La agencia nacional de ciberseguridad británica pone nombre a los tres niveles de control humano sobre los agentes de IA — y recomienda el que AppH ya aplica por defecto
El 25 de agosto de 2026, el National Cyber Security Centre (NCSC) británico publicó una directriz oficial sobre la gestión del riesgo cibernético de la IA agéntica, distinguiendo explícitamente tres modelos de supervisión humana —«humano en el bucle» (aprobación antes de la acción), «humano sobre el bucle» (supervisión con posible intervención) y «humano fuera del bucle» (sin ninguna revisión)— y recomendando el primero para toda aplicación de alto riesgo. Es exactamente el modelo que AppH aplica por defecto en cada acción con consecuencia real, en sus ocho módulos de negocio, sin que ninguna normativa se lo haya exigido.
El 25 de agosto de 2026, el NCSC —la agencia gubernamental británica de ciberseguridad, dependiente del GCHQ— publicó una directriz dirigida a las organizaciones que despliegan agentes de IA con un nivel significativo de autonomía. El texto responde a varios incidentes documentados en los que modelos y sistemas agénticos ejecutaron acciones no autorizadas o imprevistas. La recomendación central: evaluar primero con precisión el nivel de autonomía realmente necesario, y elegir después el modelo de supervisión en consecuencia. El NCSC nombra tres modelos distintos, sin ambigüedad: humano en el bucle («humans approve actions before they occur» —un humano aprueba cada acción antes de que ocurra), humano sobre el bucle («humans monitor activity and can intervene if necessary» —un humano supervisa y puede intervenir si es necesario), y humano fuera del bucle (la IA opera sin revisión humana). Para toda aplicación de alto riesgo, la agencia recomienda explícitamente mantener una supervisión humana, asignar una responsabilidad clara a cada actividad del agente, y garantizar que un incidente pueda investigarse y resolverse con rapidez. La directriz también cubre el aislamiento técnico (sandboxing), el control de accesos de red y credenciales, el registro continuo de la actividad de los agentes, y la capacidad de «cortar la corriente» en cualquier momento a un sistema autónomo.
Lo que distingue a esta directriz de la mayoría de los textos ya citados en esta página es su fuente: no es un proveedor de software que promociona su propio producto, es una agencia gubernamental de ciberseguridad la que nombra, en tres categorías precisas, lo que la mayoría de los proveedores de IA dejan difuso en sus comunicados. Y el modelo que el NCSC recomienda para cualquier riesgo real —humano en el bucle, aprobación antes de la acción— es exactamente el que AppH ya aplica, por construcción, en cada módulo de negocio: un presupuesto generado por una regla de Automatizaciones permanece en estado «borrador» hasta que un humano de la empresa lo valida; una reserva enviada mediante un widget público permanece con estado «prevista» hasta la revisión del equipo; un evento de Automatizaciones (retraso de factura, stock bajo, ausencia repetida de un profesional) espera un clic humano antes de cualquier consecuencia real —nunca un correo enviado solo, nunca un pago disparado solo. No es el modelo «humano sobre el bucle» —más débil, en el que la acción ya puede haber ocurrido antes de que un humano la note— es precisamente el modelo «humano en el bucle» que el NCSC coloca en la cima de su jerarquía de riesgo.
A favor de AppH
- Una agencia gubernamental de ciberseguridad —no un proveedor que promociona su propio producto— nombra ahora «humano en el bucle» (aprobación antes de la acción) como el modelo recomendado para todo despliegue de alto riesgo. Es precisamente la arquitectura por defecto que AppH aplica en sus ocho módulos de negocio, adoptada antes de que ningún texto oficial viniera a validarla.
- El NCSC distingue explícitamente «humano en el bucle» de «humano sobre el bucle» (mera supervisión) como un modelo más débil —esta distinción le da a AppH un lenguaje concreto para explicarle a un prospecto por qué una cola de aprobación (presupuestos en borrador, eventos de Automatizaciones, reservas «previstas») es estructuralmente distinta de un panel que nadie tiene tiempo de vigilar de forma continua.
En contra / el límite honesto
- La directriz del NCSC va dirigida ante todo a organizaciones que construyen entornos aislados con control de accesos de red, gestión de credenciales y supervisión de seguridad 24/7 —preocupaciones de infraestructura que no se trasladan tal cual a la forma en que una pyme usa los módulos verticales de AppH. Afirmar que AppH aplica la totalidad del marco del NCSC sería inexacto.
- El propio NCSC califica su directriz de provisional, destinada a ser sustituida por una recomendación más formal a medida que evolucione la práctica. Citarla como un estándar definitivo y fijo iría más allá de lo que la propia agencia afirma.
Lo llamativo de esta directriz no es su contenido técnico —sandboxing, listas de acceso, registro de actividad, nada de eso sorprenderá a un ingeniero de seguridad— es que una agencia gubernamental se haya tomado la molestia de poner un nombre preciso a una distinción que la mayoría de los comunicados de marketing dejan deliberadamente difusa. La mayoría de los dirigentes de pyme nunca leerán este texto del NCSC. Pero la pregunta que permite plantear, ellos pueden y deberían hacérsela a cualquier proveedor de agentes de IA, AppH incluido: ¿cuál de los tres modelos aplican realmente —aprobación antes de la acción, supervisión a posteriori, o ninguna revisión en absoluto? En AppH, la respuesta nunca ha dependido de un texto normativo para existir: está escrita en el código desde el primer módulo, no en una política que se pudiera cambiar discretamente. Acompañar a un dirigente de pyme es ayudarlo a hacer esta pregunta precisa a cada herramienta que evalúe —y a desconfiar de cualquier respuesta que se mantenga vaga sobre cuál de las tres categorías se aplica en realidad.
Verificado por un humano de AppH