Agentes de IA: el manual que la AESIA no ha escrito

¿Sabes lo que tiene de curioso España? Somos el primer país de toda la Unión Europea con una agencia oficial para supervisar la inteligencia artificial. La AESIA, se llama. Lleva funcionando desde 2024, tiene dieciséis guías publicadas sobre el AI Act europeo y un plan nacional de alfabetización en IA que lleva meses en marcha.

Y si llegas a AESIA buscando orientación oficial sobre cómo usar un agente de IA en tu ordenador sin que te salga rana, es que estás bastante perdido. 

Las guías son para empresas. La supervisión apunta a sistemas de alto riesgo en sectores críticos. El Esquema Nacional de Seguridad tiene un principio de mínimo privilegio muy sensato, pero está pensado para administraciones públicas, no para el ciudadano que acaba de instalar OpenClaw en su Mac Mini después de leer dos posts sobre el tema.

El vacío existe. Y mientras los organismos miran hacia arriba, tú tienes que tomar decisiones ahora. Para eso está este tercer y último post.

Lo que aprendimos por el camino

En el primer post, De Clawdbot a OpenClaw: la historia del agente más viral, hablamos del fenómeno OpenClaw: cómo convertir algo técnicamente existente en algo emocionalmente accesible. La metáfora de la fregona. No inventó el trapo ni el cubo, le puso el palo. El resultado fue que darle órdenes a un agente por WhatsApp de repente se sentía tan normal como poner una lavadora.

En el segundo, ¿Sabes realmente qué puede hacer tu agente de IA?, llegó la parte incómoda. Que un agente no responde, actúa. Que si le das acceso a tus cuentas puede leer correos, enviarlos en tu nombre, hacer compras, cambiar configuraciones. Que el prompt injection existe y está documentado. Que credenciales en texto plano, skills con vulnerabilidades críticas y un proyecto que cambió de dueño en tres meses no son detalles menores. Que la pregunta no es si el agente es listo, sino qué le has dejado tocar.

Y aquí llegamos al nudo que este post tiene que desatar.

El falso dilema del todo o nada

Cuando alguien te explica los riesgos de algo, hay dos reacciones típicas: o lo usas sin pensar o lo rechazas con disgusto. Con los agentes de IA pasa igual. O le das acceso a todo porque si no no sirve para nada, o lo encierras en un ordenador aislado sin credenciales y entonces sí que no sirve para nada.

Ninguna de las dos posiciones es útil.

La respuesta adulta está en el medio, y tiene un nombre que ya usé en otro post de este blog: el becario. No le das las llaves de la empresa el primer día. Tampoco le pones a hacer fotocopias sin acceso a nada. Le asignas tareas concretas, le explicas hasta dónde puede llegar, y le pides que te consulte antes de tomar decisiones que no tienen marcha atrás.

Con un agente de IA el razonamiento es exactamente el mismo. Puede preparar trabajo, ordenar, redactar borradores, investigar, dejar pasos listos. Eso ya es mucho valor real. Pero que pueda hacer todo eso no implica que necesite acceso a todo para hacerlo.

La pregunta no es "¿le doy acceso o no?". Es "¿acceso a qué, exactamente, y con qué límites?"

El kit práctico: cinco capas de control

1. Una cuenta dedicada para el agente. No le des a OpenClaw tu cuenta principal de Google o de correo. Crea una cuenta específica para que trabaje desde ahí. Es como el uniforme de trabajo: el becario no se lleva las llaves de la oficina a casa porque las llaves van con el uniforme, y el uniforme se queda en la empresa.

2. Permisos mínimos y de alcance limitado. Si el agente solo necesita leer tu calendario para organizar tareas, dale acceso solo al calendario. No al correo, no a los archivos, no a los contactos. El alcance del permiso tiene que coincidir con el alcance de la tarea. Nada más.

Principio de mínimo privilegio: Dar a cualquier sistema, usuario o proceso únicamente los permisos estrictamente necesarios para realizar su función, y nada más. Es uno de los principios básicos de ciberseguridad y aplica igual a personas que a agentes de IA.

3. Aprobación humana para acciones irreversibles. El agente redacta el email, tú aprietas enviar. El agente localiza el vuelo más barato, tú confirmas la compra. Esta capa es la más sencilla de implementar y la más efectiva contra los accidentes: convierte al agente en un preparador de trabajo en lugar de un ejecutor autónomo.

4. Observabilidad: saber qué ha hecho. OpenClaw guarda logs de actividad. Revísalos. Es el registro de entrada del parking: si algo falla, puedes reconstruir qué pasó y cuándo. Un agente que no puedes auditar es un agente que no puedes corregir.

Prompt injection: Técnica de ataque en la que contenido malicioso incrustado en una página web, un correo o un documento consigue que el agente de IA ejecute instrucciones no autorizadas. El agente las lee como parte del contexto y las obedece sin saberlo el usuario.

5. Un límite de gasto real. Ya lo viste en el primer post: Federico Viticci gastó 3.500 euros en un mes sin darse cuenta. Pon un tope en tu cuenta o en el método de pago que uses. Trátalo como una tarjeta prepago: cuando se acaba, se para. No mañana, no cuando lo notes, se para.

📋 Prompt para arrancar con cabeza

Actúa como un asistente de productividad con acceso limitado a mi calendario. Tu única función hoy es revisar mis eventos de esta semana y proponerme un borrador de prioridades. No envíes nada, no modifiques nada. Solo lee y resume. Cuando termines, espera mi confirmación antes de hacer cualquier otra cosa.

Una palabra honesta sobre la madurez del proyecto

Conviene decirlo sin alarmismo pero sin rodeos. OpenClaw es un proyecto que nació en noviembre, cambió de nombre tres veces, tuvo una brecha en enero de 2026 que expuso 1,5 millones de claves API y miles de mensajes privados, y en febrero su creador fichó por OpenAI. Eso no lo convierte en inútil. Pero sí en inmaduro. Y con las herramientas inmaduras, la supervisión humana no es opcional: es la única red de seguridad que existe mientras el proyecto crece y se estabiliza.

¿Sabías que España fue el primer país de la UE en tener una agencia dedicada a supervisar la IA?

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) se puso en marcha en 2024, antes incluso de que el AI Act europeo entrara plenamente en vigor. Sin embargo, su foco está en empresas y sectores de alto riesgo, no en el usuario doméstico que experimenta con agentes en casa.

Los organismos que deberían darte una guía todavía no han llegado aquí. La velocidad del campo va muy por delante de cualquier regulador. Eso no es excusa para esperar a que lleguen, pero sí para ser consciente de que en este momento navegas sin carta de navegación oficial. Y que el sentido común, por anticuado que suene, sigue siendo la herramienta más difícil de superar.

La fregona bien escurrida

Volvamos al principio, porque una trilogía merece cerrar el círculo.

La fregona no inventó nada nuevo. Solo hizo lo obvio en retrospectiva: ponerle un palo al trapo. Pero hay algo que nadie te cuenta cuando compras una fregona por primera vez: si no aprendes a escurrirla bien, te mojas los zapatos igual que con el trapo suelto.

Los agentes de IA son exactamente lo mismo. La utilidad es real. El salto de comodidad es real. Y el truco de usarlos sin empaparte los pies también existe, solo que nadie lo pone en el anuncio.

Empieza por una tarea de bajo riesgo: investigar algo, preparar un borrador, organizar información. Hazlo desde una cuenta dedicada. Observa qué hace. Añade permisos solo cuando tengas claro qué estás añadiendo y por qué.

No es paranoia. Es lo mismo que harías con cualquier herramienta nueva que entra en tu vida: aprender a usarla antes de confiarle las llaves.

Y si en algún momento la herramienta falla, recuerda que la responsabilidad de verificar sigue siendo tuya. Los agentes no tienen sentido común. Todavía.