La conversación sobre IA en operaciones de seguridad suele empezar por el lado equivocado: cuánto puede automatizarse. La pregunta correcta es qué parte del trabajo consume tiempo del analista sin aportar criterio. Esa parte es el triaje de volumen.
El problema no es el volumen, es la repetición
Un turno recibe miles de alertas. La inmensa mayoría se resuelve con la misma secuencia: quién es el usuario, si el comportamiento es habitual, si el destino ya se conocía, si hay algo más alrededor. Un analista experimentado hace eso en noventa segundos y en el 94 % de los casos concluye lo mismo: no es nada. Noventa segundos por miles es el turno completo, y el caso real llega justo cuando el analista está agotado de descartar.
El registro de descarte
La pieza que hace aceptable el diseño no es el modelo, es el registro. Cada alerta descartada guarda la pregunta que el agente se hizo, la evidencia que consultó, la conclusión y la confianza declarada. Cualquier descarte del mes se puede abrir y revisar completo.
REGISTRO DE DESCARTE · EJEMPLO ABREVIADO
alerta : Conexión saliente a dominio recién registrado
hipótesis : ¿Actualización de software legítima?
evidencia : proceso firmado · destino conocido hace 41 días ·
patrón horario coincide con la ventana habitual
conclusión : descartada, actualización rutinaria
confianza : 0.96 revisable: síCÓMO SE MIDE QUE NO PERDIMOS NADA
Cada mes un analista revisa una muestra ciega de descartes sin ver la conclusión del agente. Si aparece un falso descarte, se corrige la regla de razonamiento y se reprocesa la ventana afectada. Es el mismo control de calidad que se aplica a un analista junior.
La automatización que no se puede auditar no es automatización: es una caja negra a la que le confiamos el turno.
El analista dejó de hacer triaje de volumen y pasó a hacer lo que solo una persona hace: decidir con información incompleta, hablar con el dueño del sistema y responder por una contención que interrumpe el negocio. El agente le devolvió el tiempo; el criterio sigue siendo suyo.
