Cómo gestionar los agentes que creamos y cómo defendernos de los que no creamos: un coloquio de la serie «GC Lunch Series»
Hace seis meses, nuestra serie de almuerzos para directores jurídicos planteó la pregunta de cómo deberían prepararse las empresas para la era de los agentes. En esta entrega ha quedado claro que esa era ya ha llegado. Los agentes operan dentro de las empresas, los atacantes despliegan los suyos propios, las aseguradoras están reescribiendo las normas de cobertura y los equipos jurídicos de ambas partes de la relación con los asesores externos están utilizando agentes en el ejercicio de la abogacía. Directores jurídicos, responsables jurídicos y líderes del sector participaron en una conversación franca sobre cuáles son los puntos críticos y qué deberían hacer los responsables jurídicos al respecto. Estas son las conclusiones clave.
Dirigir a tus propios agentes es más difícil de lo que parece
La cuestión ya no es si se deben implementar agentes, sino cómo gestionar los que ya están en funcionamiento. La mayoría de los participantes reconocieron que crear un inventario de agentes es complicado (¿imposible?), incluidos los integrados en productos de proveedores y los creados por empleados entusiastas sin una revisión formal. No se puede gestionar lo que no se ve.
Cada agente debe tener un ámbito de competencia bien definido, una persona responsable designada, una lista documentada de los sistemas a los que puede acceder y un punto claro en el que debe detenerse y escalar el asunto. Delega en los agentes con el mismo rigor con el que delegas la autoridad para firmar a una persona.
A medida que los agentes encadenan tareas de varios pasos, la capacidad práctica de una persona para aprobar cada acción se ve reducida. Un control más sólido es un flujo de trabajo por etapas con puntos de control definidos, datos de entrada claros y un alcance limitado en cada paso, en lugar de una única instrucción dirigida a un agente con amplios permisos.
La autorización y la responsabilidad por la conducta de los agentes siguen siendo objeto de controversia. El litigio Amazon contra Perplexity, relativo a un agente de compras basado en inteligencia artificial —en el que el Noveno Circuito anuló una medida cautelar en agosto de 2026—, pone de manifiesto lo poco claro que está si es el usuario o el agente quien «accede» a un sistema. Los directores jurídicos no deben dar por sentado que los marcos normativos existentes en materia de contratos, representación y acceso informático se aplicarán sin problemas al comportamiento de los agentes.
El mercado y la Torre de los Seguros van en direcciones opuestas
La presión comercial para contratar agentes rápidamente está superando la capacidad del mercado de transferencia de riesgos para valorar lo que estos agentes podrían llegar a hacer. Los consejos de administración y los líderes empresariales quieren rapidez, mientras que las aseguradoras exigen pruebas. Gran parte del mercado guarda silencio sobre la IA, sin cubrir ni excluir expresamente las pérdidas provocadas por ella, por lo que la cobertura dependerá de cómo se califique una reclamación a posteriori. En resumen: no des por sentado que una pérdida relacionada con la IA está cubierta simplemente porque la IA no esté excluida.
Las aseguradoras también están planteando preguntas concisas sobre los controles de la inteligencia artificial, y algunas están ajustando las tarifas, los límites y los sublímites en función de las respuestas. Un programa de gobernanza de agentes bien documentado puede influir directamente en el coste y el alcance de la cobertura. Cuando la cobertura del seguro es incierta, las indemnizaciones, las cláusulas de limitación de responsabilidad, las exenciones por daños indirectos y los derechos de auditoría y cooperación incluidos en los acuerdos con los proveedores que actúan como agentes pueden constituir importantes factores de mitigación del riesgo.
El panorama de las amenazas evoluciona a la velocidad de las máquinas (y no te olvides de querer a tu CISO)
El panorama de las amenazas externas ha cambiado de forma significativa. Los atacantes utilizan ahora agentes para llevar a cabo, de forma paralela, operaciones de reconocimiento, descubrimiento de credenciales, escalada de privilegios y movimiento lateral. La inyección de comandos, el uso indebido de herramientas, el robo de tokens y el secuestro de identidades de IA pueden convertir a tus propios agentes en una vía de acceso a la empresa. Las falsificaciones profundas (deepfakes) de voz y vídeo son ya una práctica habitual en la ingeniería social.
Los CISO deben redoblar sus esfuerzos para hacer frente a las amenazas externas. Además, se enfrentan al reto de garantizar la seguridad y facilitar el uso de la inteligencia artificial en toda la empresa, a menudo sin disponer de más presupuesto ni personal. Los directores jurídicos deben ser los aliados más cercanos de los CISO, coordinándose de antemano en cuanto a los protocolos de respuesta ante incidentes y de divulgación, las líneas jerárquicas y las competencias decisorias, y asegurándose de que se informe al consejo de administración.
Otro consejo clave para los responsables jurídicos: incorporad a nuestros ejercicios de simulación un escenario en el que el protagonista sea un agente —ya sea de vuestra organización o del atacante— y analizad las cuestiones jurídicas, normativas, de seguros y de comunicación que plantee.
Cómo los abogados internos y externos están sacando partido a los agentes
Muchos equipos internos se ven presionados por sus consejos de administración y equipos directivos para que demuestren el retorno de la inversión (ROI) derivado del uso de la inteligencia artificial.
Con el objetivo de abordar ese tema tan delicado, la conversación concluyó con cómo los equipos internos y los bufetes de abogados están pasando de la fase de experimentación a la de ejecución, utilizando plataformas como Harvey junto con otras herramientas para transformar la forma en que se lleva a cabo el trabajo jurídico. En Foley, Harvey se ha implantado en todo el bufete como parte de un conjunto más amplio que incluye Microsoft Copilot, CoCounsel, Draftwise, Relativity y nuestro FoleyChat, desarrollado internamente. Los equipos que obtienen mayor valor comienzan con una tarea jurídica específica, como la diligencia debida, la revisión de contratos, la investigación o la revisión de pruebas, y determinan en qué aspectos un agente aporta valor, en qué fuentes se basa y en qué casos es indispensable el criterio humano. Los agentes rinden mejor en trabajos por etapas, de varios pasos, con puntos de control entre cada fase.
Al reducir el tiempo y el coste de los análisis recurrentes y a gran escala, los flujos de trabajo basados en agentes permiten incorporar de forma práctica el asesoramiento jurídico en las decisiones empresariales en una fase más temprana y con mayor frecuencia, desde revisiones más asiduas de la cartera de contratos hasta una evaluación más temprana de los riesgos de nuevos productos y mercados.
Los equipos jurídicos deben exigir a sus propios agentes el cumplimiento de las normas que establecen para la empresa: un abogado responsable designado, una autoridad definida, una validación documentada y la verificación de cada resultado con respecto a la fuente subyacente. Los tribunales ya están estableciendo límites en materia de privilegio y confidencialidad en el uso de la inteligencia artificial, lo que hace imprescindible contar con un entorno seguro y de nivel empresarial.
Las oportunidades más prometedoras consisten en que los asesores jurídicos internos y externos trabajen a partir de materiales de referencia compartidos y bien organizados, así como de flujos de trabajo consensuados, de modo que los responsables de ambas partes elaboren documentos coherentes, verificables y que permitan actuar con mayor rapidez.
Lo que los directores generales deberían transmitir a sus equipos
- Realiza un inventario de los agentes que operan en tu organización, incluidos los que se encuentran dentro de los productos de los proveedores, y asigna un responsable a cada uno de ellos.
- Actualiza tu programa de gobernanza de la IA para hacer frente a los riesgos específicos y a los retos de supervisión que plantean los agentes.
- Antes de tu próxima renovación, colabora con tu corredor y con tu asesor en materia de coberturas para analizar los casos de uso de los agentes en relación con tus pólizas de ciberseguridad, de responsabilidad civil profesional en materia tecnológica, de responsabilidad civil de directivos y administradores (D&O) y de responsabilidad civil general, e identificar las lagunas existentes.
- ¡Reserva un rato con tu CISO para demostrarle tu aprecio! Acordad juntos las competencias de decisión, los procedimientos de escalado y cómo informaréis a la junta directiva sobre el riesgo de los agentes.
- Plantea a los representantes de tu equipo jurídico y a los de tus asesores externos las mismas preguntas sobre gobernanza que planteas a la empresa.
- Prepárate para responder a la pregunta que marcó nuestro último almuerzo y que sigue marcando este. Si tuvieras que explicar la conducta de un agente ante un organismo regulador, un tribunal, una aseguradora o tu consejo de administración, ¿qué documentación necesitarías y de cuánta de ella dispones actualmente?
- Colabora con asesores jurídicos externos para diseñar flujos de trabajo que utilicen la inteligencia artificial con el fin de fomentar realmente la eficiencia y que estén pensados para generar el retorno de la inversión en inteligencia artificial que buscan los equipos directivos.
La IA agentiva ha pasado de ser un concepto a convertirse en una realidad operativa más rápido de lo que la mayoría de los programas de gobernanza, los mercados de seguros y los equipos de seguridad pueden asimilar. Los directores jurídicos que definan las competencias, exijan la auditabilidad, comprendan dónde se sitúa realmente su transferencia de riesgo, trabajen codo con codo con sus directores de seguridad de la información (CISO) y pongan en marcha los agentes de forma reflexiva en sus propios departamentos serán quienes den forma a esta transición, en lugar de limitarse a reaccionar ante ella.
¡Adelante!
