Apple avisa: la IA es impredecible. ¿Y tus agentes?
Apple acaba de advertir a sus inversores de que la inteligencia artificial es "inherentemente no determinista" y de que los agentes que necesitan datos personales erosionan la confianza del cliente. Lo dice en su formulario 10-K del ejercicio cerrado el 26 de septiembre de 2026, y el 4 de noviembre se supo que CrowdStrike añade un interruptor de apagado para agentes. Si tu equipo comercial o de inteligencia ya delega tareas en agentes de IA, esta combinación de noticias es una señal de alarma, no un dato de color.
Conviene separar lo confirmado de lo interpretado. Lo confirmado lo he leído directamente en el documento de la SEC. Lo interpretado es mío, y lo marco como tal.
Qué dice exactamente Apple (y qué no)
En el 10-K de Apple del ejercicio 2026 aparecen tres ideas que importan a cualquier empresa que use agentes. Primera: la introducción de tecnologías emergentes, "como agentes de inteligencia artificial que requieren acceso a datos personales", crea preocupaciones de privacidad y seguridad que podrían erosionar la confianza de los clientes. Segunda: muchas tecnologías de IA son "inherentemente no deterministas" y pueden producir resultados inconsistentes, impredecibles o inexactos, lo que dificulta anticipar, probar o evitar comportamientos no deseados. Tercera: actores maliciosos pueden usar IA para esquivar los procesos de revisión y los controles de seguridad de la compañía.
El resumen diario de The Neuron del 4 de noviembre va más lejos y habla de transacciones no autorizadas, elusión de la seguridad y acciones ocultas. Esa formulación concreta no la he localizado en los fragmentos del 10-K que he revisado, así que la trato como versión de un tercero. Lo que sí es un hecho es el contexto: Apple abrió esta semana Siri AI a desarrolladores en las betas de iOS 27.3 mediante App Intents, con capacidad para encadenar varias acciones, como comprobar un pedido antes de organizar la entrega.
Mi lectura: una empresa que vende confianza como producto acaba de dejar por escrito que no puede garantizar qué hará un sistema de IA en todos los casos. Ese es el estándar de honestidad que la mayoría de pymes no se aplica cuando enchufa un agente a su CRM.
Mientras tanto, el mercado vende botones de pánico
Según The Neuron, CrowdStrike presentó el 4 de noviembre un "AI Kill Switch" dentro de Falcon Guardian. Los administradores autorizados pueden detener la ejecución de un agente que se comporta de forma peligrosa, impedir que se relance y restringir su acceso a la red. La propia reseña aclara que la terminación a nivel de endpoint aún se está ampliando. Es decir, el producto existe, pero no cubre todavía todos los escenarios.
Fíjate en el mensaje implícito: un fabricante de ciberseguridad ha considerado que hacía falta un mecanismo para parar agentes que ya se están ejecutando. No habla de evitar el fallo, sino de contenerlo cuando ocurra. Lo mismo sugiere otra herramienta mencionada ese día, AgentKit de Scalekit, que promete conectar agentes con más de 30.000 herramientas pero con la posibilidad de limitar el acceso de cada agente y registrar cada llamada. Control de permisos y rastro de auditoría se han convertido en el argumento de venta.
Un ejemplo operativo: la sandbox de Revolut
Hay un contrapunto útil y menos publicitario. En una charla recogida por StartupHub el 29 de octubre, el responsable que presentó el caso de Revolut explicó cómo despliegan agentes de programación para unos 2.000 ingenieros. Cada ejecución de agente va dentro de una sandbox con humano en el bucle, con listas de comandos permitidos: por ejemplo, se permite un git add pero se bloquean comandos destructivos más amplios. Reconoció además que la inyección de instrucciones sigue siendo un riesgo de acceso a datos local y que la mitigación pasa por mantener la inferencia en jurisdicciones con equivalencia de datos y por una buena trazabilidad para investigar incidentes.
El propio artículo advierte de que esos resultados dependen de la escala y del poder de Revolut para imponer reglas. Pero el patrón es trasladable: lista blanca de acciones, humano aprobando lo irreversible y registros que permitan reconstruir lo ocurrido.
Qué significa esto para ventas y para equipos de inteligencia
Un agente de prospección típico lee correos, navega por webs, rellena campos del CRM y envía mensajes. Un agente de investigación en fuentes abiertas lee páginas que no controla. Ambos comparten el mismo punto débil: consumen texto de terceros, y ese texto puede contener instrucciones disfrazadas de contenido. Si además el agente tiene permisos amplios, el error o el engaño se amplifican.
Tres escenarios concretos, todos plausibles aunque no los atribuyo a ningún caso documentado:
- Un agente de outbound con permiso para enviar correos desde el dominio de la empresa responde a un hilo con datos de un cliente a la persona equivocada.
- Un agente de investigación abre una página con texto oculto que le ordena ignorar su tarea y volcar el contexto de trabajo en una URL externa.
- Un agente con acceso de escritura al CRM "limpia" duplicados y fusiona cuentas que no debía, sin que nadie lo note hasta el cierre de trimestre.
Ninguno requiere un modelo malicioso. Basta con un sistema no determinista, permisos holgados y nadie mirando el registro. Eso es exactamente lo que Apple describe, con otras palabras, en su documento a inversores.
Checklist mínimo antes de dar más autonomía a un agente
No hace falta comprar un producto de seguridad para empezar. Hace falta disciplina. Esto es lo que aplicaría esta semana:
- Inventario. Lista cada agente activo, quién lo lanzó, con qué credenciales y a qué sistemas llega. Si no sabes responder en cinco minutos, ya tienes el primer hallazgo.
- Mínimo privilegio. Lectura por defecto. La escritura, el envío de correos y los pagos se conceden acción por acción, no por herramienta.
- Lista blanca de acciones. Define qué puede hacer, no qué no puede. Lo no listado se bloquea.
- Aprobación humana en lo irreversible. Enviar al exterior, borrar, fusionar registros, mover dinero. Un clic de una persona cuesta segundos; un correo equivocado, semanas.
- Límites de gasto y de volumen. Tope de mensajes por hora y de coste por tarea. Un agente descontrolado se nota antes en la factura que en el informe.
- Registro completo. Cada llamada a herramienta, con fecha, entrada y salida. Sin eso no hay investigación posible tras un incidente.
- Procedimiento de parada. Decide ya quién puede apagar el agente, cómo se revocan sus credenciales y en cuánto tiempo. Practícalo una vez.
- Tratar el contenido externo como no fiable. Lo que el agente lee en la web o en un correo es dato, nunca instrucción.
Lo que no debes concluir
Sería un error leer todo esto como un argumento contra los agentes. Revolut atribuye mejoras de productividad notables a su despliegue, aunque esas cifras proceden de su propia presentación y no de una auditoría independiente. Tampoco conviene sacar conclusiones sobre el producto de CrowdStrike a partir de una reseña: solo sabemos lo que cuenta la prensa especializada y que su cobertura sigue ampliándose.
Lo que sí se desprende es un cambio de orden de prioridades. Durante meses la conversación giró en torno a qué tarea puede hacer un agente. La pregunta madura es qué le impides hacer y cómo lo paras. Hemos analizado antes lo lejos que quedan los agentes de la fiabilidad total en este análisis sobre un benchmark de agentes, y cómo el modelo de cobro por tarea cambia los incentivos en este otro sobre agentes en ventas. Los tres textos apuntan a lo mismo: la autonomía sin control es deuda, y la factura llega tarde.
Valoración
La advertencia de Apple, el botón de apagado de CrowdStrike y la sandbox de Revolut no son tres noticias aisladas. Son el mismo mensaje dicho por un fabricante de consumo, un proveedor de seguridad y un banco: los agentes funcionan, pero no son predecibles, y quien los despliega responde de lo que hacen. Mi posición es clara: ningún agente debería tocar clientes, dinero o datos personales sin lista de acciones permitidas, aprobación humana en lo irreversible y un registro que se pueda auditar. Si tu empresa no puede demostrar eso hoy, el siguiente aumento de autonomía puede esperar.
En DAVMAC desarrollamos herramientas de inteligencia, análisis de datos y monitorización para empresas e instituciones; si quieres revisar cómo estás desplegando agentes, hablamos.