)
Última actualización: Octubre de 2026
¿Qué significa human in the loop en agentes de IA y cuándo debe aprobar una persona lo que hace un agente?
Human in the loop (HITL) significa que una persona puede revisar, aprobar o revertir la acción de un agente antes de que surta efecto. Funciona cuando las aprobaciones son escasas, se gradúan por riesgo y se apoyan en límites técnicos firmes. Aprobarlo todo falla: según Anthropic (2026), los usuarios aprueban el 93 % de los avisos de permisos de Claude Code.
TL;DR: puntos clave
- Los usuarios aprueban el 93 % de los avisos de permisos de Claude Code, un patrón que Anthropic describe como fatiga de aprobación (Anthropic, marzo de 2026).
- El uso de aprobación automática pasa de cerca del 20 % de las sesiones en usuarios nuevos a más del 40 % con 750 sesiones, así que la supervisión se desplaza de la revisión acción por acción a la monitorización (Anthropic, febrero de 2026).
- OWASP señala la autonomía excesiva, es decir, la falta de aprobación independiente de acciones de alto impacto, como una de las tres causas raíz de Excessive Agency (OWASP LLM06:2025).
- La especificación del Model Context Protocol indica que siempre debería haber una persona en el circuito con capacidad de denegar invocaciones de herramientas (especificación MCP).
- Las obligaciones del AI Act para sistemas de alto riesgo del Anexo III, incluida la supervisión humana del artículo 14, se aplican ahora desde el 2 de diciembre de 2027 según el Reglamento (UE) 2026/1744 (Cloud Security Alliance, 2026).
- Gartner prevé que más del 40 % de los proyectos de IA agéntica se cancelarán a finales de 2027, en parte por controles de riesgo insuficientes (Gartner vía IT Brief, 2025).
Modelos de supervisión de un vistazo
| Modelo de supervisión | Papel de la persona | Ideal para | Debilidad principal |
|---|---|---|---|
| Human in the loop | Aprueba cada acción de alto impacto antes de ejecutarla | Acciones irreversibles, financieras o reguladas | Fatiga de aprobación y latencia |
| Human on the loop | Vigila un flujo en vivo y puede intervenir | Acciones reversibles de alto volumen | Las alertas se pierden |
| Human in command | Fija de antemano políticas, presupuestos y límites | Flotas completas de agentes | Los vacíos de política se ven tarde |
| Human out of the loop | Revisa los resultados a posteriori | Tareas de bajo riesgo en entornos aislados | No hay opción de frenar el daño |
Qué es human in the loop en agentes de IA
Human in the loop en agentes de IA es un patrón de control en el que una persona debe aprobar, editar o rechazar la acción propuesta por un agente antes de que se ejecute. Se distingue de revisar resultados después. La aprobación está dentro de la ruta de ejecución, así que un «no» detiene la acción.
La expresión cubre tres patrones distintos que los equipos suelen mezclar. In the loop significa que el agente se detiene y espera. On the loop significa que el agente sigue funcionando mientras una persona vigila y puede intervenir. Out of the loop significa que las personas revisan los resultados más tarde, con muestreos o auditorías.
Los agentes vuelven urgente esta distinción porque actúan. Un chatbot que redacta una mala respuesta hace perder un minuto. Un agente con una herramienta de pagos, un buzón de correo y una base de datos de producción puede mover dinero, escribir a clientes y borrar registros antes de que nadie lea un log.
Cómo hemos investigado esta guía
Hemos construido esta guía con fuentes primarias: la investigación de Anthropic, las pautas de OWASP, la especificación MCP, resúmenes del AI Act y la previsión de Gartner. Las cifras aportadas por proveedores se indican como tales y las fuentes secundarias se señalan.
Por qué aprobar cada acción no funciona
Aprobar cada acción no funciona porque las personas dejan de leer los avisos que ven todo el día. Anthropic indica que los usuarios aprueban el 93 % de los avisos de permisos de Claude Code y llama al resultado fatiga de aprobación. Un control que se aprueba casi siempre deja de separar las acciones seguras de las arriesgadas.
La investigación de Anthropic sobre autonomía de agentes (2026) halló que los usuarios nuevos, con menos de 50 sesiones, usan la aprobación automática completa en cerca del 20 % de las sesiones, mientras que quienes llevan 750 sesiones superan el 40 %. Los usuarios con experiencia también interrumpen más a menudo, en torno al 9 % de los turnos frente a cerca del 5 %, porque han pasado de aprobar cada paso a vigilar e intervenir.
La respuesta de Anthropic a la fatiga es un clasificador. Su modo automático deja que un modelo filtre cada acción. El equipo de ingeniería de Anthropic (2026) informa de una tasa de falsos positivos del 0,4 % sobre tráfico real, pero de una tasa de falsos negativos del 17 % en acciones excesivamente proactivas reales. Aproximadamente una de cada seis acciones de riesgo pasa. Es un buen compromiso para un asistente de código en un entorno aislado. Es un mal compromiso para un agente que puede emitir reembolsos o cambiar roles de IAM.
Gartner ve la misma tensión a nivel de programa. Gartner (2025) espera que más del 40 % de los proyectos de IA agéntica se cancelen a finales de 2027, en parte por controles de riesgo insuficientes.
| Modo de fallo | Qué ocurre | Resultado |
|---|---|---|
| Fatiga de aprobación | Los revisores pasan los avisos sin leer | Las acciones de riesgo pasan inadvertidas |
| Fatiga de alertas | Los monitores ignoran un flujo ruidoso | Intervención tardía |
| Bloqueo generalizado | Cada acción espera a una persona | Los agentes no aportan valor |
| Filtrado solo con clasificador | Un modelo aprueba a los de su especie | Un 17 % de fallos en acciones excesivamente proactivas en la prueba de Anthropic |
)
Qué acciones de un agente deben requerir aprobación humana
Exige aprobación en acciones irreversibles, que muevan dinero, toquen datos regulados, cambien permisos o crucen tu frontera de confianza. Deja que las acciones de solo lectura y las fácilmente reversibles se ejecuten sin aviso. La guía de OWASP recomienda aprobación humana para acciones de alto impacto y mínimo privilegio para todo lo demás.
OWASP (2025) define Excessive Agency a través de tres causas raíz: funcionalidad excesiva, permisos excesivos y autonomía excesiva. La aprobación solo aborda la tercera. Si un agente dispone de herramientas que no necesita, o de credenciales más amplias que su tarea, un aviso humano es un respaldo débil. Retira primero la capacidad y después controla lo que quede. Nuestra guía sobre excessive agency cubre en profundidad las dos primeras causas.
El registro de incidentes de Anthropic ofrece una forma de clasificar acciones. Su clasificador apunta a cuatro familias: destruir o exfiltrar datos, degradar la postura de seguridad, cruzar fronteras de confianza y saltarse la revisión. Cada familia se corresponde con un nivel de la tabla siguiente.
| Nivel | Ejemplos de acciones del agente | Control |
|---|---|---|
| 0: solo lectura, interno | Buscar en una base de conocimiento, resumir un ticket | Sin aprobación, solo registro |
| 1: escrituras reversibles | Redactar un correo, crear un ticket | Ejecutar, notificar, permitir deshacer |
| 2: efectos externos o financieros | Escribir a clientes, emitir un reembolso, reservar un viaje | Aprobar antes de ejecutar |
| 3: cambios destructivos o de privilegios | Borrar registros, cambiar roles de IAM, desplegar a producción | Aprobador nombrado más un segundo revisor |
| 4: prohibido | Desactivar el registro, editar los permisos del propio agente | Bloquear en el gateway, sin vía de aprobación |
Las acciones de nivel 4 nunca deberían llegar a un aviso humano. Una petición convincente para desactivar el registro es justo lo que generaría un atacante o un agente confundido, así que la política la bloquea de plano.
Cómo diseñar una supervisión que escale
La supervisión escala cuando las aprobaciones son escasas, informativas y están respaldadas por límites que el modelo no puede esquivar con palabras. Diseña para las pocas decisiones que requieren criterio, automatiza el resto mediante políticas y mide si los revisores siguen prestando atención.
Gradúa las aprobaciones por riesgo
Parte de la tabla anterior. Asigna cada herramienta, y cada parámetro que cambie el impacto, a un nivel. Una herramienta de «enviar correo» puede ser de nivel 1 para destinatarios internos y de nivel 2 para externos. Graduar por parámetro mantiene bajo el número de aprobaciones sin debilitar los controles que importan.
Muestra al aprobador lo que va a pasar de verdad
Muestra la herramienta exacta, los parámetros y los datos afectados, no un mensaje genérico del tipo «el agente quiere ejecutar una herramienta». La documentación de n8n describe este patrón para llamadas a herramientas de agentes de IA: el flujo se pausa, se envía una solicitud de aprobación a un canal como Slack, Teams o Gmail con la herramienta y los parámetros elegidos por la IA, y una denegación cancela la acción e informa al agente.
Haz que el valor por defecto sea seguro
Si nadie responde, deniega. Añade tiempos de espera, límites de gasto y límites de frecuencia para que un agente atascado o en bucle no agote al aprobador ni el presupuesto. Nuestro artículo sobre rate limiting en agentes de IA explica cómo configurarlos en el gateway.
Aplica los límites fuera del modelo
Los controles deterministas, como las listas de permitidos, las credenciales acotadas y las reglas de salida de red, no dependen de que una persona o un modelo se comporten bien. Resilient Cyber sostiene que la aprobación acción por acción no puede ser el control de seguridad principal y que los límites deben imponerse desde la infraestructura. Compartimos ese orden: primero los límites, las personas para las excepciones. Consulta RBAC para agentes de IA para acotar el acceso a herramientas por identidad.
Mide a los aprobadores
Registra la tasa de aprobación, el tiempo hasta la decisión y la tasa de anulación por aprobador y por herramienta. Una tasa de aprobación cercana al 100 % con decisiones en menos de dos segundos delata un sello de goma. El resumen del AI Act en euaiact.com señala que las anulaciones deben registrarse conforme al artículo 12 y que, con esos registros, se pueden calcular las tasas de anulación.
| Patrón de diseño | Qué resuelve | Modo de fallo a vigilar |
|---|---|---|
| Niveles de riesgo por herramienta y parámetro | Reduce el volumen de aprobaciones | Los niveles se desactualizan al cambiar las herramientas |
| Avisos de aprobación con la acción exacta | Hace útil la revisión | El texto del aviso puede estar influido por un atacante |
| Listas de permitidos aplicadas en el gateway | Saca decisiones del circuito | Vacíos de política con herramientas nuevas |
| Métricas de aprobadores y muestreo | Detecta el sellado automático | Los responsables ignoran las métricas |
Qué pide el AI Act sobre la supervisión humana
El AI Act exige que los sistemas de IA de alto riesgo se diseñen para que las personas puedan supervisarlos mientras se usan. El artículo 14 fija cinco capacidades para la persona asignada y el artículo 26(2) obliga a los responsables del despliegue a darle competencia, formación, autoridad y apoyo. La mayoría de los agentes empresariales no son de alto riesgo por defecto.
euaiact.com resume el artículo 14(4). Las medidas deben permitir a la persona asignada entender las capacidades y límites del sistema, ser consciente del sesgo de automatización, interpretar la salida, decidir ignorarla o revertirla y detener el sistema mediante «un botón de parada o un procedimiento similar». La página subraya que se trata de un deber de diseño y no solo de una política de personal.
En cuanto a plazos, la Cloud Security Alliance (2026) indica que el Reglamento (UE) 2026/1744, el Digital Omnibus sobre IA, entró en vigor el 27 de julio de 2026. Trasladó las obligaciones de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas integrados en productos del Anexo I al 2 de agosto de 2028. Las prohibiciones del artículo 5 y las obligaciones de IA de propósito general no cambiaron. Es un resumen, no asesoramiento jurídico: confirma el alcance con el texto consolidado del reglamento y con un abogado.
| Capacidad del artículo 14(4) | Qué implica para el diseño del agente |
|---|---|
| Entender capacidades y límites, y monitorizar | Documentar qué puede hacer el agente y exponer señales de anomalía |
| Ser consciente del sesgo de automatización | Formar a los aprobadores y registrar tasas de aprobación y anulación |
| Interpretar la salida | Mostrar la acción propuesta y su razonamiento en términos claros |
| Ignorar, anular o revertir | Dejar que la persona decida sin escalar antes |
| Detener o interrumpir | Ofrecer un interruptor que frene al agente en un estado seguro |
Seguridad y gobernanza: dónde falla la supervisión humana
La supervisión humana falla cuando los aprobadores no pueden fiarse de lo que ven o no pueden con el volumen. El prompt injection puede moldear la petición que tienen delante, los datos sensibles pueden filtrarse por las cargas de aprobación y el mal uso de herramientas puede repartirse en muchos pasos pequeños que parecen inofensivos.
El prompt injection moldea lo que ve el aprobador
Un agente que lee páginas web, correo o documentos puede absorber instrucciones ocultas. Si el aviso de aprobación se genera a partir del resumen del propio agente, un atacante influye en el texto en el que se apoya el revisor. Nuestra guía de indirect prompt injection muestra cómo funciona en la práctica. Por eso las aprobaciones deben mostrar los parámetros crudos de la herramienta y no solo la descripción del agente.
Fugas de datos y mal uso en pasos pequeños
Las solicitudes de aprobación viajan por herramientas de chat y bandejas de entrada, así que los registros de clientes o los secretos incluidos en el aviso convierten el canal de revisión en una vía de fuga. Diez llamadas aprobadas que exportan unas pocas filas cada una pueden sumar una exportación completa, y la revisión acción por acción no ve el patrón. Oculta los campos sensibles y usa límites de frecuencia, topes de volumen y detección sensible a secuencias.
Cómo lo aborda NeuralTrust
NeuralTrust trata la supervisión como un problema de control en tiempo de ejecución. Agent Gateway (TrustGate) se sitúa entre agentes, modelos y herramientas MCP. Aplica permisos y límites de herramientas por agente antes de que se ejecute una llamada, de modo que las acciones de nivel 4 se bloquean y las de nivel 3 pueden enviarse a aprobación. Agent Runtime Security (TrustGuard) inspecciona el tráfico en busca de prompt injection y fuga de datos mientras ocurren. Juntos forman la Runtime Security Mesh: la política decide qué se permite, la detección atrapa lo que la política no puede prever y las personas solo ven las excepciones que merecen su atención. Nuestra visión del plano de control explica la arquitectura y MCP Security 101 cubre la capa de herramientas.
Checklist de human in the loop para agentes de IA
Usa esta lista antes de llevar un agente a producción. Convierte las secciones anteriores en decisiones que puedes asignar y auditar.
- Inventaría cada herramienta que el agente puede llamar y retira las que no necesite.
- Asigna cada herramienta y cada parámetro que cambie el impacto a un nivel de riesgo.
- Bloquea en política las acciones de nivel 4 para que no exista vía de aprobación.
- Exige aprobación en los niveles 2 y 3, con un aprobador nombrado en el nivel 3.
- Muestra la llamada exacta y sus parámetros en cada aviso de aprobación.
- Deniega por defecto al agotarse el tiempo y limita gasto, volumen y frecuencia.
- Registra cada aprobación, denegación y anulación con la identidad del aprobador.
- Revisa cada mes la tasa de aprobación, el tiempo de decisión y la tasa de anulación.
- Haz red teaming de la puerta de control antes del lanzamiento y tras cada cambio de herramientas.
Qué modelo de supervisión elegir
Elige el modelo según el riesgo de la acción, no según el tipo de agente. Usa human in the loop para acciones irreversibles y reguladas, human on the loop para trabajo reversible de alto volumen y human in command para flotas. La mayoría de los agentes en producción combinan los tres.
| Tu situación | Modelo recomendado | Por qué |
|---|---|---|
| Decisiones de contratación, crédito o salud que pueden ser de alto riesgo según el AI Act | Human in the loop, con registro | El artículo 14 espera capacidad de anular y detener |
| Agente de cara al cliente que emite reembolsos | Aprobación por encima de un umbral, monitorización por debajo | Mantiene bajo el volumen y acota la pérdida |
| Agente de código interno en un entorno aislado | Human on the loop con límites del entorno | Iteración rápida, radio de impacto acotado |
| Flota de agentes entre equipos | Human in command con política en el gateway | Un único punto de política supera a muchos avisos |
Conclusión
Human in the loop es un control que conviene gastar con cuidado. La tasa de aprobación del 93 % de Anthropic muestra qué ocurre cuando se gasta en todo. Gradúa las acciones de tu agente, aplica límites firmes fuera del modelo, muestra a los aprobadores la llamada exacta y mide si la revisión sigue siendo real. Reserva a las personas para las pocas decisiones en las que importa el criterio y deja que la política se ocupe del resto.
Protege tus agentes de IA en producción con NeuralTrust
Coloca política, detección y auditoría entre tus agentes y cada herramienta a la que puedan llegar, para que la revisión humana quede reservada a las decisiones que la necesitan.
)
Lecturas relacionadas
- Excessive Agency en agentes de IA
- RBAC para agentes de IA
- OWASP Top 10 para aplicaciones agénticas 2026
- MCP Security 101
Preguntas frecuentes sobre human in the loop en agentes de IA
1. ¿Qué es human in the loop en agentes de IA?
Human in the loop significa que una persona debe aprobar, editar o rechazar la acción propuesta por un agente antes de que se ejecute. La aprobación está en la ruta de ejecución, así que una denegación detiene la acción. Revisar logs después es supervisión a posteriori, no un control.
2. ¿Cuál es la diferencia entre human in the loop y human on the loop?
In the loop, el agente se detiene y espera aprobación. On the loop, el agente sigue trabajando mientras una persona monitoriza un flujo en vivo y puede intervenir. El primero encaja con acciones irreversibles. El segundo, con trabajo reversible de alto volumen en el que pausar cada paso anularía el valor del agente.
3. ¿Cuándo debe pedir aprobación humana un agente de IA?
Debe pedirla cuando una acción es irreversible, mueve dinero, toca datos regulados, cambia permisos o cruza una frontera de confianza, como emitir reembolsos, borrar registros o desplegar a producción. Las acciones de solo lectura y las reversibles pueden ejecutarse sin aviso, lo que mantiene el volumen de aprobaciones lo bastante bajo para que los revisores sigan atentos.
4. ¿Exige el AI Act human in the loop?
El artículo 14 exige que los sistemas de IA de alto riesgo se diseñen para una supervisión humana eficaz, incluida la capacidad de anularlos y detenerlos. No usa la expresión «human in the loop». Según el Reglamento (UE) 2026/1744, las obligaciones del Anexo III se aplican desde el 2 de diciembre de 2027. Confirma con un abogado si tu agente es de alto riesgo.
5. ¿Qué es la fatiga de aprobación en la supervisión de agentes de IA?
La fatiga de aprobación consiste en aprobar avisos sin leerlos porque son demasiados. Anthropic indica que los usuarios aprueban el 93 % de los avisos de permisos de Claude Code y describe que las personas dejan de prestar atención. Los niveles de riesgo, menos avisos y los tiempos de espera con denegación por defecto la reducen.
6. ¿Puede un clasificador de IA sustituir la aprobación humana?
Para trabajo de bajo riesgo, un clasificador puede reducir los avisos. Para acciones de alto impacto, no es un sustituto seguro. Anthropic informa de una tasa de falsos positivos del 0,4 % en su modo automático sobre tráfico real, pero de una tasa de falsos negativos del 17 % en acciones excesivamente proactivas reales. Mantén la aprobación humana o bloqueos de política firmes en los niveles 3 y 4.
7. ¿Cómo se implementa human in the loop en llamadas a herramientas MCP?
La especificación MCP indica que siempre debería haber una persona en el circuito con capacidad de denegar invocaciones de herramientas y que los clientes deberían mostrar las entradas antes de llamar a un servidor. En la práctica, enruta las llamadas por un gateway que aplique permisos de herramientas, solicite aprobación para las de nivel alto y registre cada decisión.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la empresa en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, destacada en cuatro informes Gartner Hype Cycle en 2026 y presente en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- Anthropic Engineering, «Claude Code auto mode», 25 de marzo de 2026: https://anthropic.com/engineering/claude-code-auto-mode
- Anthropic Research, «Measuring AI agent autonomy in practice», 18 de febrero de 2026: https://www.anthropic.com/research/measuring-agent-autonomy
- OWASP GenAI, «LLM06:2025 Excessive Agency»: https://genai.owasp.org/llmrisk/llm06/
- Model Context Protocol, especificación de «Tools» (versión 2026-07-28): https://modelcontextprotocol.io/specification/latest/server/tools
- euaiact.com, «EU AI Act Human Oversight»: https://www.euaiact.com/blog/eu-ai-act-human-oversight
- Cloud Security Alliance, «EU AI Act High-Risk Deadline»: https://labs.cloudsecurityalliance.org/research/csa-research-note-eu-ai-act-high-risk-deadline-omnibus-20260/
- IT Brief sobre la previsión de Gartner de IA agéntica, 24 de junio de 2025: https://itbrief.news/story/over-40-of-agentic-ai-projects-set-for-cancellation-by-2027
- n8n Docs, «Human-in-the-loop for AI tool calls»: https://docs.n8n.io/build/integrate-ai/ai-examples/human-in-the-loop-for-tools
- Resilient Cyber, «The Human-in-the-Loop Illusion»: https://resilientcyber.beehiiv.com/p/the-human-in-the-loop-illusion