IVA series blog 2: gobernanza de agentes de ia en compras: confianza a escala empresarial

Los agentes de IA para compras no se limitan a mostrar información y esperar a que alguien tome una decisión. Deben ser capaces de recomendar proveedores, aprobar flujos de trabajo, identificar riesgos, crear órdenes de compra, validar facturas frente a cláusulas contractuales difíciles de localizar y activar acciones posteriores a lo largo de todo el proceso Source-to-Pay (S2P). 

Lo que las organizaciones necesitan es una solución capaz de automatizar procesos, conectar la información, actuar como un estratega experto y, sobre todo, ejecutar acciones.  Cuando un agente de IA puede actuar, y no solo informar, la conversación sobre la gobernanza de la IA en compras cambia por completo.

La gobernanza de la IA en compras es el conjunto de controles que define a qué información pueden acceder los agentes de IA, qué acciones están autorizados a realizar, en qué momentos es necesaria la aprobación humana y cómo se supervisa y audita cada decisión. 

Si se implementa de forma incorrecta, las organizaciones corren el riesgo de contar con agentes autónomos que operan sin controles adecuados. Si se implementa correctamente, el resultado es un equipo de compras con una ventaja competitiva real y sostenible.

Este es el segundo artículo de una serie de tres dedicada a la IA agéntica en compras. En él analizamos qué exige realmente la gobernanza de la IA a escala empresarial, por qué la supervisión humana debe formar parte de la estructura del sistema y qué diferencia a las implementaciones de IA que logran escalar de aquellas que terminan estancándose.

La autonomía sin gobernanza es simplemente un riesgo

Existe una diferencia significativa entre una herramienta de análisis de compras que identifica una anomalía en el gasto y un agente de IA que detecta esa anomalía, determina qué contratos están afectados, identifica a los proveedores implicados e inicia un flujo de trabajo correctivo. La primera opción es una función de generación de informes. La segunda implica que la IA está tomando acciones en nombre de la organización.

Cuando los agentes de IA en compras aprueban órdenes de compra, recomiendan proveedores para procesos de abastecimiento estratégico o negocian precios según parámetros predefinidos, las implicaciones son operativas y financieras. Cabe destacar que los contratos empresariales para IA agéntica empiezan a parecerse cada vez más a acuerdos de externalización de servicios. Y tiene sentido: lo que se está delegando es la ejecución de acciones, no únicamente el análisis de información.

La mayoría de los responsables de compras ya han superado la cuestión de si deben utilizar agentes de IA. La pregunta más compleja es cómo generar confianza en estos agentes dentro de los límites empresariales, cómo proporcionarles suficiente autonomía para aportar valor y, al mismo tiempo, mantener el nivel de control necesario para garantizar la responsabilidad. 

Ese es el verdadero desafío de la gobernanza de la IA, y la mayoría de las organizaciones todavía no cuentan con una respuesta sólida.

Qué significa realmente la gobernanza para los agentes de IA

El término gobernanza se utiliza con frecuencia de forma poco precisa en la tecnología de compras. En este contexto, tiene un significado específico: es un modelo operativo integrado en la forma en que funcionan los agentes de IA. No es un documento de políticas. No es una casilla de verificación de cumplimiento. Es un sistema que se aplica de forma continua y automática a nivel de plataforma.

Para lograr una gobernanza efectiva, hay cuatro pilares fundamentales:

Control de acceso 

determina qué información puede consultar cada agente. Un agente que trabaja en nombre de un responsable de categoría debe tener acceso únicamente a la información que dicho responsable está autorizado a consultar: sus categorías, sus proveedores y sus contratos. Los controles de acceso basados en roles para agentes de IA deben replicar las estructuras de permisos que ya regulan el acceso de los usuarios humanos. Si una implementación de IA para compras no aplica estos controles a nivel de plataforma, cada agente puede convertirse en un posible punto de exposición de datos.

Límites de decisión 

definen qué acciones puede realizar un agente de forma autónoma. ¿Puede aprobar una orden de compra por debajo de un determinado umbral? ¿Puede recomendar un proveedor, pero no seleccionarlo? ¿Puede ejecutar una conciliación de tres vías (three-way match) de una factura, pero escalar las excepciones para revisión humana? Estos límites deben ser restricciones aplicables y verificables, no simples recomendaciones. Sin límites claros, la autonomía se convierte en ejecución sin control.

Auditabilidad 

se refiere a la capacidad de rastrear las acciones y el razonamiento de los agentes de IA. Cada acción realizada por un agente, cada dato consultado, cada herramienta utilizada y cada decisión tomada debe quedar registrada. Y no solo debe conservarse el resultado final, sino también la cadena de razonamiento que llevó a esa decisión. Cuando un director financiero o un auditor pregunte por qué el agente recomendó un proveedor concreto, la respuesta debe poder rastrearse y verificarse. No basta con responder: “el modelo lo determinó”. Es necesario disponer de una cadena clara y documentada de datos, lógica aplicada y permisos utilizados.

Evaluación continua 

se centra en lo que ocurre después de la implementación. Un agente que funciona correctamente el primer día puede perder eficacia con el tiempo a medida que cambian los datos, evolucionan las políticas empresariales o se acumulan casos excepcionales. La gobernanza de la IA no es una fase única que se completa una vez. Es un proceso permanente de supervisión de la precisión, la evolución del comportamiento del modelo (drift) y el rendimiento del agente.

La responsabilidad humana es la arquitectura, no una configuración

Aquí es donde el concepto se vuelve realmente concreto.

Algunos proveedores tratan la gobernanza de la IA como una simple configuración. Ofrecen controles deslizantes para definir niveles de autonomía, opciones para activar aprobaciones humanas (human-in-the-loop) y paneles de supervisión. 

A primera vista, parece un enfoque razonable. Sin embargo, traslada toda la responsabilidad al cliente: debe determinar la configuración adecuada, mantenerla a medida que cambian los procesos y asumir las consecuencias cuando algo sale mal. 

Después de un fallo de gobernanza, la pregunta pasa a ser: “¿por qué lo configuraron de esa manera?”, en lugar de: “¿por qué la plataforma permitió que ocurriera?”

Existe un modelo mejor: integrar la responsabilidad humana como un elemento estructural del sistema. Cada acción realizada por un agente debe estar vinculada, por diseño, a una persona responsable. Cuando un agente opera dentro de una conversación de chat, hereda los permisos del usuario que lo activa y no puede superar esos límites. 

Cuando funciona de forma autónoma dentro de un flujo de trabajo o en segundo plano, sigue teniendo un usuario responsable cuyos permisos determinan el alcance de sus acciones y al que debe recurrir para decisiones que requieran intervención humana (human-in-the-loop). No existe un modo en el que el agente opere sin una persona responsable del resultado.

En la práctica, esto se refleja en tres niveles de autonomía:

1. Asistir: El agente realiza el trabajo de investigación, análisis y recomendación. El humano revisa y decide. Un agente puede identificar los tres principales proveedores para un proceso de abastecimiento estratégico con una explicación completa de la lógica de puntuación. El responsable de categoría toma la decisión.
2. Ejecutar: El agente actúa dentro de reglas y parámetros que un humano ya ha aprobado. El equipo de cuentas por pagar (AP) establece las tolerancias de conciliación de tres vías (three-way match) y los umbrales de excepción. El agente procesa todo lo que se encuentra dentro de esas tolerancias. Las excepciones se envían a una persona. Los parámetros son decisiones humanas. La velocidad de procesamiento es la contribución del agente.
3. Orquestar: El agente coordina flujos de trabajo de varios pasos con puntos de control humanos en etapas críticas. Un evento de riesgo de proveedor activa al agente para identificar los contratos afectados, detectar proveedores alternativos y elaborar un plan de mitigación. El responsable de compras revisa y aprueba cada etapa antes de que el agente pase a la siguiente.

En cada nivel, hay alguien responsable. La autonomía gobernada no consiste en eliminar a las personas de compras. Consiste en darles mayor capacidad de acción manteniéndolas al mando. Eso es lo que diferencia una IA agéntica en compras que realmente escala de una IA agéntica que se estanca porque la dirección no confía en ella.

Por qué los agentes de caja negra no sobrevivirán en el compras empresarial

Las decisiones de compras afectan al gasto, los márgenes, las relaciones con proveedores, las obligaciones contractuales, los compromisos ESG y el cumplimiento normativo. 

Cuando un agente de IA toma o influye en una decisión en cualquiera de estas áreas, la organización necesita entender por qué. “La IA decidió” no será una respuesta válida en una revisión trimestral, una auditoría de cumplimiento o una disputa con un proveedor.

Lo que sí se mantiene es un estándar claro de transparencia:

Resultados explicables. Las recomendaciones, alertas de riesgo y puntuaciones de proveedores deben incluir los datos, el contexto y el razonamiento que los generaron. No un simple nivel de confianza genérico. Una explicación en términos de compras: desglose del coste total, señales de riesgo, historial de rendimiento y estado de cumplimiento contractual.

Cadenas de decisión trazables. Cada paso del razonamiento del agente debe quedar registrado: qué datos se consultaron, qué herramientas se utilizaron, qué contexto se aplicó y qué permisos determinaron la acción. La cadena completa, no un resumen generado a posteriori.

Registros de acciones con contexto real. No solo qué hizo el agente, sino cuándo lo hizo, en nombre de quién actuó, bajo qué permisos y con qué estado de los datos. Este es el registro de auditoría que realmente necesitan los equipos de cumplimiento y legal.

Capacidad de reproducción. Si una decisión es cuestionada, la organización debe poder reproducir el razonamiento del agente utilizando las mismas entradas y verificar si el resultado puede replicarse. Si no puede reproducirse, no es auditable. Y si no es auditable, no resistirá un escrutinio riguroso.

Rutas de escalamiento definidas. Cuando un agente se encuentra con ambigüedad, datos contradictorios o una decisión que supera sus límites, debe escalar el caso a una persona. No debe hacer suposiciones. No debe optar por la respuesta más probable. Debe escalarlo, con todo el contexto necesario, a la persona adecuada.

Crear y evolucionar agentes en los que pueda confiar

La gobernanza no termina con la implementación. Un agente de IA no es un software que se configura una vez y se deja funcionando. Es una capacidad que necesita una gestión continua, y la mayoría de las organizaciones subestiman este aspecto.

El ciclo de vida es sencillo:

1. Crear o configurar: Comienza con capacidades preconfiguradas o configura agentes para flujos de trabajo específicos. Los equipos de compras deben poder definir qué hacen los agentes. TI debe mantener el control centralizado sobre los permisos, el acceso a los datos y la selección del LLM. Ambos deben estar involucrados, y ninguno debería convertirse en un cuello de botella.
2. Probar frente a KPIs de precisión: Antes de que cualquier agente acceda a datos de producción, hay que probarlo. ¿Cuál es la tasa de precisión en la conciliación de facturas? ¿Hasta qué punto la recomendación de proveedores se alinea con la estrategia real de la categoría? Probar antes de pasar a producción no es una buena práctica. Es el mínimo necesario.
3. Implementar con controles de seguridad: La implementación inicial debe comenzar de forma conservadora: aprobación humana obligatoria para acciones de alto valor, límites de decisión más estrictos de lo que inicialmente se considera necesario y una supervisión reforzada. Los controles pueden flexibilizarse a medida que aumenta la confianza. Lo que no se puede deshacer es el daño causado por avanzar demasiado rápido.
4. Supervisar continuamente: La precisión puede variar a medida que cambian los mercados de proveedores, evolucionan las estrategias de categoría o fluctúa la calidad de los datos. El agente que funcionó correctamente en el primer trimestre puede necesitar una recalibración en el tercero. La supervisión continua es lo que hace que la orquestación de IA en compras sea confiable a lo largo del tiempo.
5. Perfeccionar e iterar: Basándose en los datos de rendimiento, es necesario realizar ajustes: límites más estrictos o más amplios, nuevas capacidades, umbrales actualizados y acceso a datos ampliado o restringido. No es un ejercicio puntual. Las mejores implementaciones de IA son aquellas en las que el equipo gestiona el rendimiento de los agentes de la misma manera que gestiona el rendimiento de los proveedores: como algo que requiere una gestión activa.

El objetivo no es centralizar todo el desarrollo de agentes en TI. Es proporcionar a los equipos de compras herramientas reales para crear y perfeccionar capacidades, mientras el marco de gobernanza garantiza que nada se salga de control. 

Compras conoce los flujos de trabajo. TI conoce los requisitos de seguridad y cumplimiento. La plataforma debe dar servicio a ambos sin obligar a ninguno de los dos a esperar.

El problema de la proliferación de agentes: por qué más agentes significan más riesgo

Existe una dimensión de la gobernanza que la mayoría de las conversaciones sobre IA en compras pasan completamente por alto.

Muchos proveedores han respondido al auge de la IA agéntica lanzando más agentes. Un agente de abastecimiento estratégico. Un agente de contratos. Un agente de riesgo de proveedores. Un agente de facturación. Un agente de análisis de gasto. 

Cada uno con sus propias conexiones de datos, su propio modelo de permisos, su propio registro de auditoría (o la ausencia de uno) y sus propios requisitos de gobernanza.

Incluso dentro de una única suite S2P, esto representa un problema de gobernanza. Cuando cinco o diez agentes tienen diferentes ámbitos de acceso, diferentes límites de decisión y diferentes estructuras de responsabilidad, la gobernanza se convierte en un conjunto fragmentado de controles. 

¿Quién es responsable cuando el agente de abastecimiento y el agente de riesgos se contradicen? ¿Qué permisos prevalecen cuando un agente activa a otro? ¿Cómo se audita una cadena de decisiones que atraviesa tres agentes diferentes con tres mecanismos de registro distintos?

La situación empeora cuando esos agentes funcionan sobre datos fragmentados, como ocurre con la mayoría de ellos. Ahora tienes múltiples agentes tomando decisiones independientes a partir de visiones parciales de la misma realidad subyacente. 

Cada uno está gobernado de forma individual, pero nadie está gobernando las interacciones entre ellos. Esa brecha es donde aparecen los fallos de gobernanza.

La alternativa es arquitectónica. Un único agente con acceso a toda la plataforma, gobernado por un único modelo de permisos y con registro en un único sistema de auditoría. Un único marco de permisos. 

Un único modelo de responsabilidad. Un único lugar al que acudir cuando sea necesario auditar una decisión. No porque la simplicidad sea un objetivo por sí misma, sino porque la gobernanza a escala requiere coherencia, y la proliferación de agentes es precisamente lo contrario de la coherencia.

Cinco preguntas de gobernanza que todo CPO debería hacerse

Antes de invertir en agentes de IA para compras, evalúa la gobernanza con el mismo rigor con el que evalúas las capacidades. Estas cinco preguntas te indicarán si una implementación está diseñada para escalar o destinada a quedarse estancada:

1. ¿Puedo ver a qué datos accede cada agente? 

Si no puedes definir y auditar el alcance de los datos de cada agente, no puedes aplicar una verdadera gobernanza de datos. Cada agente debe operar dentro de un límite claramente definido y basado en permisos.

2. ¿Cada acción de un agente tiene una persona responsable identificada? No se trata de “si un humano puede revisarlo si quiere”. ¿Existe una persona específica responsable del resultado, siempre y por defecto? No debería existir ningún modo en el que el agente opere sin esa responsabilidad asociada.

3. ¿Cada acción queda registrada y es auditable? El registro de auditoría debe capturar qué hizo el agente, cuándo lo hizo, en nombre de quién actuó, con qué datos trabajó y cuál fue su razonamiento. Los registros parciales implican una gobernanza parcial.

4. ¿Puedo probar la precisión antes de la implementación? Los agentes deben poder probarse con escenarios reales de compras antes de acceder a datos de producción. Si el proveedor no puede ofrecer pruebas previas a la implementación, eso dice algo sobre cómo se ha construido el producto.

5. ¿Los equipos de compras pueden crear o modificar agentes sin generar una IA paralela (shadow AI)? Compras necesita la capacidad de perfeccionar y ampliar las capacidades de IA. Pero si esto ocurre fuera de un marco de gobernanza, sin acceso controlado a los datos o sin un registro de auditoría, se genera una IA paralela (shadow AI). La plataforma debe permitir al mismo tiempo autonomía y control.

Caso de estudio: Cómo Körber está escalando la IA con la gobernanza como prioridad

Körber, el grupo tecnológico global, está llevando a cabo un piloto exitoso de Ivalua IVA con un enfoque que sitúa la gobernanza en el centro desde el principio.

Su modelo resulta ilustrativo. En lugar de implementar la IA de arriba hacia abajo y resolver la gobernanza posteriormente, Körber invitó a los usuarios a proponer casos de uso, validó cada uno de ellos frente a los requisitos de gobernanza y escala únicamente aquellos que cumplen con los estándares establecidos. Es un modelo de adopción basado en la confianza, no en la imposición.

“Iniciamos nuestro camino con la IA en 2023. Actualmente estamos llevando a cabo un piloto muy exitoso con Ivalua IVA. Principalmente pedimos a nuestros usuarios que propongan casos de uso, y lo que escuchamos con mayor frecuencia en este momento son casos de uso relacionados con la automatización y casos de uso relacionados con el análisis de datos.” — Jan Van Hueth, Senior Project Manager, Körber

La gobernanza no es lo que ralentiza la adopción de la IA. Es lo que permite que la adopción se mantenga en el tiempo. Cuando los usuarios confían en que la plataforma aplica límites, registra las acciones y mantiene la responsabilidad humana, participan activamente. Cuando esa confianza falta, se resisten, independientemente de lo avanzada que sea la tecnología.

Lee el caso de estudio completo: Cómo Körber está impulsando la IA responsable y la automatización de compras con Ivalua

Conclusión: La gobernanza permite escalar

La gobernanza no es una limitación. Es la razón por la que la IA puede escalar. Sin ella, los responsables de compras no confiarán en que los agentes actúen. Y sin esa confianza, la adopción no ocurre y la inversión no genera resultados.

Las organizaciones que logran hacerlo correctamente son aquellas que pueden demostrar, en cualquier momento, que cada acción de IA fue autorizada, tuvo un responsable, es auditable y está alineada con las políticas establecidas. Esa evidencia es la que convierte un piloto en una implementación empresarial.

La gobernanza indica a los agentes qué pueden hacer. Las capacidades determinan qué saben hacer. El próximo artículo de esta serie analiza cómo los equipos de compras construyen las capacidades de IA que realmente necesitan y por qué el futuro pertenece a las organizaciones que consideran la IA para compras como una capacidad organizativa, no como un producto que se compra.

---