Quién firma lo que sale

La conversación sobre IA en una organización casi siempre empieza por lo que el sistema puede hacer. Debería empezar por otra cosa: qué pasa cuando se equivoca, y quién responde.

Esa pregunta no se resuelve con una política general. Se resuelve flujo por flujo, y la herramienta para hacerlo es un nivel de autonomía declarado: un acuerdo explícito sobre cuánto puede hacer el sistema por su cuenta y qué tiene que pasar por una persona.

Por qué "el humano revisa" no es un control

Casi todas las implementaciones dicen tener supervisión humana. En la práctica, esa supervisión suele significar que alguien mira la salida antes de usarla. Eso no es un control: es una intención.

Un control tiene tres propiedades que una intención no tiene. Está definido antes de la ejecución, no después. Es verificable: se puede demostrar que ocurrió. Y tiene un responsable con nombre, no un área.

Cuando la revisión depende de que alguien se acuerde de revisar, el control desaparece el primer día con carga alta. Y la carga alta es exactamente el día en que el sistema se usa más.

Cuatro niveles

La graduación que usamos tiene cuatro escalones. No es la única posible, pero tiene una propiedad útil: cada nivel cambia dos cosas a la vez, el alcance de acceso y quién firma. Cambiar solo una de las dos es lo que produce sistemas que pueden escribir sin que nadie haya aceptado responder por ello.

En N0 el sistema propone y no toca nada. Suena poco ambicioso y es donde más se aprende: durante unas semanas se ve la calidad real de las salidas sin arriesgar nada, y esa evidencia es la que justifica el paso siguiente.

N1 es donde vive la mayor parte del valor. El sistema produce el entregable completo —el informe, el correo, el resumen de la reunión— pero en estado borrador. Nada sale sin que alguien lo apruebe de forma explícita. El ahorro de tiempo es casi el mismo que en niveles superiores, y el riesgo queda acotado a un borrador que alguien revisa antes de que tenga efecto.

N2 traslada la revisión de previa a periódica. Es un cambio grande y solo tiene sentido con historial: cuando durante meses las salidas de un flujo se aprobaron sin corrección, revisarlas todas deja de aportar información.

N3 se reserva a flujos con consecuencia acotada y trayectoria larga. Y viene con una condición: cualquier desviación baja el nivel de forma automática, sin que haya que convocar a nadie.

La regla de subida

Un nivel no se sube porque el equipo esté cómodo. Se sube cuando hay evidencia registrada: cuántas salidas se produjeron, cuántas se corrigieron, qué tipo de corrección. Sin ese registro, la decisión de subir es una impresión.

• Volumen mínimo de salidas revisadas antes de considerar el cambio.
• Tasa de corrección por debajo de un umbral acordado de antemano, no elegido después de ver los números.
• Ninguna corrección de las que llamamos materiales: las que habrían cambiado una decisión.
• Un responsable nombrado que acepta el nivel nuevo por escrito.

El último punto es el que más resistencia genera y el que más importa. Un nivel de autonomía sin una persona que lo haya aceptado es una decisión que tomó el sistema por omisión.

Qué se gana escribiéndolo

Declarar niveles parece burocracia hasta la primera vez que algo sale mal. Ahí la diferencia es entre una conversación de veinte minutos —qué flujo era, en qué nivel estaba, quién lo aprobó, qué leyó el sistema— y una investigación de semanas que termina en desconfianza general hacia la herramienta.

También cambia la conversación con el área de riesgo. Un sistema sin niveles pide un permiso binario, y ante lo binario un comité prudente dice que no. Un sistema con niveles pide permiso para el escalón más bajo, que casi siempre se concede, y después se gana el resto con registro.

La autonomía se gana con evidencia.