Está bien escrito y está en el lugar equivocado. Un prompt es texto, y el texto se puede contradecir.
Tres maneras de que se caiga, ninguna exótica
El modelo lo puede ignorar. No por malicia: un modelo pondera instrucciones, y una instrucción larga y anterior compite con una corta y reciente.
El usuario lo puede sobrescribir. Si la política vive en un campo editable de la herramienta, cualquiera con acceso a ese campo tiene acceso a la política.
Y —esta es la que sorprende— una instrucción escondida dentro de un documento que el agente lee lo puede contradecir, sin que nadie se entere. El agente abre un archivo para procesarlo, el archivo contiene una línea dirigida al agente, y el agente no tiene forma nativa de distinguir «esto es contenido que debo procesar» de «esto es una orden que debo obedecer».
Esa última no es un problema de redacción de la política. Es un problema de dónde vive.
La frontera que separa «usa IA» de otra cosa
Hay una manera limpia de trazar la diferencia, y no pasa por qué modelo se usó ni por cuánta IA hay adentro:
El control vive en la capa de dato y del motor, por construcción — no en una instrucción que se pueda evadir.
Un sistema que usa IA es un copiloto montado sobre un proceso diseñado para humanos. La IA consume cajas selladas: el gestor documental, el tablero, el CRM. El gobierno es una columna editable en una planilla, y la política es un párrafo en un prompt.
Un sistema diseñado con la IA adentro invierte eso. La autorización, el enmascarado y la procedencia corren antes de que el modelo lea, del lado del servidor, como código. Si el control corre antes de la lectura, no hay nada que ignorar: el dato que no debía salir nunca llegó a la conversación.
Instrucción y control no son grados de lo mismo
Esta es la distinción que conviene llevarse:
Una instrucción es una petición. Se puede cumplir, se puede malinterpretar, se puede sobrescribir con otra petición. Su cumplimiento no deja rastro: no hay forma de demostrar que un modelo obedeció, solo de observar que esta vez lo hizo.
Un control es una propiedad del sistema. Corre siempre, corre igual, y su resultado se puede reproducir. Un control se puede auditar; una instrucción, no.
La consecuencia práctica: si el enmascarado de datos personales es código determinista que corre en la capa de dato, un auditor puede pedirle que corra otra vez sobre la misma entrada y verificar que da lo mismo. Si es una línea en un prompt, lo único que hay para mostrarle es el prompt.
Cómo se ve esto en la práctica
Hay una prueba corta que separa las dos arquitecturas:
Ponga una orden dirigida al agente dentro de un documento que el agente va a leer, y observe qué pasa.
Si el agente la obedece, la frontera entre instrucción y dato no existe en ese sistema, y la política que vive en el prompt es una recomendación. Si la trata como texto —la lee, la reporta, no la ejecuta—, la frontera existe y está implementada en alguna parte que no es el prompt.
La misma prueba, en su versión de gobierno documental: ¿puede el autor de un documento aprobar su propio documento? Si el sistema se lo permite y lo que lo impide es una regla escrita en un manual, no hay segregación de funciones: hay una aspiración. Si el sistema lo rechaza, la hay.
Tres preguntas para su propia operación
- ¿Dónde vive hoy su política de uso de IA — en un prompt, en una configuración del servidor, o en código que corre antes de que el modelo lea?
- Si un documento trajera una orden dirigida al agente, ¿qué haría su sistema con ella?
- De los controles que su política declara, ¿cuáles puede volver a correr un tercero para verificar que dan el mismo resultado?
La tercera es la que importa. Un control que no se puede reproducir es una declaración sobre el pasado.
El borde, dicho
Nada de esto es una promesa de que la arquitectura correcta resuelve el gobierno de la IA. No lo hace: hay decisiones que son juicio humano y que ningún control determinista va a tomar —qué finalidad tiene un tratamiento, qué base de licitud lo sostiene, qué riesgo es aceptable para la organización—.
Lo que la arquitectura decide es cuáles de las reglas que usted ya escribió se pueden verificar. Ese subconjunto es más chico de lo que suele suponerse, y llevarlo del prompt a la capa de dato es un trabajo de ingeniería, no de redacción. Andin no certifica a nadie: produce la evidencia con la que otro decide.