Cómo crear agentes de IA que trabajen por tu negocio

Los agentes de IA para pymes pueden investigar, preparar respuestas, conciliar información y ejecutar tareas en distintos sistemas. Pero no deberían recibir las llaves de toda la empresa.

En esta guía explicamos qué tareas delegar primero, cómo controlar costes y subagentes, cómo protegerse frente a instrucciones maliciosas en documentos o webs y qué métricas utilizar para decidir si un piloto merece escalar. El objetivo no es perseguir una autonomía total, sino conseguir resultados medibles con control, trazabilidad y una vía rápida para detener el sistema.

Un agente no es una automatización fija

Una automatización tradicional sigue una ruta predefinida: si ocurre A, ejecuta B. Un agente de IA puede interpretar un objetivo, consultar información, elegir entre varias herramientas y adaptar sus pasos cuando encuentra un problema.

Por eso resulta útil en procesos con cierta variabilidad, pero también introduce más riesgos: puede tomar decisiones inesperadas, consumir más recursos de los previstos o tratar una instrucción maliciosa como si fuera una orden legítima.

OpenAI anunció el 10 de septiembre de 2026 su Agents API, en beta pública, para crear agentes en la nube con sesiones persistentes, gestión automática del contexto, herramientas, ejecución de código, subagentes, recuperación ante interrupciones y sandboxes. Un sandbox es un entorno aislado donde el agente puede ejecutar código, manipular archivos y generar artefactos sin acceder directamente a toda la infraestructura.

La API puede ejecutarse en infraestructura de OpenAI, en sistemas propios o mediante proveedores externos. El sandbox reduce el impacto potencial de ciertos errores, pero no elimina por sí solo los riesgos de seguridad ni las instrucciones maliciosas.

Un subagente es un agente auxiliar al que se delega una parte del trabajo. Puede ser útil para dividir tareas, aunque también aumenta la complejidad, el consumo y la superficie de riesgo. Gartner afirma que solo el 17% de las organizaciones había desplegado agentes de IA en 2026, aunque más del 60% esperaba hacerlo durante los dos años siguientes. La misma firma advierte que los agentes completamente autónomos todavía no están preparados para la mayoría de los casos empresariales.

Qué procesos conviene delegar primero

El mejor primer caso de uso combina cuatro características: se repite con frecuencia, tiene un objetivo claro, utiliza información accesible y permite comprobar el resultado. Conviene empezar con tareas donde un error pueda revisarse o corregirse antes de producir consecuencias importantes.

Investigación y preparación de información

Un agente puede recopilar información de clientes, proveedores o documentos internos, resumirla y preparar un informe. También puede clasificar incidencias, detectar datos que faltan o comparar facturas con pedidos.

En esta fase debería trabajar principalmente en modo lectura y entregar sus conclusiones junto con las fuentes o registros consultados.

Soporte y atención comercial

Puede clasificar solicitudes, identificar preguntas frecuentes y preparar respuestas para que una persona las revise. En ventas, puede investigar una cuenta, resumir interacciones anteriores y proponer el siguiente paso.

La comunicación automática solo debería activarse cuando el mensaje sea de bajo riesgo, reversible y esté cubierto por reglas claras.

Operaciones y finanzas internas

La conciliación de facturas, la preparación de informes periódicos, la detección de duplicados o la recopilación de datos para una previsión son buenos candidatos. El agente puede señalar excepciones y preparar un borrador, mientras que la aprobación contable o el pago permanecen bajo control humano.

Compras e ingeniería

En compras, puede comparar ofertas, resumir condiciones y preparar una recomendación. En ingeniería, puede revisar archivos, proponer cambios o generar pruebas en un entorno aislado.

Según deepsense.ai, sus agentes implementaron, revisaron, corrigieron y validaron código en un repositorio activo. Es una afirmación de empresa y no debe interpretarse como garantía general para cualquier equipo.

También existen ejemplos de operaciones a gran escala. Nash.ai afirma que utiliza miles de agentes de larga duración para gestionar cientos de millones de entregas en redes logísticas globales, mientras que Dwelly afirma que distribuye trabajo entre cientos de agentes y recoge resultados de forma asíncrona. Son casos comunicados por las propias empresas, no una prueba de que el mismo resultado vaya a repetirse en una pyme.

Qué no delegar sin supervisión

Las acciones que afectan al dinero, a terceros, a la reputación o a datos sensibles requieren un nivel de control superior. No conviene permitir que un agente ejecute sin revisión:

• Pagos, transferencias, reembolsos o cambios de cuentas bancarias.
• Borrados de archivos, clientes, pedidos, registros contables o copias de seguridad.
• Firma o aceptación de contratos y modificaciones de condiciones comerciales.
• Cambios en producción, permisos de usuarios, configuraciones críticas o infraestructura.
• Decisiones laborales, médicas o relacionadas con la elegibilidad de una persona.
• Comunicaciones regulatorias, legales o públicas en nombre de la empresa.

El diseño recomendado es separar tres etapas: leer, preparar y ejecutar. El agente puede leer datos autorizados y preparar un borrador, pero una persona debe confirmar las acciones económicas, externas o irreversibles.

Este principio aparece en recomendaciones distintas de OpenAI, Microsoft, Anthropic y AWS, aunque cada proveedor lo concreta con mecanismos diferentes de permisos, gobernanza y aprobación.

Cómo construir el primer agente en fases

1. Define un proceso, no una ambición

Escribe el objetivo en términos operativos: “clasificar incidencias de clientes y preparar una respuesta”, no “gestionar el soporte”. Define qué entrada recibe, qué salida debe producir, qué sistemas puede consultar, qué significa acertar y cuándo debe escalar a una persona.

2. Separa lectura, borrador y ejecución

Empieza con acceso de solo lectura. En la siguiente fase, permite crear borradores sin enviarlos. Solo después de medir la calidad puedes valorar acciones automáticas de bajo impacto. Las operaciones sensibles deben conservar una aprobación explícita.

3. Añade únicamente las herramientas necesarias

Cada herramienta amplía la capacidad y la superficie de riesgo. Si el agente solo necesita consultar pedidos y redactar un informe, no debe tener permisos para modificar clientes ni realizar pagos.

Utiliza credenciales separadas, límites por herramienta y una distinción estricta entre pruebas y producción.

4. Prueba en un entorno aislado

Utiliza un sandbox o entorno de prueba con datos controlados. Comprueba qué sucede cuando faltan documentos, una herramienta devuelve un error, una instrucción es ambigua o el agente intenta repetir una operación.

El aislamiento reduce el impacto, pero no impide que una web, un correo, un repositorio o un documento contenga instrucciones maliciosas.

Permisos y aprobación: una matriz sencilla

Anthropic documenta tres estados de control por herramienta: permitir siempre, exigir aprobación o bloquear. AWS también permite devolver el control a la aplicación y solicitar confirmación antes de invocar funciones, una medida especialmente relevante frente a la manipulación de instrucciones.

Puedes convertir este enfoque en una matriz práctica:

• Riesgo bajo: lectura de información no sensible, clasificación o generación de un informe interno. Puede automatizarse si es auditable y reversible.
• Riesgo medio: crear un borrador, actualizar un campo no crítico o preparar una respuesta. Revisión humana antes de publicar o modificar.
• Riesgo alto: enviar dinero, borrar información, cambiar permisos, firmar condiciones o contactar con un regulador. Aprobación explícita, y doble control cuando sea apropiado.
• Bloqueado: acciones fuera del objetivo del agente, acceso a sistemas no autorizados o solicitudes que contradigan las reglas de seguridad.

La pantalla de aprobación debe mostrar la acción concreta, los datos utilizados, el sistema afectado, el coste estimado y sus consecuencias. No basta con un botón genérico de “aceptar”. La persona debe poder revisar el borrador, rechazarlo, modificarlo y consultar el registro de lo ocurrido.

Microsoft recomienda una gobernanza por zonas de riesgo: agentes de solo lectura para usos personales, revisión de TI para agentes departamentales y controles formales para agentes críticos. Para una pyme, esto puede traducirse en una política de permisos según el impacto, aunque la empresa no tenga un departamento de TI dedicado.

Cómo controlar los costes

La Agents API no añade una tarifa propia: según la documentación oficial, el uso se factura por tokens y herramientas. Sin embargo, las sesiones largas, los reintentos, los subagentes y el cómputo pueden elevar el coste. El presupuesto debe formar parte del diseño, no ser una sorpresa al final del mes.

• Define un presupuesto máximo por sesión y por proceso.
• Limita el tiempo de ejecución, el número de reintentos y las llamadas a herramientas.
• Establece un máximo de documentos, páginas o registros procesados.
• Usa subagentes solo cuando la división del trabajo mejore el resultado. La API permite ejecutar tareas en paralelo; el ejemplo publicado configura hasta tres subagentes concurrentes.
• Elige el modelo adecuado para cada fase: no todas las tareas necesitan el mismo nivel de capacidad.
• Mide el coste por resultado correcto y aprobado, no solo por tokens o tareas iniciadas.

Un agente que completa muchas tareas pero necesita correcciones constantes puede ser más caro que una automatización simple. McKinsey señala que la productividad individual avanza más rápido que el impacto financiero agregado. En su encuesta, el 80% afirmó que la IA había mejorado su productividad individual, pero solo el 37% atribuyó algún impacto positivo al EBIT; además, el 20% de las organizaciones encuestadas limitaba el uso de IA por los costes operativos.

Seguridad operativa y prompt injection

La prompt injection ocurre cuando una instrucción incluida en un correo, una página web, un PDF o un repositorio intenta influir en el comportamiento del agente. En español puede entenderse como una inyección de instrucciones: el agente debe tratar la información externa como datos potencialmente hostiles, no como órdenes de confianza.

OpenAI documentó un incidente relacionado con agentes y Hugging Face en el que entradas externas pudieron tratarse como instrucciones y los agentes accedieron a componentes fuera de su ámbito previsto. La lección para una pyme es limitar el alcance incluso cuando el agente parezca fiable: permisos mínimos, validaciones independientes y aprobación antes de acciones sensibles.

Registra las llamadas a herramientas, las decisiones, las aprobaciones, los errores y los reintentos. Conserva un mecanismo de apagado inmediato y prueba que funciona. Si un agente empieza a comportarse de forma inesperada, la prioridad es detenerlo, revocar sus credenciales y revisar el registro antes de reanudarlo.

Hypha afirma haber reducido un 86% las respuestas fallidas al separar el sistema que coordina al agente del sandbox. Es una afirmación de empresa y no una garantía generalizable, pero ilustra una práctica útil: separar el componente que decide de los entornos donde se ejecutan acciones y aplicar controles entre ambos.

Cómo medir el piloto

Antes de activarlo, registra una línea base: tiempo empleado, coste, errores, escalados, volumen procesado y satisfacción. Después compara esos datos con el agente durante un periodo supervisado. Incluye una muestra de casos normales y otra de casos difíciles.

Evalúa al menos estas preguntas:

• ¿Cuántos resultados fueron correctos a la primera?
• ¿Cuántos necesitaron revisión?
• ¿Qué acciones intentó ejecutar?
• ¿Cuánto costó cada resultado aprobado?
• ¿Cuántas veces se bloqueó o escaló?
• ¿Qué incidentes de seguridad aparecieron?

Los testimonios publicados por empresas pueden orientar la investigación, pero las cifras de reducción de errores, productividad o ahorro no deben asumirse como generalizables sin auditoría independiente, tamaño de muestra y metodología completa.

Automatiza sin aprobación únicamente acciones reversibles, de bajo impacto, auditables y estables después de una etapa supervisada. Si el agente no supera a la línea base en calidad, coste o tiempo, rediseña el proceso antes de ampliar sus permisos.

Checklist para lanzar un agente seguro

• El objetivo y el resultado esperado están definidos en un proceso concreto.
• Se han identificado las entradas, excepciones y criterios de éxito.
• El agente empieza con permisos de lectura y credenciales separadas.
• Lectura, preparación y ejecución están separadas.
• Pagos, borrados, contratos, permisos y comunicaciones sensibles requieren aprobación.
• Existe un presupuesto por sesión, límites de tiempo, reintentos y herramientas.
• Las pruebas se realizan en sandbox o entorno separado de producción.
• Se han probado documentos, webs y correos con instrucciones maliciosas.
• Se registran decisiones, llamadas, aprobaciones y errores.
• Hay un botón o procedimiento de apagado inmediato.
• El piloto se compara con una línea base de tiempo, coste, calidad y satisfacción.

La mejor forma de empezar no es entregar toda la empresa a un agente, sino escoger un proceso pequeño, medible y reversible. Esta semana, elige una tarea repetitiva, documenta su proceso actual y prepara un piloto de solo lectura con un presupuesto, una métrica de éxito y un responsable de aprobación claramente definidos.