Automatización del back office sin perder el control: cuatro ojos, excepciones y trazabilidad

La automatización del back office puede identificar un documento, extraer datos, asignar un expediente, generar correspondencia y activar la siguiente etapa en segundos. El riesgo aparece cuando una organización automatiza también la decisión sin definir antes los límites de responsabilidad. Una dirección errónea en una carta es un incidente. El mismo error repetido automáticamente en diez mil cartas se convierte en un problema operativo, financiero y reputacional.

El AI Act de la UE se aplica de forma amplia desde el 2 de agosto de 2026, con excepciones y fechas distintas para algunas disposiciones. No todo script, regla o circuito documental es un sistema de IA según el Reglamento. Sin embargo, el artículo 14 ofrece un buen principio de diseño para la IA de alto riesgo: la persona debe poder entender las limitaciones, detectar anomalías, ignorar un resultado y detener el sistema de forma segura. La misma arquitectura mejora la automatización convencional.

Separa tarea, recomendación y decisión

La automatización no genera el mismo riesgo en todos los niveles. Un sistema puede ejecutar una tarea mecánica, recomendar una acción o producir por sí mismo una consecuencia empresarial. Cada caso exige controles distintos.

El artículo 22 del RGPD se refiere a decisiones exclusivamente automatizadas que producen efectos jurídicos o afectan significativamente a una persona. No cubre automáticamente cada clasificación de correo o lectura de un número. Primero hay que determinar qué hace realmente el sistema y qué consecuencia puede generar.

El principio de cuatro ojos no debe aplicarse a todo

Una doble aprobación para cada acción eliminaría gran parte del beneficio. La segunda revisión aporta más valor cuando el error es difícil de revertir, afecta a un lote grande, incluye datos confidenciales, dinero, un plazo legal o comunicación con clientes. Puntos de control típicos:

• aprobar la primera muestra antes de imprimir y ensobrar todo el lote;
• verificar cambios de cuenta bancaria o destinatario por otra persona;
• aprobar una nueva plantilla, regla de personalización o fuente de datos;
• revisar documentos rechazados como ambiguos;
• autorizar el reinicio de un lote tras una interrupción;
• aceptar el cierre del incidente y reanudar el trabajo automático.

Las tareas reversibles de bajo riesgo pueden utilizar validaciones automáticas y muestreo estadístico. Los efectos irreversibles necesitan control antes de ejecutarse.

La cola de excepciones es el núcleo de una automatización segura

Un proceso sólido no presupone que el sistema reconocerá todo. Garantiza que cada caso no resuelto o contradictorio llegue a la persona adecuada. Cada excepción necesita categoría, nivel de riesgo, plazo, propietario, datos fuente completos y acciones permitidas.

Define al menos cuatro motivos de parada: falta de datos obligatorios, conflicto de datos, confianza inferior al umbral y casos prohibidos para el tratamiento automático. No envíes todos los problemas a una única carpeta “revisar”. Sin prioridad ni tiempo máximo, la cola se convierte en el siguiente cuello de botella.

El umbral de confianza depende del coste del error

Un 95% no significa lo mismo en todos los procesos. Puede bastar para dirigir una categoría de correspondencia a otra validación. Puede ser inaceptable para una cuenta bancaria, dirección del destinatario o decisión de excluir un envío. Define los umbrales según el impacto de falsos positivos y negativos, la calidad de entrada y la reversibilidad.

NIST AI RMF recomienda definir y documentar las funciones humanas, la supervisión, los criterios de riesgo y las decisiones go/no-go. La empresa necesita algo más que una cifra de precisión del proveedor: debe saber quién actúa cuando existe incertidumbre o cae el rendimiento.

Registra el contexto de la decisión, no solo el clic

Un registro que dice únicamente “aprobado” es insuficiente. Una auditoría o reclamación puede exigir la propuesta del sistema, la información mostrada al operador, la regla o versión activa, la persona que decidió, la hora y cambios posteriores. Un registro práctico incluye:

• identificador del expediente o lote y fuente de datos;
• versión de regla, plantilla, integración o modelo;
• resultado automático y nivel de confianza cuando proceda;
• motivo de envío a excepción;
• decisión del operador, hora, función y segunda aprobación;
• resultado de ejecución y prueba de entrada al circuito correcto;
• vínculo con incidente, reclamación o cambio de proceso.

Consulta también nuestra guía sobre trazabilidad y evidencias de ejecución.

Gestiona cambios de reglas como cambios de proceso

La automatización puede funcionar el lunes y fallar después de cambiar un formulario, el diseño de un archivo o una plantilla. Cada modificación necesita propietario, descripción, análisis de impacto, muestra de prueba, aprobación y posibilidad de volver a la versión anterior. Las reglas no deben editarse directamente en producción sin dejar rastro.

Supervisa volumen de excepciones, tasa de corrección manual, errores posteriores, tiempo de decisión humana, operaciones revertidas y causas repetidas. Más excepciones pueden indicar cambios en los datos de entrada. Menos correcciones tampoco prueban siempre una mejora: quizá los operadores hayan dejado de informar del problema.

El contrato debe definir los límites de automatización

Cliente y proveedor deben acordar qué pasos son automáticos, cuáles requieren revisión, quién fija los umbrales y quién puede cambiarlos. También hacen falta autoridad para detener el proceso, canal de errores, tiempo de respuesta, pruebas, conservación de registros y responsabilidad sobre la calidad de los datos de entrada.

Conecta estos controles con una matriz RACI y vía de escalación. “El proceso está automatizado” no responde quién decide ni quién rinde cuentas por el resultado.

Plan de implantación en 30 días

1. Divide el proceso en tareas, recomendaciones y decisiones.
2. Evalúa impacto del error, escala, reversibilidad y sensibilidad.
3. Elige pasos automáticos, muestreo y puntos de cuatro ojos.
4. Crea categorías de excepciones, prioridades y propietarios.
5. Fija umbrales de confianza y criterios de parada automática.
6. Define trazabilidad, versiones y conservación de registros.
7. Prueba un lote representativo y provoca excepciones deliberadamente.
8. Ensaya reversión, fallo y toma manual del proceso.
9. Activa métricas de calidad y revisa el primer mes.

BackOffice Outsourcing puede ayudar a estructurar la automatización en gestión de correspondencia, impresión, ensobrado, circuitos documentales y determinados procesos financieros y contables. El alcance debe responder al proceso, los datos y el riesgo reales. Habla con nosotros sobre piloto, controles e informes.

Fuentes

• Comisión Europea, AI Act - normas y calendario de aplicación
• Reglamento (UE) 2024/1689 - AI Act, especialmente artículo 14
• Reglamento (UE) 2016/679 - RGPD, especialmente artículo 22
• NIST AI Risk Management Framework 1.0
• NIST SP 800-53 Rev. 5 - separación de funciones, mínimo privilegio y auditoría

Preguntas frecuentes

¿Toda automatización de back office está sujeta al AI Act?

No. Las reglas simples y la automatización convencional pueden no ser sistemas de IA según el Reglamento. Hay que evaluar tecnología, finalidad y riesgo concretos.

¿Cuándo debe aplicarse el principio de cuatro ojos?

Cuando un error puede ser costoso, masivo, difícil de revertir o afectar a datos confidenciales, dinero, plazos legales o comunicación con clientes.

¿Una persona debe aprobar cada operación?

No. Las tareas de bajo riesgo pueden usar validaciones y muestras. La atención humana debe centrarse en excepciones y decisiones con consecuencias importantes.

¿Cómo comprobar que la supervisión humana es real?

El operador necesita información, competencia, tiempo y autoridad para cambiar el resultado o detener el proceso. Un botón de aprobación no basta.

← Volver a todos los artículos