Llevo un rato viendo la misma escena repetirse en reuniones distintas. Alguien enseña un chatbot conectado a un modelo de lenguaje, el bot responde bien tres preguntas seguidas, la sala se entusiasma y alguien pregunta cuándo se puede poner en producción. La respuesta honesta casi nunca gusta, porque lo que acaban de ver no es lo difícil.
Responder es fácil. Actuar es otra cosa.
¿Qué separa a un chatbot de un agente?
Un chatbot conversa. Recibe una pregunta, busca en su base de conocimiento y devuelve un texto. Si el cliente pide algo que exige tocar un sistema, el bot escala a un humano y ahí termina su trabajo.
Un agente hace el trabajo. Consulta el estado real de un pedido en el ERP, reprograma una cita en el calendario, abre un ticket con la categoría correcta, aplica una nota de crédito dentro del límite que se le autorizó. Tiene herramientas y permiso para usarlas.
Esa frase, “permiso para usarlas”, es toda la conversación. Lo demás es demo.
¿Dónde encaja esto en la experiencia del cliente?
En atención al cliente los procesos repetitivos son enormes y bastante aburridos, que es exactamente donde un agente rinde. Los cuatro casos que más veces hemos visto funcionar:
Consultas de estado. Dónde va mi pedido, cuánto debo, cuándo vence mi contrato, en qué quedó mi solicitud. Son el grueso del volumen de cualquier mesa de atención y casi ninguna requiere criterio humano.
Trámites de bajo riesgo. Cambiar una dirección de envío, reprogramar una visita técnica, actualizar un dato de contacto, reenviar una factura. Cosas con reglas claras y consecuencias acotadas.
Triaje de tickets. Leer lo que escribió el cliente, entender de qué trata de verdad, ponerle categoría y prioridad, y enrutarlo al equipo correcto. Un agente hace esto mejor que un formulario con menú desplegable, porque el cliente no sabe en qué categoría cae su problema.
Preparación del caso. Antes de que el humano abra el ticket, el agente ya reunió el histórico del cliente, los tickets previos parecidos y la documentación relevante. El analista empieza con contexto en vez de con una línea de texto.
Fíjense en lo que no está en la lista: nada que implique mover dinero sin supervisión, cancelar un servicio o cerrar un caso por su cuenta. Eso no es prudencia excesiva, es diseño.
La parte que casi nadie enseña en la demo
Un agente con herramientas es, mirado desde la seguridad, un usuario nuevo. Uno que trabaja a toda hora, no se cansa, no pregunta y ejecuta lo que interpreta. Y esa interpretación depende de un texto que, en atención al cliente, escribe un desconocido.
Ahí aparece el problema que nos toca de cerca. Si el agente lee el mensaje del cliente y ese mensaje contiene instrucciones disfrazadas, el agente puede obedecerlas. Se llama inyección de prompt y el OWASP Top 10 para aplicaciones con LLM la tiene en el primer puesto de su lista de riesgos, no por casualidad.
Traducido a la operación: un cliente escribe un correo que, además de su reclamo, incluye una línea pidiendo al sistema que le muestre los datos de otra cuenta. Si nadie separó lo que el agente lee de lo que el agente obedece, esa línea es una orden.
Hay otro riesgo menos espectacular y bastante más frecuente: el agente que devuelve información correcta a la persona equivocada. No hubo ataque, hubo un permiso mal puesto.
¿Entonces se puede hacer bien?
Sí, y no hay nada mágico en ello. Un agente puede operar sobre sistemas reales sin convertirse en una exposición, siempre que llegue a producción con identidad propia, permisos acotados a su tarea, aprobación humana en lo que no tiene vuelta atrás y rastro auditable de todo lo que hizo.
Cómo se implementa cada una de esas piezas depende del entorno, y eso es precisamente el trabajo. Lo que no cambia de un cliente a otro es la consecuencia de saltarse alguna: el agente deja de ser una herramienta y pasa a ser una puerta.
Y una vez en marcha, el agente se vigila igual que cualquier otro activo. Si su comportamiento se sale del patrón, eso tiene que llegar al SOC como llegaría el de un equipo comprometido. Sobre esa misma idea aplicada a la propia operación de seguridad ya escribimos en el SOC agéntico.
¿Por qué se lo pedirías a una empresa de ciberseguridad?
Automatizar la atención al cliente es un proyecto de negocio. Hacerlo sin abrir la puerta trasera de tus sistemas es un proyecto de seguridad. Se suelen contratar por separado y por eso el resultado suele quedar cojo por algún lado.
En ZetTateK AI Labs construimos estas automatizaciones con los controles puestos desde el primer día, porque el equipo que las diseña es el mismo que lleva años respondiendo cuando algo se rompe. No es una postura de marketing: es que ya sabemos qué se rompe.
Si están evaluando meter agentes en su operación de atención, la conversación útil no empieza por el modelo. Empieza por qué procesos tienen hoy y qué permisos harían falta. Eso lo revisamos sin costo en la evaluación inicial.
Un agente sin permisos es una demo. Un agente con permisos y sin controles es un incidente esperando fecha.
Preguntas frecuentes
¿Qué es una automatización agéntica en la experiencia del cliente?
Es un sistema de inteligencia artificial que no se limita a responder mensajes, sino que ejecuta tareas reales en tus sistemas: revisa en el ERP dónde va un pedido, reprograma una cita o clasifica y enruta un ticket nuevo. A diferencia de un chatbot, que solo conversa y escala a una persona cuando hay que hacer algo, el agente cuenta con herramientas y permisos para actuar dentro de límites definidos.
¿Qué procesos de atención al cliente conviene automatizar primero con agentes de IA?
Empieza por lo repetitivo y de bajo riesgo. Los cuatro casos que mejor funcionan son: consultas de estado (pedidos, saldos, vencimientos), trámites sencillos como actualizar datos de contacto o reenviar una factura, el triaje de tickets (clasificar, priorizar y enrutar cada caso al equipo correcto) y la preparación de contexto para que el analista reciba el historial completo. Deja fuera lo irreversible, como mover dinero o cancelar servicios sin supervisión humana.
¿Qué riesgos tiene conectar un agente de IA a los sistemas de mi empresa?
El más conocido es la inyección de prompt, que ocupa el primer lugar del OWASP Top 10 para aplicaciones con LLM: un cliente esconde instrucciones dentro de su mensaje y el agente las obedece. Hay otro más frecuente y menos llamativo: entregar información correcta a la persona equivocada por un permiso mal configurado. Por eso el agente debe tratarse como un usuario más, con identidad propia, accesos mínimos, aprobación humana en acciones irreversibles y registro auditable.
¿Cuánto cuesta implementar un agente de IA en atención al cliente?
No hay una cifra única, porque cada implementación depende de tus sistemas, procesos y permisos actuales. Lo recomendable es empezar por un diagnóstico: revisar qué procesos repetitivos tienes hoy y qué accesos necesitaría el agente para operarlos con seguridad. ZetTateK ofrece esa evaluación inicial sin costo, así tu empresa puede dimensionar el proyecto antes de comprometer presupuesto.
