Antes de conectar un agente jurídico: revisar permisos y acciones

Empezar por una tarea pequeña y comprobable

Caso ficticio. Un consultorio quiere que un asistente organice documentos públicos y prepare una lista de asuntos para revisión. El proveedor ofrece además conectar correo, calendario y carpetas completas. La pregunta útil no es cuántas funciones incorpora, sino qué permisos necesita la tarea elegida y qué podría ocurrir si interpreta mal una instrucción. Esta nota propone un piloto acotado; no recomienda conectar expedientes reales para descubrir después sus límites.

OWASP describe la agencia excesiva como el riesgo asociado a funcionalidad, permisos o autonomía superiores a los necesarios. Su guía propone controles de autorización en los sistemas y revisión humana de acciones de impacto. Es una referencia técnica, no una norma jurídica colombiana ni una garantía de seguridad del producto que se esté evaluando.

Una matriz de permisos antes de una demostración comercial

Propuesta editorial: enumerar cada función del piloto en una fila y clasificarla como lectura, creación de borrador o ejecución. Para el ejemplo bastaría leer una carpeta preparada con documentos públicos y generar una lista local. La capacidad de borrar archivos, reenviar mensajes o compartir carpetas no aporta al resultado elegido. Debe permanecer deshabilitada si no existe una necesidad y una autorización separadas.

Preparar un conjunto de prueba que incluya un documento incompleto, una referencia desactualizada y una instrucción contradictoria escrita dentro de un archivo ficticio. Observar si el asistente distingue el contenido consultado de las instrucciones del responsable. El resultado aceptable no es obedecer cualquier frase que encuentre, sino señalar la contradicción y mantenerse dentro de la tarea y los permisos definidos. Ningún ensayo debe contener secretos, credenciales ni información reservada.

Antes de ampliar el piloto, pedir una explicación concreta de los datos utilizados, conservación, acceso del proveedor, subprocesadores, registro de acciones y mecanismo de revocación. Revisar cómo se detiene una ejecución y cómo se recupera un borrador. Una demostración fluida no prueba esos controles. Si una función pretende enviar, publicar, radicar o modificar derechos, la revisión debe situarse antes de esa acción y mostrar al responsable el contenido y el destinatario exactos.

La decisión de adopción debe quedar vinculada a evidencia: qué tarea se probó, qué permisos se concedieron, qué errores aparecieron y qué límites continúan abiertos. Un piloto satisfactorio para organizar documentos públicos no demuestra idoneidad para valorar prueba o decidir asuntos jurídicos.