¿Cómo debe distinguirse un agente de IA que actúa por sí mismo, por una persona o por una organización?

En lenguaje claro

Un asistente puede preparar un borrador de correo, enviarlo en su nombre o emitir un aviso aprobado desde la dirección de soporte de la empresa. En los tres casos el asistente realiza el trabajo, pero la autoridad utilizada y la responsabilidad resultante no son iguales.

Por qué importa

Confundir al actor con la persona representada crea una falsa atribución humana, una delegación ilimitada y una vía para ocultar la responsabilidad de la organización detrás de un agente.

No confundir

• Actor técnico: la identidad que realiza la acción en el sistema.
• Sujeto representado: la persona u organización en cuyo nombre se actúa.
• Otorgante: la parte que define la delegación o asignación organizativa.
• Parte responsable: la parte que asume la responsabilidad organizativa o jurídica por el resultado.

Qué hacer

1. Para cada acción, registre por separado actor, sujeto, organización, iniciador, aprobador y parte responsable.
2. Indique el alcance, el destino, las herramientas, la duración y las condiciones de revocación de la delegación.
3. Autorice como acciones separadas redactar, enviar, firmar y pagar.
4. Impida que un agente amplíe su propia autoridad.
5. En una cadena multiagente, otorgue a cada subagente solo la autoridad que necesita.
6. Ofrezca a los usuarios externos una explicación no engañosa de la interacción con IA y del estatus organizativo del agente.

Cómo auditarlo

• ¿Distingue el token o registro al actor del sujeto?
• ¿Tenía la persona derecho a conceder la autoridad?
• ¿Permanece la acción dentro del alcance y la duración de la delegación?
• ¿Existe una asignación organizativa y un patrocinador humano?
• ¿Utilizó el agente la autoridad para redactar como si fuera autoridad para enviar?
• ¿Se presentó al usuario de forma engañosa la identidad del agente o de la organización?