IA con Humano en el Circuito — Los requisitos del EU AI Act y NIST que realmente regulan los despliegues de agentes
El Reglamento de IA de la UE y el Marco de Gestión de Riesgos de IA del NIST no son sugerencias. No son buenas prácticas que puedas decidir ignorar mientras resuelves tu estrategia de agentes. Para las empresas que despliegan agentes de IA, ambos marcos ahora exigen lo mismo: supervisión humana demostrable, que sea capacitada, medible y verificable. Y para los sistemas de IA de alto riesgo, ese requisito entra en vigor el 2 de agosto de 2026.
La mayoría de las empresas que tratan la supervisión humana como una decisión de gobierno corporativo ya están fuera de cumplimiento. Este blog es la guía práctica sobre lo que realmente exigen los marcos y cómo arquitecturar para cumplir antes de la fecha límite de agosto.
Los Tres Marcos: Reglamento de IA de la UE, NIST AI RMF e ISO/IEC 42001
Tres marcos regulan la supervisión de IA para empresas en 2026. Difieren en origen y estatus legal, pero convergen en el mismo requisito central.
Reglamento de IA de la UE: La mayoría de las disposiciones entran en vigor el 2 de agosto de 2026. El Artículo 14 exige supervisión humana para sistemas de IA de alto riesgo. La supervisión debe ser significativa, efectiva e integrada en el sistema, no una revisión posterior después de que el agente ya haya actuado. Las categorías de alto riesgo incluyen decisiones de empleo, decisiones crediticias y financieras, gestión de infraestructuras críticas y aplicaciones de aplicación de la ley. Las sanciones por incumplimiento alcanzan hasta el 3% de la facturación anual global. Si sirves a clientes o empleados de la UE, el Reglamento aplica independientemente de dónde esté ubicada la sede de tu empresa.
NIST AI RMF: Voluntario en Estados Unidos, pero cada vez más exigido por contratos federales y regulaciones estatales. La función Govern especifica que la supervisión humana de los sistemas de IA debe mantenerse a través de mecanismos apropiados. La palabra clave es demostrable: debes poder mostrar quién supervisó qué decisiones, con qué autoridad y con qué información disponible en ese momento.
ISO/IEC 42001: El primer estándar global para sistemas de gestión de IA, publicado en 2023. La certificación señala madurez en el gobierno de IA y se alinea con NIST AI RMF en los requisitos de supervisión.
El punto de convergencia: los tres requieren supervisión humana que esté embebida, no añadida. Para los agentes de IA, esto significa arquitectura HITL: el humano debe estar en la ruta de ejecución antes de acciones de alto riesgo, no revisando después.
Lo Que Realmente Significa Supervisión Humana Demostrable para Agentes de IA
La mayoría de las empresas creen que supervisión humana significa un gerente que ocasionalmente revisa lo que hizo el agente. Eso no es lo que exigen los marcos. Demostrable significa cuatro cosas.
Humano identificado: ¿Qué persona específica aprobó la acción? No "un humano" — un individuo nombrado con autoridad documentada para tomar esa decisión.
Con límites temporales: ¿Dentro de qué ventana aprobó? La aprobación debe haber ocurrido antes de la acción, y el tiempo transcurrido debe registrarse.
Justificación defendible: ¿Qué información tenía ese humano cuando aprobó? Necesitaba suficiente contexto para tomar una decisión informada, no solo la salida del agente, sino el razonamiento y los datos relevantes.
Rastro de auditoría: Cada aprobación, rechazo y modificación debe registrarse y ser recuperable. Si un regulador pregunta qué pasó en una acción específica del agente en una fecha específica, debes poder reconstruirlo.
El mecanismo de cumplimiento es el gobierno de identidades. El gobierno de identidades vincula las acciones de los agentes de IA con políticas de identidad para que el agente no pueda actuar sin una identidad humana asociada a la autorización. Pausa la ejecución del agente hasta que un humano nombrado apruebe. Dirige las solicitudes de aprobación a la persona autorizada correcta según el tipo de acción y tu política organizacional. Impone ventanas de decisión con límites temporales. Y registra cada intervención para auditoría.
Sin gobierno de identidades, tienes una política. Con él, tienes una arquitectura de cumplimiento.
Las Categorías de Alto Riesgo que Activan HITL Obligatorio
Si tus agentes de IA tocan cualquiera de estos flujos de trabajo, HITL no es opcional. Es legalmente requerido bajo el Reglamento de IA de la UE.
Decisiones de empleo: Selección de currículums, evaluación de candidatos, evaluación de desempeño, recomendaciones de promoción.
Decisiones financieras: Scoring crediticio, subscripción de préstamos, subscripción de seguros, evaluación de riesgos.
Servicios esenciales: Acceso a educación, vivienda, servicios públicos.
Infraestructuras críticas: Gestión de redes eléctricas, tratamiento de agua, sistemas de transporte.
Aplicación de la ley: Reconocimiento facial, herramientas de polic说 predictiva, análisis de evidencia.
La lista práctica de disparadores HITL para la mayoría de las empresas: agentes que envían comunicaciones en nombre de la empresa, agentes que modifican registros de empleados o clientes, agentes que aprueban o rechazan transacciones financieras, agentes que procesan datos personales a escala, y agentes en industrias reguladas incluyendo finanzas, healthcare y legal.
Incluso si no estás en la UE: si sirves a clientes de la UE o employ personas residentes en la UE, el Reglamento de IA de la UE aplica a esas interacciones.
La Pila de Arquitectura HITL
Construir HITL conforme requiere cinco componentes de infraestructura.
Capa de identidad: Tu proveedor de identidad integrado con tu plataforma de orquestación de agentes. El agente no puede actuar sin una identidad humana verificada asociada a la autorización.
Motor de políticas: Define qué acciones del agente requieren HITL basándose en la categorización de riesgo. Las acciones de bajo riesgo proceden sin pausa. Las de riesgo medio activan monitoreo con alerta. Las de alto riesgo activan pausa completa y aprobación.
Router de aprobación: Dirige la solicitud al humano autorizado correcto basándose en el tipo de acción, departamento y política de identidad.
Aplicación de límites temporales: Cada solicitud de aprobación tiene un reloj de SLA. Si el humano no responde dentro de la ventana, la solicitud caduca y el agente escala.
Registro de auditoría: Registro inmutable de cada aprobación, rechazo, modificación y caducidad. Captura la identidad del humano, marca de tiempo, información disponible y resultado.
Lo que específicamente preguntarán los auditores: la identidad del humano que aprobó cada acción de alto riesgo, la información disponible para ellos en el momento de la aprobación, el tiempo transcurrido entre la solicitud y la aprobación, y qué pasó cuando un humano no respondió dentro de la ventana temporal.
La Fecha Límite de Cumplimiento de Agosto de 2026
La mayoría de las disposiciones del Reglamento de IA de la UE entran en vigor el 2 de agosto de 2026. Las sanciones aplican desde esa fecha: hasta el 3% de la facturación anual global por violaciones.
La brecha de cumplimiento para la mayoría de las empresas es significativa. La mayoría de las organizaciones desplegando agentes hoy no tienen arquitectura HITL. Tienen algún proceso de revisión humana que no satisfaría el requisito del Artículo 14 de que la supervisión sea significativa, efectiva e integrada en el sistema.
Construir arquitectura HITL después de que los agentes ya están en producción es más difícil que construirla antes. Los agentes necesitan modificarse para soportar flujos de trabajo de pausa y aprobación. Las políticas de identidad necesitan definirse. Los humanos autorizados necesitan designarse y capacitarsse. Hacer esto en paralelo con ejecutar agentes en producción crea riesgo operacional.
La construcción de cumplimiento en tres pasos:
Primero, haz un inventario de tus agentes. ¿Cuáles tocan flujos de trabajo de alto riesgo? Este inventario se convierte en tu hoja de ruta de implementación HITL.
Segundo, designa humanos autorizados. ¿Qué humanos pueden aprobar qué acciones? Esta es una pregunta de diseño organizacional, no una pregunta de TI.
Tercero, construye la infraestructura HITL. Vinculación de identidad, enrutamiento de aprobación, límites temporales, registro de auditoría. La infraestructura debe estar en su lugar antes de la fecha límite de agosto.
Comienza con el inventario. Si tienes agentes de IA en producción y no tienes arquitectura de cumplimiento HITL, tienes aproximadamente cuatro meses.