Cuando la IA falla: protocolos humanos en la bóveda híbrida

Hay una escena que se repite en los depósitos que ya operan con visión por computadora y autenticación algorítmica: a las tres de la mañana, el modelo de reconocimiento facial marca como no autorizado a un custodio que lleva once años entrando por la misma puerta. La cámara térmica confirma que hay una persona, el lector biométrico coincide con su huella, pero el clasificador de comportamiento detecta una variación en la cadencia del paso y eleva la alerta. Nadie ha entrado todavía. Alguien tiene que decidir en menos de dos minutos si se abre o no.

Esa decisión no la toma el modelo. La toma una persona entrenada, con un procedimiento escrito delante y una grabación que se está guardando en paralelo. Los falsos negativos, los falsos positivos y las caídas de servicio no son incidentes excepcionales: son parte del ciclo normal de cualquier sistema híbrido. Lo que distingue a un depósito bien operado de uno vulnerable no es la calidad del algoritmo, sino la madurez del protocolo humano que lo respalda.

El primer eslabón es la asignación de mando. Cuando el motor de visión o el autenticador de red dejan de responder, la consola pasa a modo manual y el turno queda bajo responsabilidad nominal de un supervisor identificado en el registro. No es un rol anónimo: el sistema deja constancia de quién asumió el control, a qué hora, con qué evidencia disponible y qué decisión tomó. Esa trazabilidad es la que después permite reconstruir el incidente sin depender de la memoria de nadie.

El segundo eslabón es la excepción. Cada acceso concedido fuera del flujo automático se documenta con motivo, testigos, nivel de autorización y duración de la ventana abierta. En la práctica, esto significa que un acceso de emergencia no es una puerta abierta: es una puerta abierta durante un intervalo acotado, con dos firmas y con la cámara del pasillo grabando en calidad forense. Si el intervalo se agota, la puerta vuelve a bloquearse sola, aunque la operación no haya terminado.

El tercer eslabón es la reactivación. Antes de devolver el control al sistema automático, los equipos de operaciones exigen una batería mínima de pruebas: verificación del modelo con un conjunto de casos conocidos, comprobación de que los sensores físicos siguen respondiendo, y confirmación de que el registro de excepciones del turno se ha cerrado correctamente. Sin esas tres condiciones, el modo manual se mantiene aunque el motor ya esté en línea. Es una decisión incómoda, porque alarga la carga sobre el personal, pero evita reabrir el flujo automático sobre un estado del sistema que nadie ha validado.

El coste de sostener esta capa humana es real y conviene decirlo sin adornos. Mantener guardias entrenadas para intervenir en segundos implica turnos rotativos, simulacros periódicos y personal que sepa leer una alerta sin confundirla con ruido. También implica aceptar que la automatización no elimina puestos: los reubica en los puntos donde el criterio humano sigue siendo insustituible. La tensión entre reducir personal y conservar criterio en los accesos críticos es una discusión abierta en casi todos los bancos que han dado el paso a sistemas híbridos.

La auditoría cierra el ciclo. Cada excepción registrada se revisa después, con calma, comparando la decisión tomada con la evidencia disponible en ese momento. Si el patrón se repite, se ajusta el umbral del modelo. Si la decisión humana fue correcta pero el sistema la habría bloqueado, se documenta como caso de calibración. Si fue incorrecta, se revisa el entrenamiento del turno. Ninguna de estas revisiones busca culpables: buscan que la próxima vez que la IA falle, el protocolo humano responda igual de rápido y con la misma trazabilidad.