Agentes de IA autónomos: qué pueden hacer hoy, límites y riesgos
Publicado: · Actualizado:
Por Goiko, Founder & AI Solutions CTO de GUGŌ Creative
Qué pueden hacer hoy los agentes de IA autónomos y qué no: niveles de autonomía, supervisión humana, riesgos según OWASP, MCP y A2A y qué construir ya.
Un agente de IA autónomo es un sistema en el que un modelo de lenguaje recibe un objetivo, decide qué pasos dar, usa herramientas sobre sistemas reales y revisa el resultado de cada paso antes de seguir. Hoy funciona bien en tareas acotadas, con pocas herramientas, un resultado comprobable y una persona que aprueba las acciones de impacto: resolver incidencias de soporte con reglas escritas, preparar un expediente o corregir código que se valida con pruebas.
Todavía no es razonable dejarle sin supervisión procesos largos o con acciones irreversibles: su fiabilidad cae cuando la tarea se alarga, puede obedecer instrucciones escondidas en lo que lee y ningún protocolo, ni MCP ni A2A, decide por sí solo qué puede hacer. Lo que sí tiene sentido construir ya es un agente con la autonomía justa para su tarea, permisos mínimos y trazas de cada decisión.
Qué es un agente de IA autónomo y en qué se diferencia de un flujo de trabajo
Anthropic, en Building effective agents, distingue los flujos de trabajo, en los que el código fija la ruta y el modelo interviene en pasos concretos, de los agentes, en los que el modelo dirige su propio proceso y elige sus herramientas. Un agente funciona en bucle —planifica, usa una herramienta, observa el resultado y decide si sigue o se detiene— y es autónomo en la medida en que esos pasos no están escritos de antemano. La misma guía advierte de que esa autonomía trae más coste y errores que se acumulan, y recomienda condiciones de parada, como un número máximo de iteraciones.
Para distinguir un chatbot, un copiloto y un agente, consulta chatbot, copiloto o agente de IA; para implantar uno paso a paso, agentes de IA en empresas. Aquí la pregunta es otra: cuánta autonomía darle hoy.
Niveles de autonomía de un agente de IA
Feng, McDonald y Zhang proponen en Levels of Autonomy for AI Agents (2025) cinco niveles según el papel de la persona. Su idea central es que la autonomía es una decisión de diseño, distinta de la capacidad: un agente muy capaz puede pedir aprobación antes de cada acción, y uno modesto puede trabajar solo en una tarea sencilla y bien definida.
| Nivel | Papel de la persona | Qué hace el agente | Dónde encaja en una empresa |
|---|---|---|---|
| 1. Operador | Planifica y decide | Ayuda cuando se le pide, sin actuar por su cuenta | Búsqueda interna o redacción asistida |
| 2. Colaborador | Reparte el trabajo con el agente y puede tomar el control | Ejecuta partes de la tarea en paralelo | Borradores de ofertas que la persona termina |
| 3. Consultor | Orienta y revisa en puntos fijados | Planifica y ejecuta la mayor parte | Investigación con fuentes o análisis de un expediente |
| 4. Aprobador | Aprueba lo que tiene consecuencias | Trabaja solo y pide permiso para lo crítico | Incidencias con abonos sujetos a aprobación |
| 5. Observador | Revisa registros y puede detenerlo | Planifica y ejecuta sin intervención | Solo tareas de bajo impacto, reversibles y ya evaluadas |
El nivel se fija por acción, no por agente: el mismo agente puede clasificar tickets en el nivel 5 y emitir abonos en el 4. Para un primer agente en producción recomendamos el nivel 4 como techo.
Qué pueden hacer hoy los agentes autónomos
Anthropic señala en esa guía dos aplicaciones especialmente prometedoras, la atención al cliente y la programación, porque combinan conversación y acción, tienen criterios de éxito claros y admiten supervisión humana; en programación, además, el agente comprueba su trabajo con pruebas automáticas. La pista es esa: un agente rinde cuando puede saber si lo ha hecho bien. Hoy encajan:
- Tareas con verificación automática: código con pruebas, conciliaciones o datos que se validan contra el ERP antes de guardarse.
- Investigación con fuentes: revisar muchos documentos y devolver un informe con citas que una persona revisa.
- Triaje y preparación de casos: clasificar peticiones, reunir el historial y proponer la respuesta o la acción.
- Operaciones con reglas escritas: cambios de datos o devoluciones dentro de límites, con aprobación por encima de un umbral.
Lo que dicen las mediciones
En su estudio de marzo de 2025, METR midió que los modelos de entonces acertaban casi siempre en tareas que a una persona le llevan menos de 4 minutos, y menos del 10 % de las veces en las de más de unas 4 horas. La duración de las tareas que completaban con un 50 % de fiabilidad se había duplicado aproximadamente cada 7 meses durante seis años.
La propia METR advierte de que sus tareas son sobre todo de software, aprendizaje automático y ciberseguridad, autocontenidas y con corrección automática, de que el rendimiento puede bajar en tareas más desordenadas y de que no ha medido el horizonte con un 99 % de acierto. Un 50 % sirve para seguir la tendencia, no para dejar solo un proceso de facturación.
Qué no pueden hacer todavía: los límites que importan
Mantener la fiabilidad en tareas largas
Cada paso depende del anterior, y un error al principio se arrastra hasta el final: Anthropic explica, al describir su sistema de investigación multiagente, que los agentes tienen estado y sus errores se encadenan. Además, acertar una vez no es acertar siempre. τ-bench (2024) propuso medir la misma tarea en varios intentos: con los modelos de entonces, el mejor agente resolvía menos del 50 % de las tareas y, en comercio minorista, acertaba las ocho repeticiones de una misma tarea en menos del 25 % de los casos. Los modelos han cambiado; la lección de método, no: evalúa cada caso varias veces.
Distinguir datos de instrucciones
Un agente lee correos, documentos y webs sin poder separar con seguridad la información de las órdenes. El NCSC británico explica en Prompt injection is not SQL injection (diciembre de 2025) que los modelos actuales no imponen una frontera de seguridad entre instrucciones y datos, y que lo realista es reducir la probabilidad y el impacto de los ataques. OWASP admite en su ficha de prompt injection que no está claro que existan métodos infalibles. La consecuencia práctica, según el NCSC: un modelo que procesa correos de desconocidos no debería tener acceso a herramientas privilegiadas.
Trabajar barato y rápido
Cada paso es una llamada al modelo. Según los datos de Anthropic, un agente consume unas 4 veces más tokens que un chat, y un sistema multiagente, unas 15 veces más. Cuándo compensa repartir el trabajo entre varios agentes lo tratamos en sistema multiagente de IA.
Supervisión humana: dónde ponerla
La supervisión se diseña por tipo de acción. Leer, clasificar y proponer pueden ir solos si se registran; lo que compromete dinero, datos personales, clientes o contratos necesita una aprobación vinculada a la acción y sus parámetros —este abono, por este importe—, no un permiso genérico. Todo agente necesita además un botón de parada y un registro que permita reconstruir y deshacer lo ocurrido: el agente no puede responder de una decisión; alguien de la empresa, sí.
El Reglamento europeo de IA se aplica con carácter general desde el 2 de agosto de 2026 y, tras el Ómnibus Digital, las obligaciones de alto riesgo del anexo III llegan el 2 de diciembre de 2027, y las del anexo I, el 2 de agosto de 2028. Para esos sistemas, el artículo 14 exige diseñarlos para que quien los supervisa pueda entender sus capacidades y límites, ser consciente del sesgo de automatización, revertir su resultado y detenerlos. Muchos agentes de soporte o de administración quedan fuera del anexo III, pero usos como seleccionar candidatos, asignar tareas según rasgos personales o evaluar la solvencia de personas entran en él; en esos casos, revisa la clasificación con tu asesoría jurídica.
Riesgos: el exceso de autonomía según OWASP (LLM06)
OWASP recoge este riesgo como Excessive Agency (LLM06:2025): acciones dañinas a partir de salidas inesperadas, ambiguas o manipuladas del modelo, ya sea por una alucinación o por una inyección de instrucciones. Sus tres causas son decisiones de diseño:
- Funcionalidad excesiva: una consola o una consulta SQL libre donde bastaría una función como «consultar el estado del pedido».
- Permisos excesivos: escritura en todo el CRM para un agente que solo necesita actualizar un campo.
- Autonomía excesiva: acciones de alto impacto sin aprobación humana, como escribir a todos los clientes.
Los controles que propone siguen esa lista: herramientas mínimas, credenciales de mínimo privilegio, autorización aplicada en los sistemas de destino y no por el modelo, y aprobación humana en lo crítico. Registrar y limitar la frecuencia no evita el problema, pero acota el daño. El detalle está en seguridad en agentes de IA en producción.
MCP y A2A: qué resuelven los protocolos de agentes y qué no
MCP (Model Context Protocol) es un estándar abierto para conectar aplicaciones de IA con fuentes de datos, herramientas y flujos de trabajo. Lo creó Anthropic y desde el 9 de diciembre de 2025 lo aloja la Agentic AI Foundation, un fondo de la Linux Foundation fundado por Anthropic, Block y OpenAI. Su ventaja práctica: una herramienta expuesta como servidor MCP sirve a distintos agentes sin rehacer la integración.
A2A (Agent2Agent) resuelve otro problema: que agentes de frameworks o proveedores distintos se descubran, se deleguen tareas e intercambien resultados. Lo creó Google, que lo cedió a la Linux Foundation; su versión 1.0, la primera estable, salió en marzo de 2026, y en agosto de 2026 se incorporó a la Agentic AI Foundation. MCP conecta un agente con sus herramientas; A2A, un agente con otros.
Ninguno de los dos decide qué puede hacer un agente. Las buenas prácticas de seguridad de MCP prohíben que un servidor acepte tokens emitidos para otro servicio, recomiendan pedir los permisos de forma progresiva y recuerdan que un servidor local se ejecuta con los privilegios de la aplicación que lo usa. En la práctica:
- Trata cada servidor MCP como una integración más: revisa su origen, sus herramientas y sus credenciales, y pide los permisos mínimos.
- Usa A2A si deben coordinarse agentes de proveedores o equipos distintos; dentro de un mismo sistema, suele bastar con tu propio código.
- Aplica la autorización en tus sistemas: poder llamar a una herramienta no implica poder hacerlo con cualquier parámetro.
Qué tiene sentido construir ya en una empresa
Un agente autónomo tiene sentido hoy cuando la tarea tiene volumen, un criterio escrito, un resultado comprobable y acciones reversibles o aprobadas, y cuando su peor error es asumible y detectable a tiempo. Estos tres escenarios son hipotéticos e ilustrativos, no casos de clientes:
- Distribuidora con pedidos B2B (nivel 4): el agente gestiona cambios de dirección y de fecha de entrega, que son reversibles, y prepara los abonos, que emite una persona de administración tras revisarlos.
- Equipo de sistemas interno (niveles 3 y 4): el agente clasifica alertas, reúne registros y documentación y propone la causa probable; reinicia solo servicios de pruebas, y tocar producción requiere aprobación.
- Departamento de compras (nivel 3): el agente compara las ofertas de proveedores con las condiciones pactadas y redacta una propuesta con las diferencias señaladas; la orden de compra la emite una persona.
Lo que no construiríamos todavía: un agente que comprometa gasto sin límite, que responda a clientes sobre cuestiones legales o médicas sin revisión, que use credenciales de administrador o que lea correo externo y a la vez tenga permisos amplios de escritura.
Cuánto cuesta un agente de IA autónomo
Estos son los rangos de agentes de IA de nuestro informe de precios de software e IA en España 2026:
- Agente acotado a una tarea: 20.000-35.000 €, en 6-8 semanas.
- Agente multiherramienta, con acciones en CRM, ERP o ticketing: 35.000-60.000 €, en 10-16 semanas.
- Sistema multiagente sobre procesos críticos: 60.000-100.000 € o más, en 12-16 semanas.
Se suman el uso de los modelos por API, desde unos 100 € al mes con poco volumen y 2.000-5.000 € al mes con volumen alto; la infraestructura cloud, de 50 a 500 € al mes, y el mantenimiento, del 15 al 25 % del coste de desarrollo al año. No hay un rango publicado por nivel de autonomía: subir de nivel no se paga en el modelo, sino en evaluación, trazas y controles. El desglose está en cuánto cuesta desarrollar un agente de IA.
Qué vigilar en los próximos meses
Sin hacer futurología, conviene seguir tres cosas con fecha o con fuente: el calendario del Reglamento de IA, las versiones de MCP y A2A y las mediciones independientes de fiabilidad, mirando el acierto alto en tareas parecidas a las tuyas. Y, sobre todo, tus propios datos: las tasas de acierto, escalado y reversión de tu agente dicen más sobre cuándo darle autonomía que cualquier previsión.
Preguntas frecuentes
¿Qué es un agente de IA autónomo?
Un sistema en el que un modelo de lenguaje recibe un objetivo, decide los pasos, usa herramientas sobre sistemas reales y comprueba el resultado antes de seguir. A diferencia de un flujo de trabajo, el número y el orden de los pasos no están escritos de antemano.
¿Qué tareas puede hacer hoy un agente de IA autónomo?
Las que tienen reglas escritas y un resultado comprobable: triaje y preparación de casos, investigación con fuentes, operaciones repetitivas dentro de límites o código que se valida con pruebas. En procesos largos, con acciones irreversibles o con contenido externo no fiable, todavía necesita aprobación humana.
¿Qué nivel de autonomía conviene dar a un agente de IA?
El más bajo que resuelva la tarea, fijado acción por acción. Para un primer agente en producción recomendamos el nivel 4 como techo: trabaja solo, pero pide aprobación para lo que compromete dinero, datos personales, clientes o contratos.
¿MCP y A2A hacen más seguro un agente de IA?
No por sí solos. MCP estandariza cómo un agente se conecta a herramientas y datos, y A2A, cómo se comunican agentes de proveedores distintos, pero ninguno decide qué puede hacer el agente. Los permisos mínimos y la autorización se aplican en tus sistemas.