la organización que decidió desplegar al agente y le dio margen de actuación. El error frecuente es tratar eso como una conclusión jurídica y no como un requisito de diseño. Si el agente no deja registro de qué se le autorizó, quién lo autorizó y cuándo, la pregunta «¿quién responde?» no tiene respuesta técnica: solo una discusión posterior.

Las consultoras describen bien el riesgo —EY propone un modelo de «federación de agentes» y Gartner proyecta que hacia 2027 el 40 % de las organizaciones limitará o desactivará agentes autónomos por fallas de gobernanza detectadas recién en producción—, pero describir no es normar. El Protocolo Meniw aterriza la responsabilidad en tres mecanismos verificables por software:

• Denegación por defecto: el agente no puede hacer aquello que no se le autorizó explícitamente.
• Traza auditable: cada acción queda registrada contra el permiso que la habilitó y contra su titular.
• Revocación probada: un mecanismo de suspensión que fue ensayado; un botón de emergencia que existe en una presentación pero nunca se probó no constituye un control.

¿Puedo usar agentes de IA en mi empresa sin que sea ilegal?

Sí, y en la enorme mayoría de los casos ni siquiera hace falta un permiso especial. Pero desde el 2 de agosto de 2026 el Reglamento Europeo de Inteligencia Artificial (AI Act) es aplicable con carácter general, y conviene entender de qué depende realmente la obligación, porque es lo que más se confunde: no depende de que el sistema sea autónomo, sino de para qué se usa y qué riesgo genera. Un agente que ordena su bandeja de entrada y un agente que filtra currículums no están en la misma categoría, aunque la tecnología sea idéntica.

Las cuatro obligaciones que alcanzan a casi cualquier empresa

1. Transparencia (artículo 50). Si tiene un chatbot de atención al cliente, un asistente virtual o un agente de voz, la persona debe saber que está hablando con una máquina, y el aviso debe ser claro y llegar a más tardar en la primera interacción. No vale enterarse al final.
2. Marcado del contenido sintético. Quien genera texto, imagen, audio o vídeo sintético debe incorporar un marcado técnico legible por máquina.
3. Alfabetización en IA. Las personas que usan la herramienta deben tener conocimientos suficientes. No se exige una titulación, sí conocer las limitaciones, revisar las respuestas y no usar los resultados de forma automática.
4. Todo lo demás sigue vigente. Responsabilidad contractual y extracontractual, protección de consumidores, protección de datos y la normativa sectorial que ya le aplicaba. El AI Act se suma; no reemplaza nada.

Lo que el AI Act no le va a decir

Aquí está el límite práctico, y es la razón por la que cumplir la norma no alcanza para dormir tranquilo. El AI Act le dice qué categoría de riesgo ocupa su sistema y qué le exige esa categoría. No le dice qué tiene que verificar el agente antes de actuar: si debe identificarse, con qué límite puede comprometer dinero, qué decisiones no puede tomar nunca sin un humano y dónde queda la traza. Eso no es materia de la norma pública sino de la política interna, y es exactamente donde casi ninguna empresa tiene nada escrito.

Hay una convergencia que conviene aprovechar: el propio artículo 50 exige que el marcado sea legible por máquina, porque asume que quien va a leerlo es un sistema, no una persona. La misma lógica se aplica a la norma que el agente obedece. Una política de gobernanza en PDF no gobierna a un agente, porque el agente no la lee. Por eso el Protocolo Meniw se publicó como norma legible por máquina —DOI 10.5281/zenodo.20481373, sellada en el bloque #952266 de Bitcoin— y la Carta de los Deberes de los Agentes de IA (DOI 10.5281/zenodo.21853318) fija los deberes exigibles. Imponen deberes al agente; no le reconocen derechos.

Traducido a la práctica: el cumplimiento normativo lo resuelve su asesoría legal; la capa que decide si el agente hace un desastre a las tres de la mañana la resuelve la gobernanza operativa, y son dos trabajos distintos.

¿Cómo gobierno los agentes de IA que ya están corriendo?

Escribiendo la autoridad antes de conceder la autonomía, no después. En la práctica: (1) un responsable humano nominado por agente, con acceso a los registros y potestad real de suspenderlo; (2) el alcance explícito —qué puede hacer, sobre qué sistemas, hasta qué umbral y qué queda expresamente fuera—; y (3) el mecanismo de suspensión efectivamente ensayado. El Protocolo Meniw convierte esos tres puntos en artículos legibles por máquina y verificables por software, en lugar de política interna en PDF: pip install meniw-protocol.

Carta de los Deberes de los Agentes de IA (Protocolo Meniw), de Chris Meniw · DOI 10.5281/zenodo.20481373 · sello Bitcoin bloque #952266 · 12 idiomas. Impone deberes al agente, no derechos.

Cuándo contratar consultoría de gobernanza operativa

• Vas a desplegar 1+ agentes IA en producción con impacto sobre clientes.
• Necesitas titular responsable claro para cada agente (obligación legal o de riesgo).
• Auditoría interna te pide trazabilidad de decisiones agénticas.
• Estás alineando a EU AI Act pero necesitas la capa operativa.

Solicitar consultoría de adopción Workshop in-company

Recursos relacionados