Del nivel 2 al 3: cuándo dejar que el sistema actúe

Una planta que ya sabe qué le pasa en tiempo real está en el nivel 2 de la escalera de la IA física. El siguiente peldaño no es comprar nada: es dejar que el sistema actúe. Esta guía trata la ingeniería de ese paso. Qué acciones se pueden automatizar y cuáles no, con una matriz de riesgo por reversibilidad y coste del error; los tres patrones de actuación y cuándo usar cada uno; cómo se diseña la barandilla que contiene al sistema; qué registro necesita toda acción automática; qué dice la normativa europea y con qué fechas; y cómo se mide si el bucle ha servido para algo.

Qué es un bucle cerrado supervisado

Un bucle cerrado con supervisión es el ciclo completo de percibir, decidir, actuar y medir el efecto de lo actuado, con una persona que autoriza, vigila o puede revertir la acción. Las cuatro etapas son necesarias, y la cuarta es la que casi nunca se implementa. Un sistema que percibe, decide y escribe una consigna, pero que no vuelve a mirar qué pasó después, no tiene un bucle cerrado: tiene un emisor de órdenes.

Esa distinción es exactamente la frontera entre el nivel 2 y el nivel 3 de la escalera de la IA física. En el nivel 2 la planta sabe qué pasa: OEE, energía, paradas y calidad en tiempo real por línea. En el nivel 3 el sistema decide y ejecuta con supervisión, y por tanto tiene que poder responder a la pregunta de si su acción mejoró la variable que decía perseguir. Si no puede responderla, sigue en el nivel 2 con una integración más.

Conviene fijar dos términos antes de seguir, porque el resto del texto los usa con precisión. Una política es la función que convierte el estado estimado de la planta en una acción, sujeta a restricciones declaradas y orientada a un objetivo declarado. La técnica con la que se implementa es secundaria: una regla escrita por un experto y un modelo aprendido son la misma cosa desde el punto de vista de la gobernanza, siempre que ambos tengan objetivo y restricciones por escrito. Un sistema que emite sugerencias sin objetivo escrito no tiene política, tiene opiniones, y no se puede evaluar.

El segundo término es actuar. Escribir una consigna no es actuar. Actuar es escribir y comprobar en la señal medida que el equipo aceptó la consigna y la ejecutó. Sin esa comprobación, lo que hay es un lazo abierto que parece cerrado, y su modo de fallo es silencioso: el sistema cree que la planta está en un estado en el que no está. Toda acción necesita, por tanto, tres piezas: una confirmación del equipo, un titular que responda de ella y un registro de qué la causó.

Qué se puede automatizar y qué no: matriz de riesgo

La pregunta de qué automatizar no se responde por tecnología, se responde por consecuencias. Dos ejes bastan para ordenar casi cualquier acción de planta.

El primero es la reversibilidad: cuánto cuesta y cuánto tarda deshacer la acción, y qué rastro deja. Bajar la consigna de un ventilador es reversible en segundos y no deja marca. Reordenar una secuencia de producción es reversible, pero con intervención y con coste. Liberar un lote a cliente no es reversible en ningún plazo útil.

El segundo es el coste del error: qué pasa si la acción se ejecuta cuando no debía. Aquí hay que contar el caso peor, no el caso medio, y separar el coste económico del coste sobre personas, que no se compensa con dinero y que por tanto no entra en la matriz: cualquier acción que pueda afectar a la seguridad de una persona queda fuera del alcance de la automatización y se resuelve con la envolvente determinista de seguridad, no con una política.

Hay un tercer eje que no cabe en una tabla de dos dimensiones y que decide tanto como los otros dos: la frecuencia. Una acción reversible y barata que se ejecuta cuarenta veces por turno no se puede confirmar a mano, porque la confirmación se degrada sola hasta convertirse en un clic reflejo. Una acción cara que se ejecuta dos veces al mes se puede confirmar con calma y no merece la ingeniería de una automatización plena. La regla práctica: la frecuencia empuja hacia la automatización, la consecuencia empuja hacia la supervisión, y el patrón elegido es el punto donde las dos se equilibran.

Los tres patrones de actuación

Entre no hacer nada y actuar en pleno automático hay tres patrones bien definidos. No son fases de un proyecto, son destinos válidos: hay acciones que deben quedarse para siempre en el primero.

Los tres modos de fallo de la última columna comparten causa: se diseñó el patrón mirando el caso en que el sistema acierta. El coste de un falso positivo no es cero, es la atención del operario, y esa atención es un recurso finito que se consume aunque no se facture. Un criterio útil al elegir umbrales: si la tasa de avisos por turno supera lo que una persona puede examinar de verdad en ese turno, el patrón correcto no es pedir más confirmaciones, es subir el umbral y aceptar que se escapan casos, o pasar a actuación con veto en las acciones que la matriz lo permita.

Sobre el orden de adopción, la práctica que menos proyectos rompe es empezar por recomendación en las acciones de la fila intermedia de la matriz, medir durante semanas la tasa de aceptación de las propuestas y el efecto de las aceptadas, y promover a confirmación y después a veto solo las acciones cuya tasa de aceptación sea alta y estable. Ese historial es también la evidencia que se necesita para defender el cambio de autoridad ante producción, mantenimiento y seguridad.

Diseño de la barandilla

La barandilla es el conjunto de restricciones que hacen que el peor comportamiento posible del sistema siga siendo aceptable. Se diseña antes que la política, no después, y se verifica de forma independiente de ella. Tiene cinco componentes.

Límites duros. Rangos absolutos que ninguna acción puede cruzar, aplicados en el punto más bajo posible de la arquitectura, idealmente en el autómata y no en la plataforma. Si el límite vive en el mismo software que decide, no es un límite, es una intención. Los límites duros no se negocian con el objetivo de la política: se declaran aparte y se prueban forzando su violación.

Ventanas de operación. Una acción válida en producción normal puede ser inaceptable en arranque, en cambio de referencia o en mantenimiento. La ventana declara en qué estados de planta la acción está permitida, y se evalúa en cada ejecución, no una vez al desplegar. Esto exige que el estado de planta sea un dato de primera clase y no una inferencia frágil, que es una de las razones por las que el nivel 2 es prerrequisito.

Degradación segura y edad máxima del dato. Cada acción declara cuánto puede tener el dato que la justifica. Pasado ese plazo, la acción no se ejecuta. El valor por defecto ante ausencia de dato es no actuar, y cualquier excepción se justifica por escrito. Esta regla parece burocrática hasta la primera vez que un enlace se cae durante veinte minutos y el sistema, sin ella, habría decidido sobre un estado que ya no existía.

Latencia acotada, no solo baja. La señal que dispara una acción necesita un retardo extremo a extremo medido y con cota conocida. Un lazo con retardo variable no se puede sintonizar: o se vuelve lento para ser estable, o oscila. En comunicación industrial periódica los tiempos de ciclo habituales van de 10 ms a 0,5 ms, según el white paper de 5G-ACIA y ZVEI de noviembre de 2019; y en el dominio de reloj de trabajo, el que usan robots y control de movimiento, el mismo documento sitúa la exigencia de sincronización en 1 microsegundo o mejor, con tendencia a 100 nanosegundos. Son órdenes de magnitud que ninguna plataforma alcanza a través de una red de gestión, y por eso la primera decisión de arquitectura es dónde vive cada decisión.

Hombre en el bucle y hombre sobre el bucle. Son dos arquitecturas distintas, no dos grados de la misma. En el primero la persona está dentro del camino de la acción: su autorización es condición de ejecución, y su tiempo de respuesta forma parte de la latencia total. En el segundo la persona está fuera del camino: el sistema ejecuta y ella vigila, veta dentro de una ventana declarada y revierte después. La segunda arquitectura solo es honesta si el veto y la reversión se han probado de verdad, con una reversión real registrada y fechada. Un botón de veto que nadie ha pulsado nunca no es una barandilla, es un adorno.

Energía y mantenimiento: los primeros bucles seguros

Dos familias de acciones aparecen una y otra vez como el primer bucle razonable de una planta, y no por casualidad: caen en la zona de la matriz donde la acción es reversible y el efecto se mide con lo que ya existe.

Consignas de energía. Desplazar una carga térmica, ajustar la presión de un anillo de aire comprimido a la demanda real, escalonar arranques para no repetir un pico de potencia. Son acciones reversibles en minutos, con una variable objetivo que ya está instrumentada y con una ventana de operación fácil de declarar en términos de proceso, por ejemplo una banda de temperatura de producto o un rango de presión mínima garantizada. El efecto se mide contra una línea base y un periodo comparable. Es la familia de bucles sobre la que se sostiene el único resultado que Captia publica: más del 30 % de ahorro energético en empresas electrointensivas.

Órdenes de mantenimiento. Convertir una señal de degradación en una orden de trabajo con su activo, su síntoma, su dato de origen y su prioridad. La acción es reversible por definición, porque una orden se cancela; el coste del error es tiempo de técnico, no integridad de proceso; y la trazabilidad es natural, porque el sistema de gestión de mantenimiento ya guarda quién hizo qué y cuándo. El detalle que decide si funciona no es el modelo: es que la orden nazca con contexto suficiente para que el técnico no tenga que reconstruirlo. Cómo se llega desde la señal hasta esa orden está desarrollado en la guía de mantenimiento predictivo industrial.

Lo que estas dos familias tienen en común es más importante que su contenido: la variable objetivo estaba medida antes de cerrar el bucle. Ese es el criterio para elegir el primero. Si para saber si la acción funcionó hay que instrumentar algo nuevo, entonces todavía no estás cerrando el bucle, estás terminando el nivel 2.

Trazabilidad de la decisión

Toda acción automática necesita un registro de qué dato la causó. No es una exigencia administrativa: es la condición para que el bucle se pueda depurar, defender y mejorar. Cuando algo sale mal, la pregunta no es si el sistema falló, sino en cuál de las cuatro etapas falló, y esa pregunta solo se responde si cada etapa dejó rastro.

El registro mínimo de una acción tiene ocho campos:

1. Dato de entrada con su marca de tiempo en origen, no la del momento de ingesta, y con su indicador de calidad.
2. Estado estimado que se dedujo de ese dato, con su incertidumbre si la política la maneja.
3. Versión de la regla o del modelo que decidió, identificada de forma que se pueda reconstruir exactamente qué lógica corría ese día.
4. Política aplicada: objetivo y restricciones vigentes en ese momento, incluida la ventana de operación evaluada.
5. Persona que autorizó, vetó o supervisó, con su rol.
6. Comando escrito: qué se envió, a qué equipo y a qué punto.
7. Confirmación del equipo: qué respondió y qué se leyó después en la señal medida.
8. Efecto medido sobre la variable objetivo en la ventana temporal declarada para esa acción.

Los tres primeros campos son los que se olvidan y los que más caros salen. Sin marca de tiempo en origen, el orden causal de los eventos se pierde justo cuando la red va peor, que es durante los fallos. La sincronización de relojes tiene norma propia desde hace años, la IEEE 1588-2019 de sincronización de precisión, aprobada el 7 de noviembre de 2019 y publicada el 16 de junio de 2020 según la IEEE Standards Association; y el perfil de red sensible al tiempo para automatización industrial, IEC/IEEE 60802, se publicó el 29 de junio de 2026 según el grupo de trabajo TSN de IEEE 802.1. Sin versión de modelo o de regla, cualquier análisis posterior compara resultados de lógicas distintas creyendo que son la misma.

Este registro es también la materia prima del nivel 4. Un histórico que contiene variables de proceso pero no las intervenciones es dato observacional: permite aprender qué suele pasar, no qué pasa si intervengo. Los pares de acción y efecto que produce un nivel 3 bien registrado son lo que un modelo del mundo necesita y lo que ninguna simulación puede aportar por sí sola.

Seguridad funcional y normativa

Hay una separación que conviene no borrar nunca: la función de seguridad y la función de control son cosas distintas, y la primera no depende de la segunda. Una función de seguridad es la que evita el daño a una persona cuando todo lo demás falla: la parada de emergencia, el enclavamiento de una puerta, la limitación de velocidad con separación monitorizada en una célula compartida. Se implementa con lógica determinista, verificable y reproducible. Una política aprendida no cumple esas tres propiedades, porque su salida es probabilística y su comportamiento fuera de la distribución de entrenamiento es difícil de acotar formalmente.

La consecuencia de ingeniería es directa: el modelo vive por encima de la envolvente de seguridad, no dentro. Si el modelo se equivoca, la envolvente sigue conteniendo el proceso. Esta arquitectura no es una precaución de despacho, es lo que permite certificar la célula con las normas que ya existen sin tener que demostrar propiedades formales sobre el modelo.

Sobre el calendario del reglamento europeo de inteligencia artificial conviene ser preciso, porque circulan fechas antiguas. Según el calendario oficial de la Comisión Europea consultado en septiembre de 2026, el reglamento entró en vigor el 1 de agosto de 2024, sus prohibiciones y disposiciones generales se aplican desde el 2 de febrero de 2025, la aplicación general empieza el 2 de agosto de 2026, las reglas para sistemas de alto riesgo del anexo III se aplican el 2 de diciembre de 2027 y las de la IA embebida en productos regulados del anexo I, categoría que incluye la maquinaria, el 2 de agosto de 2028. Estas dos últimas fechas son posteriores a las originales por el paquete conocido como Digital Omnibus. Existen lecturas jurídicas que sostienen que la IA embebida en productos cubiertos por el Reglamento de Máquinas quedará ampliamente exenta de las obligaciones del reglamento de inteligencia artificial, pero esa afirmación no está confirmada en fuente oficial y conviene tratarla como interpretación, no como hecho normativo.

Queda la ciberseguridad, que cambia de naturaleza en el momento exacto en que se cierra el bucle. Mientras el sistema solo lee, la superficie de ataque es de confidencialidad. En cuanto existe un camino de escritura hacia la planta, la superficie es de integridad y de disponibilidad del proceso. La serie ISA/IEC 62443, según ISA consultada en septiembre de 2026, organiza los requisitos en cuatro grupos, y su parte 2-1, en la edición 2.0 de agosto de 2024 según el IEC Webstore, fija los requisitos del programa de seguridad para el propietario del activo. En la práctica esto se traduce en separación estricta entre permisos de lectura y de escritura, control de acceso nominal, aprobación de cambios de consigna, versionado de reglas y modelos, y un camino de reversión que se ha probado. Para el modelado de la información de los sistemas robotizados, la especificación complementaria de OPC UA para robótica es OPC 40010-1, en su versión 1.02 publicada por la OPC Foundation el 8 de septiembre de 2025.

Cómo se mide si el bucle funciona

La comparación se declara antes de encender el bucle, no después. Hay dos formas defendibles: una línea base con su periodo explícito, cuando el proceso es estable y la estacionalidad se puede controlar; o una línea de control equivalente que no recibe la acción, cuando hay dos líneas comparables, que es la opción más limpia porque absorbe los cambios de mercado y de materia prima que una línea base no captura.

Cuatro indicadores bastan para saber si el bucle está vivo y si sirve:

• Tasa de ejecución. Acciones ejecutadas frente a acciones propuestas. Si cae por debajo de la mitad, el sistema está proponiendo cosas que el operario no comparte, y el problema está en la política o en su contexto, no en la interfaz.
• Efecto medido sobre la variable objetivo. La diferencia contra la línea base o contra la línea de control, en la ventana temporal declarada para cada acción. Es el único indicador que justifica el bucle ante una revisión de costes.
• Tasa de reversión. Acciones revertidas o vetadas frente a ejecutadas. Una tasa muy baja de forma sostenida no es una buena noticia: casi siempre significa que nadie está mirando, no que el sistema sea perfecto.
• Retardo entre la señal y la acción, con su dispersión. No la media, sino la cola: el percentil alto es el que decide si la acción llega a tiempo en el caso malo. Una dispersión creciente anuncia un problema de transporte que se manifestará más adelante como oscilación y se atribuirá erróneamente al algoritmo.

A estos cuatro se añade uno de higiene: la deriva. La política se degrada cuando las condiciones reales se alejan de aquellas con las que se ajustó, y esa degradación es gradual e invisible sin una métrica que la vigile y un umbral que dispare revisión. En un bucle cerrado la deriva es más peligrosa que en un panel, porque el sistema no se limita a informar mal: actúa mal.

Con los cuatro indicadores y la métrica de deriva se cumplen los criterios observables del nivel 3: existe al menos una acción registrada con su resultado medido, hay un supervisor identificado y un camino de reversión que ya se ha usado, está definido y probado qué ocurre cuando el dato falta, el efecto se mide contra una referencia declarada, y los cambios de regla o de modelo pasan por versionado y aprobación. Cuando esos cinco puntos se pueden enseñar en una visita a planta, el nivel 3 no es una aspiración: es un hecho comprobable.

Preguntas frecuentes

El marco completo de los cinco niveles está en la guía de IA física industrial, y la arquitectura de captura, contexto y trazabilidad sobre la que se apoya un bucle supervisado está descrita en la plataforma de datos industriales. Si quieres revisar qué acción de tu planta es candidata al primer bucle, cuéntanos qué mides hoy y qué te gustaría que ocurriera solo.