Diseña la aprobación humana en una plataforma de negociación con IA

La gobernanza de una plataforma de negociación con IA debe partir de una regla clara: la automatización puede analizar, redactar, recomendar y comunicarse dentro de límites definidos, pero no debe comprometer a la empresa, exceder la autoridad delegada, resolver excepciones sujetas a controles ni enviar comunicaciones delicadas a proveedores sin la aprobación de una persona responsable.

Por tanto, un flujo de aprobación de negociaciones sólido distingue la asistencia rutinaria de las decisiones que generan exposición comercial, legal, de cumplimiento, financiera o relacional. La aprobación humana debe ser una decisión afirmativa de alguien con la competencia y autoridad pertinentes; no puede consistir en silencio, una alerta sin abrir o un clic ceremonial después de ejecutar la acción.

Respuesta breve

Exige aprobación humana para los compromisos vinculantes, las desviaciones de los límites comerciales aprobados, las excepciones a las políticas, las concesiones importantes, la anulación de alertas de riesgo y las acciones relevantes dirigidas a proveedores. Permite la automatización para preguntas de descubrimiento, programación, análisis, recordatorios y propuestas dentro de un marco de negociación preautorizado. Cada aprobación debe identificar la decisión, la evidencia, la exposición acumulada, la persona que aprueba, su autoridad, la fecha y hora, y la acción resultante.

¿Qué requiere aprobación humana?

Una plataforma de negociación debe detenerse y solicitar aprobación cuando una acción pertenezca a cualquiera de estas seis categorías.

1. Un compromiso vinculante

La aprobación humana sigue siendo obligatoria antes de aceptar una oferta final, adjudicar un contrato, firmar o modificar un contrato, emitir una orden de compra, renovar un plazo o asumir un compromiso de pago.

Los canales electrónicos no hacen que los compromisos sean inocuos. La ley estadounidense E-SIGN establece que, por lo general, no se puede negar efecto jurídico a un contrato, una firma o un registro únicamente por ser electrónico. Por ello, los controles técnicos de ejecución son importantes: pedir a los empleados que revisen después una aceptación generada por IA no sustituye adecuadamente la prevención de una emisión no autorizada desde el principio (Ley E-SIGN).

2. Una desviación del marco de negociación

El marco de negociación es el límite legible por máquina dentro del cual puede operar la negociación con IA. Debe abarcar:

• Rangos aprobados de precios y costo total
• Volumen máximo y exposición durante toda la relación
• Duración del contrato y estructura de renovación
• Concesiones permitidas
• Cláusulas aprobadas y lenguaje alternativo
• Proveedores y entidades jurídicas elegibles
• Tipos de datos y comunicaciones permitidos
• Autoridad por usuario, categoría, entidad y transacción

Cruzar cualquier límite requiere la decisión de la persona adecuada. Una alta confianza del modelo no cambia ese requisito: la confianza describe un resultado, no la autoridad corporativa.

3. Una excepción a las políticas o los procesos

Algunos ejemplos son una decisión de proveedor único, una exención de licitación competitiva, un proveedor no aprobado, una diligencia debida incompleta, una compra retroactiva, un pedido dividido, una vía de pago no estándar o la anulación de una alerta de riesgo.

La persona que solicita una excepción no debe ser su única aprobadora. La negociación con intervención humana solo es significativa si quien revisa puede rechazar la solicitud de forma independiente y detener la ejecución.

4. Una concesión importante

Una concesión transfiere valor económico, jurídico o estratégico. Algunos ejemplos son un precio más alto, un pago por adelantado, un volumen garantizado, exclusividad, un compromiso más largo, menos recursos legales, niveles de servicio más bajos, la renuncia a reclamaciones o una menor protección de la privacidad y la seguridad.

La plataforma debe calcular las concesiones de forma acumulativa. Cinco concesiones aparentemente menores pueden generar más exposición que una sola concesión claramente grande. También debe registrar qué recibió el comprador a cambio; una concesión sin contrapartida merece un escrutinio mayor.

5. Un asunto jurídico, ético, regulatorio o de control financiero

Se requiere aprobación y, posiblemente, escalamiento ante coincidencias con listas de sanciones o de titularidad, sospechas de soborno, conflictos de intereses, sospechas de manipulación de licitaciones, problemas relacionados con información de competidores, indicios de fraude, cuestiones sobre datos personales, dudas sobre controles de exportación y posibles efectos contables importantes.

La OFAC describe la evaluación de riesgos y el análisis de alertas para determinar si una actividad debe bloquearse, rechazarse, detenerse o permitirse. Sus directrices también señalan deficiencias en la diligencia debida, la evaluación, la toma de decisiones y el escalamiento (Introducción de la OFAC). La persona negociadora no debe levantar unilateralmente una retención obligatoria de cumplimiento.

6. Una acción relevante dirigida a un proveedor

Exige aprobación para rechazar, descalificar, suspender o rescindir la relación con un proveedor; formular acusaciones de conducta indebida; amenazar con litigios; enviar requerimientos formales; reclamar recuperaciones; emitir declaraciones públicas; o enviar mensajes que razonablemente puedan interpretarse como una política definitiva de la empresa.

Un mensaje puede generar riesgos aunque no formalice un contrato. Importan el tono, la autoridad aparente y las consecuencias operativas.

Matriz reutilizable de derechos de decisión

Usa la siguiente matriz como punto de partida y adáptala a la autoridad delegada, el riesgo de la categoría, las jurisdicciones y los controles existentes. Es una recomendación, no una norma jurídica universal.

Algunos controles nunca deben poder ser anulados únicamente por una persona negociadora: las retenciones por sanciones, la autoridad para firmar y comprar, la segregación de funciones, los límites de financiación, las normas sobre conflictos de intereses, las restricciones relativas a información de competidores y las prohibiciones relacionadas con seguridad, privacidad, retenciones legales o informes regulatorios.

Diseña el flujo de trabajo en torno a la autorización, no al criterio del modelo

El modelo no debe decidir si su propia acción está autorizada. Separa los componentes:

1. El modelo propone. Redacta una pregunta, opción, concesión o respuesta.
2. Un servicio determinista de políticas evalúa. Comprueba la autoridad, los umbrales, las cláusulas, el estado del proveedor, la exposición acumulada, la clasificación de datos y el tipo de acción.
3. El flujo de aprobación de negociaciones deriva la solicitud. Identifica a las personas que deben aprobar y evita la autoaprobación cuando se requiere independencia.
4. La persona decide. Acepta, rechaza, modifica, solicita más evidencia o pausa la negociación.
5. Un servicio de ejecución actúa. Solo se envía, firma, publica o transmite una acción aprobada.
6. El registro de auditoría cierra el ciclo. Se conservan las entradas, los resultados, las aprobaciones, las modificaciones, las comunicaciones salientes y los compromisos resultantes.

Esta separación otorga a la IA discreción acotada, no una agencia general. Los equipos que comparan diseños de sistemas pueden explorar cómo un flujo de trabajo de negociación con IA con controles de gobernanza facilita la preparación y la ejecución, mientras que una evaluación más amplia de software de negociación para compras debería probar las integraciones, los controles de autoridad y la capacidad de auditoría.

El Marco de Gestión de Riesgos de IA del NIST exige definir funciones, responsabilidades, canales de comunicación y procesos de supervisión humana. Su guía práctica también recomienda identificar las capacidades que requieren supervisión y comprobar que esta funcione de manera fiable (Núcleo del NIST AI RMF). Son principios útiles para diseñar controles, aunque las directrices del NIST no prescriben una matriz universal de compras.

Qué debe ver quien aprueba

Una alerta que diga «se requiere aprobación» no es suficiente. El expediente de aprobación debe responder a estas preguntas:

• ¿Qué acción se propone?
• ¿Qué límite, cláusula, política o regla de autoridad activó la revisión?
• ¿Cuál es la justificación comercial?
• ¿Qué se ha concedido ya a lo largo de toda la negociación?
• ¿Qué valor recíproco se ha obtenido?
• ¿Qué información falta o es incierta?
• ¿Qué alternativas siguen disponibles?
• ¿Qué ocurre si quien aprueba rechaza o retrasa la acción?
• ¿Quién tiene autoridad y se requieren aprobaciones adicionales?
• ¿Qué mensaje o documento exacto dirigido al proveedor se enviará?

La interfaz debe permitir que la persona revisora rechace, modifique o pause la acción propuesta, o que ponga fin a ella. Para que la revisión sea significativa, se necesitan contexto y tiempo suficientes, conocimientos adecuados, autoridad real y un mecanismo eficaz para detener la acción.

Para preparar el proceso antes de crear una solicitud de aprobación, consulta Un proceso de planificación de negociaciones en ocho pasos.

Un diseño de aprobación de cuatro niveles

Un diseño práctico de negociación con intervención humana puede clasificar las acciones en cuatro niveles.

El nivel 1 también debe estar sujeto a límites. Una pregunta rutinaria no debe divulgar información confidencial, dar a entender que se acepta una oferta ni invitar a compartir información competitivamente sensible. Los borradores dirigidos a proveedores pueden incluir lenguaje no vinculante hasta que una persona autorizada envíe la versión final.

Ejemplo hipotético: una concesión de renovación que se acumula

Ejemplo hipotético: las cifras son ilustrativas y representan decisiones de diseño, no referencias externas.

Un equipo de compras empresariales autoriza a una plataforma de negociación a tratar la renovación de una licencia de software dentro de los parámetros aprobados de precio, plazo, tratamiento de datos y niveles de servicio. Durante el intercambio, la IA propone tres medidas:

1. Aceptar un aumento moderado del precio unitario.
2. Ampliar el plazo a cambio de un límite de precio.
3. Reducir los créditos por incumplimiento del servicio para obtener asistencia mejorada.

Cada medida podría parecer aceptable por separado. Sin embargo, en conjunto aumentan el costo total, reducen la flexibilidad y debilitan los recursos disponibles. Por tanto, el flujo de trabajo debe evaluar el paquete completo, no solo el mensaje más reciente.

La plataforma prepara un expediente de aprobación que muestra el marco original, los cambios acumulados, el valor recibido, las alternativas restantes y la respuesta exacta. La persona responsable del presupuesto revisa la exposición económica, mientras que el área jurídica revisa el cambio en los recursos disponibles. No se envía ningún mensaje hasta que se registren ambas decisiones.

En un flujo de trabajo concreto de Negotiations.AI, la relevancia surgiría en este punto de derivación: el sistema utilizado para la negociación de compras debe conservar la propuesta, la evidencia, la comprobación de autoridad, las modificaciones humanas y el envío externo como un único registro conectado. Este es un requisito del flujo de trabajo, no una afirmación de que todos los productos lo implementen de la misma manera.

Datos que necesita el motor de aprobación

La gobernanza de una plataforma de negociación con IA solo es tan fiable como los datos de políticas y transacciones disponibles. Entre los datos útiles se incluyen:

• Autoridad delegada por persona, entidad, categoría y tipo de transacción
• Rangos aprobados de precios, costos, volúmenes y exposición
• Disponibilidad presupuestaria y clasificación contable
• Valor del contrato, duración y gasto agregado con el proveedor
• Biblioteca de cláusulas, alternativas y gravedad de las desviaciones
• Concesiones anteriores y efecto económico acumulado
• Identidad del proveedor, titularidad real e instrucciones de pago
• Resultados de controles de sanciones, exportaciones, fraude y partes restringidas
• Declaraciones de conflictos de intereses
• Evaluaciones de ciberseguridad, privacidad, resiliencia y riesgo del proveedor
• Historial de licitaciones y justificación de proveedor único
• Jurisdicción, ley aplicable y requisitos regulatorios
• Clasificación de datos y permisos de divulgación
• Autoridad, formación, función y conflictos del usuario
• Información faltante, fallos de herramientas y resultados anómalos
• Prompts completos, registros recuperados, propuestas, aprobaciones y registros de comunicaciones salientes

Trata estos datos según su naturaleza. Un registro de autoridad puede ser un hecho verificado. La demanda prevista puede ser una estimación. La declaración de un proveedor sobre su capacidad futura puede seguir siendo un supuesto no verificado. Una alternativa generada por un modelo es una recomendación. La interfaz debe etiquetar estas categorías en lugar de mezclarlas en una sola narración que parezca segura.

Cómo establecer umbrales sin inventar una norma

Ninguna de las fuentes citadas establece un umbral monetario universal, un porcentaje de variación de precios o una duración contractual que siempre exija aprobación. Una regla como «escalar cada cambio del cinco por ciento» es una decisión propia de la organización, no un parámetro de referencia verificado.

Establece los umbrales según:

• Los esquemas existentes de autoridad delegada
• Las reglas corporativas de materialidad y presupuesto
• El riesgo de la categoría y de continuidad del suministro
• La sensibilidad de las cláusulas y los datos
• La exposición acumulada, no solo la de cada mensaje
• La concentración de proveedores y la dificultad de cambiar de proveedor
• Las obligaciones jurisdiccionales y sectoriales
• La reversibilidad de la acción propuesta

Las normas de control interno de la SEC ofrecen una analogía útil para diseñar autorizaciones: describen una garantía razonable de que las transacciones, los gastos, los ingresos y el acceso a los activos se realicen con la autorización adecuada de la dirección o del consejo. No exigen la aprobación manual de cada condición comercial generada por IA (Norma de control interno de la SEC).

Comprueba que la revisión humana sea real

Un flujo de aprobación de negociaciones puede parecer controlado y, aun así, producir aprobaciones automáticas sin análisis. Ponlo a prueba con ejercicios basados en escenarios:

• ¿Puede un comprador enviar una aceptación cambiando el asunto o el canal del mensaje?
• ¿Se puede evitar el escalamiento dividiendo una concesión en varias medidas menores?
• ¿Puede quien solicita una excepción aprobarla por su cuenta?
• ¿El flujo mantiene la retención si cambian la identidad del proveedor o los datos de pago?
• ¿Puede quien aprueba inspeccionar el documento exacto que se enviará?
• ¿El sistema distingue una recomendación de la evidencia verificada?
• ¿Pueden las personas revisoras rechazar o modificar sin fricciones excesivas?
• ¿Qué ocurre cuando no está disponible quien debe aprobar?
• ¿Un fallo de integración hace que el sistema detenga por defecto una acción importante?
• ¿Puede el equipo reconstruir quién sabía qué, quién decidió qué y qué se envió?

También importa el volumen de alertas. Demasiados escalados de poco valor fomentan revisiones superficiales. Clasifica el flujo según el riesgo, proporciona expedientes de decisión completos y examina periódicamente las anulaciones, los tiempos de aprobación, las excepciones repetidas y las modificaciones posteriores a la aprobación. No reduzcas las alertas solo para mejorar la velocidad; elimínalas únicamente cuando la acción subyacente pueda gestionarse de forma segura dentro de un marco revisado.

Límites y casos que requieren análisis adicional

Este marco presupone que se trata de un comprador comercial que utiliza IA para negociar con proveedores. La contratación pública, las compras reguladas, el empleo, las transacciones con consumidores o las negociaciones en ámbitos clínicos, de defensa u otros contextos especializados pueden requerir controles distintos.

El Reglamento de IA de la UE es aplicable con carácter general desde el 2 de agosto de 2026, sujeto a disposiciones transitorias y excepciones. El artículo 14 incluye requisitos de supervisión humana para los sistemas clasificados jurídicamente como de alto riesgo, entre ellos la capacidad de supervisar, interpretar, ignorar o anular resultados e interrumpir el funcionamiento. Un sistema para negociar con proveedores no se clasifica automáticamente como de alto riesgo por el mero hecho de negociar; la clasificación depende del uso previsto y de las categorías del Reglamento (Reglamento (UE) 2024/1689). Cuando sea necesario, solicita asesoramiento específico para la jurisdicción y el caso de uso.

La aprobación humana tampoco puede corregir un objetivo ilícito, una fuente de datos prohibida, un diseño colusorio, un modelo poco fiable o una persona revisora con un conflicto estructural. Las directrices del Departamento de Justicia de EE. UU. sobre evaluación de programas de cumplimiento corporativo preguntan cómo evalúan las organizaciones los efectos jurídicos de la IA, cómo la incorporan a la gestión de riesgos y cómo mitigan su uso indebido, imprudente o no intencionado (Evaluación de programas de cumplimiento corporativo del DOJ).

Por último, la aprobación no debe sustituir los controles de la plataforma. Si una acción nunca debe realizarse sin autorización, impide técnicamente su ejecución. No dependas de un prompt que indique al modelo cómo comportarse ni de que un usuario recuerde intervenir.

Lista de verificación para la implementación

Usa esta lista antes de habilitar actividades dirigidas a proveedores:

• Define las acciones vinculantes y las dirigidas a proveedores.
• Codifica los límites comerciales, jurídicos, de datos y de autoridad.
• Asigna una persona responsable identificada a cada clase de aprobación.
• Prohíbe que el silencio o el vencimiento del plazo cuenten como aprobación.
• Separa los servicios de recomendación, autorización y ejecución.
• Mide las concesiones acumuladas y la exposición total.
• Exige una revisión independiente para las excepciones sujetas a controles.
• Impide que las personas negociadoras levanten por sí solas retenciones obligatorias.
• Etiqueta los hechos, supuestos, estimaciones y recomendaciones.
• Muestra a quienes aprueban la acción saliente exacta que se propone.
• Conserva los prompts, la evidencia, las modificaciones, las decisiones y los envíos.
• Prueba las vías para eludir controles, la falta de disponibilidad de quienes aprueban y los fallos de integración.
• Revisa los falsos positivos, las anulaciones y las excepciones repetidas.
• Revalida la autoridad y las políticas cuando cambien las funciones o los sistemas.

El objetivo no es insertar un clic humano en todas partes. Se trata de reservar el criterio humano responsable para las acciones que generan una exposición significativa, y permitir la automatización controlada cuando las acciones estén delimitadas, registradas y sean reversibles.

Lecturas adicionales

• Marco de Gestión de Riesgos de IA del NIST
• Perfil de Inteligencia Artificial Generativa del NIST
• Reglamento de Inteligencia Artificial de la Unión Europea
• Marco de la OFAC para compromisos de cumplimiento

Preguntas frecuentes

¿Todos los mensajes a proveedores requieren aprobación humana?

No. Las preguntas de descubrimiento aprobadas, la programación, los recordatorios y el intercambio autorizado de datos pueden automatizarse dentro de un marco definido. Exige revisión cuando un mensaje pueda comprometer a la empresa, divulgar información sujeta a controles, ceder valor, activar una excepción o afectar sustancialmente la relación con el proveedor.

¿Puede una puntuación alta de confianza del modelo sustituir la aprobación?

No. La confianza no equivale a autoridad delegada. Puede influir en la prioridad de revisión, pero no puede autorizar gastos, aceptar condiciones jurídicas, levantar una retención de cumplimiento ni enviar una comunicación vinculante.

¿Quién debe aprobar una excepción solicitada por el área de compras?

Debe aprobarla la persona responsable independiente del control pertinente; por ejemplo, alguien de gobernanza de compras, cumplimiento, asesoría jurídica, finanzas, privacidad o seguridad. Quien solicita la excepción no debe ser la única persona que la apruebe, y algunos controles pueden no admitir excepciones.

¿Qué debe ocurrir si faltan datos para la aprobación?

El sistema debe solicitar la evidencia faltante o detener la acción sujeta a controles. No debe inferir que existe autoridad, suponer que la diligencia debida se completó ni convertir la falta de información en una aprobación.

¿Puede una persona anular la recomendación de la IA?

Por lo general, sí, si actúa dentro de su autoridad delegada. Debe registrar la justificación. Anular una recomendación de IA no es lo mismo que anular un control obligatorio, lo cual requiere una autoridad independiente o puede estar prohibido.

Aviso legal: Este artículo ofrece información general sobre gobernanza; no constituye asesoramiento jurídico, financiero, de cumplimiento ni de compras.