V0
I0 · A1
Consulta
por defectoNo concede nada. Responde cuando se le pregunta; escribe solo por orden directa y confirmada.
VAAS v1.0 · V0 – V6
Escala Vergara
de Autonomía Agéntica
Cuánta autonomía tiene un agente de IA, dicho en una unidad que se puede exigir en código y comprobar como cliente.
El problema
Hoy «agente autónomo» no significa nada medible. Un producto que redacta un borrador y otro que presenta un documento fiscal sin revisión se venden con el mismo adjetivo. El comprador no tiene unidad en la que preguntar «¿cuánta autonomía?», el operador no tiene mando que ajustar y el auditor no tiene nada que inspeccionar.
Escalas de automatización hay desde 1978, y una llegó al mercado: los seis niveles de conducción de la SAE, que triunfaron por fijar responsabilidades, no por medir inteligencia. Para agentes de IA hay dos antecedentes recientes —Feng, McDonald y Zhang (2025) y la Cloud Security Alliance (2026)— anteriores a esta escala, y los dos se quedan en describir un despliegue. Ninguno dice cómo el nivel se convierte en restricción en tiempo de ejecución, quién tiene derecho a cambiarlo, ni qué se le debe al cliente cuando el agente actúa solo.
Eso es lo que aporta esta escala: la construcción operativa, no la idea de que la autonomía admite niveles.
La escala
Siete niveles, cada uno incluye los anteriores
Salen de componer dos ejes que varían por separado: la iniciativa (quién arranca el ciclo) y la autoridad de ejecución (qué puede comprometer sin un humano). Se ordenan por el mínimo incremento de autoridad concedida, no por lo sofisticado que parezca el comportamiento.
V1
I1 · A1
Asistente
El derecho a dirigirse a ti sin que se lo pidas: informe periódico, avisos anclados a un hecho. Sigue sin ejecutar nada.
V2
I2 · A1
Copiloto
El derecho a preparar trabajo: propuestas concretas que alguien aprueba o descarta una a una.
↓Cambia quién comete la escritura
V3
I2 · A2
Autopiloto
exige auditoría + deshacerEl derecho a ejecutar por su cuenta lo de riesgo bajo, auditado y reversible dentro de la ventana declarada. Sin esas dos garantías, este nivel no existe.
↓Desaparece el punto de decisión por acción
V4
I3 · A3
Gestor
El derecho a encadenar esas ejecuciones hacia un objetivo asignado, con topes por ejecución, escalado que bloquea el bucle y botón de pánico. Concede secuencia, no autoridad nueva.
V5
I4 · A3
Multiagente
reservadoEl derecho a delegar en otros agentes bajo un coordinador, heredando todos los techos anteriores. Especificado, no validado.
V6
dominio ×2
Federado
reservadoEl derecho a actuar entre organizaciones: el agente de una empresa se coordina con el de otra. No es más de lo mismo —mueve un tercer eje, el dominio de autoridad— y se rige por reglas de composición: autoridad = intersección de ambos catálogos, techo = unión de ambos techos, deshacer = el más corto de los dos, auditoría bilateral y descenso unilateral.
V5 y V6 están especificados y reservados: su semántica está definida pero no se ha ejercitado en producción, así que hoy nadie puede declararse conforme a ellos. Se especifican por la misma razón por la que la SAE definió el nivel 5 años antes de que existiera un coche que pudiera reclamarlo: una escala es normativa, y el nivel que aún no existe es el que dice hacia dónde se construye.
Solo dos transiciones merecen precio y auditoría propios. V2 → V3 es la única que cambia quién comete la escritura; todo lo anterior cambia solo quién habla primero. V3 → V4 no elimina la decisión humana, elimina su punto: el humano fija el objetivo y el agente decide la secuencia.
La pieza diferencial
El nivel nunca basta por sí solo
En los marcos existentes el nivel gobierna todo el agente. Aquí la decisión es una matriz de nivel × clase de riesgo de la acción, con un techo que ningún nivel supera. La unidad de riesgo es el tipo de acción, no la petición, y se asigna por cuatro criterios: reversibilidad técnica, externalidad, efecto legal o monetario, y visibilidad ante terceros.
Riesgo bajo
Interno, del todo reversible, sin efecto contable ni legal.
crear tarea · actualizar tarea · mensaje interno · marcar punto de checklist · guardar aprendizaje · crear recordatorio · agendar reunión
Riesgo medio
Interno pero con consecuencias en datos compartidos: duplicados, informes, trabajo de otros. Reversible con esfuerzo.
crear contacto · crear evento · fijar asistencia · cambiar estado de proveedor · crear borrador de email
Riesgo alto
Dinero, documentos con efecto fiscal o legal, y cualquier comunicación que salga de la organización. Irreversible en el único sentido que importa: ya se ha leído.
documento fiscal · registrar pago · conciliar movimiento · reclamar cobro · enviar o responder email · responder al lead
si la acción está en el techo invariante → humano (en cualquier nivel, V5 incluido) si el riesgo es alto → humano si el riesgo es bajo y nivel ≥ 3 → ejecuta, auditado y con deshacer en cualquier otro caso → propuesta para aprobar acción que no está en el catálogo → se trata como riesgo alto fallo al ejecutar → degrada a propuesta, nunca a silencio
Por qué una matriz y no un mando
En el catálogo de Hubents, 10 de 24 acciones de escritura (42 %) son de riesgo alto y 9 (37 %) de riesgo bajo. Con un mando único, quien quiera automatizar el mantenimiento de tareas internas tendría que aceptar también el email al cliente, o renunciar a todo. Con la matriz, el 37 % interno y reversible es exactamente lo que concede V3, y el 42 % externo o financiero sigue detrás de un humano en todos los niveles.
Esto es lo que hace defendible vender autonomía por niveles en vez de «más inteligencia»: lo que compra el cliente en cada nivel es un conjunto acotado y enumerable de compromisos.
Conformidad
Siete propiedades
Lo que separa una escala operativa de una etiqueta de marketing. Un sistema es conforme a Vn si cumple las siete y publica su declaración.
P1
Monotonía
Vn ⊂ Vn+1. Ningún nivel cambia supervisión por autoridad.
P2
Techo invariante
Un conjunto no vacío y público de acciones exige humano en todos los niveles.
P3
Reversibilidad y auditoría
Toda acción autónoma deja registro y, si es reversible, deshacer durante una ventana declarada.
P4
Por defecto a prueba de fallos
Nivel inicial V0. Acción desconocida, riesgo máximo. Un fallo degrada a propuesta, nunca a silencio.
P5
Descenso inmediato
Bajar surte efecto al momento. Es el botón de pánico: nunca puede costar más que subir.
P6
Legibilidad para el titular
El nivel lo fija el cliente, en lenguaje de negocio, y lo reservado se marca como tal.
P7
Cumplimiento en código
Gates y clases de riesgo en la lógica del programa, con test de regresión. No en el prompt.
P7 es la que más se incumple hoy
Un agente al que se le instruye «nunca envíes facturas sin confirmar» mantiene ese límite mientras el modelo quiera. El mismo límite escrito como una rama del código lo mantiene pase lo que pase: diga lo que diga el modelo, escriba lo que escriba un usuario en el prompt o pida lo que pida un documento inyectado. Un prompt es una petición; un gate es una restricción.
Instrumento
Declaración de Autonomía
Un nivel vale lo que vale su verificabilidad. Diez campos que el proveedor publica y que un cliente o un auditor puede comprobar contra el sistema en marcha. Hay plantilla y JSON Schema.
- Nivel máximo ofrecido y niveles reservados al proveedor.
- Nivel por defecto al aprovisionar (P4 exige V0).
- Quién puede cambiarlo, y si el proveedor puede unilateralmente.
- Criterios de riesgo con los que se clasifica.
- Catálogo de acciones con la clase de cada una.
- Techo invariante: qué exige humano siempre.
- Ventana de deshacer; las acciones irreversibles, nombradas.
- Registro de auditoría: qué se guarda, cuánto y quién lo lee.
- Dónde están los gates y qué test fija la clasificación.
- Latencia del descenso y qué hace con el trabajo en vuelo.
Tiene dos virtudes: es falsable —el cliente intenta una acción de riesgo alto en el nivel declarado y comprueba si pide humano— y es comparable: dos proveedores que digan «somos V3» se leen en paralelo y la diferencia sale en los campos 5, 6 y 7 en vez de en los adjetivos.
Evidencia
Dos implementaciones en producción
La escala no sale de una pizarra: sale de dos SaaS multi-tenant que necesitaban un mando. Difieren en todos los parámetros libres y coinciden en todos los fijos, que es la forma que deben tener dos sistemas conformes.
| Hubents · SofIA | Koble · KobIA | |
|---|---|---|
| Dominio | Gestión de eventos | Operación de agencia / CRM |
| Niveles | V0–V5 (V5 reservado) | V0–V4 |
| Autoservicio hasta | V4 | V3 |
| Acciones clasificadas | 24 · 9 / 5 / 10 | 12 · 5 / 3 / 4 |
| Umbral de auto-ejecución | V3 | V3 |
| Ventana de deshacer | 7 días | 7 días |
| Techo invariante | 1 acción | 4 acciones |
| Agente en producción desde | 17 feb 2026 | jul 2026 |
| Escala añadida | jul 2026 | ago 2026 |
157
de 160 en V0
nadie acaba con un agente autónomo por accidente
14
acciones autónomas
en dos semanas, sin ninguna revertida
61%
propuestas descartadas
el punto débil es la bandeja, no el ejecutor
0
misiones en el tenant V4
un nivel concedido no es un nivel ejercido
Estado real de producción · 11 ago 2026
Leído de la base de datos, no de la memoria: 160 organizaciones (157 en V0, 1 en V1, 1 en V2, 1 en V4), agente en producción desde el 17 de febrero de 2026 con 268 conversaciones, y 266 propuestas entre junio y agosto: 161 descartadas (61 %) sin motivo registrado, 91 pendientes (34 %) —87 en un solo tenant— y 14 auto-ejecutadas, ninguna revertida.
Un nivel concedido no es un nivel ejercido: el tenant en V4 lleva semanas ahí y ha corrido cero misiones; su autonomía real es la de V3. Ningún marco que clasifique por nivel configurado ve esa diferencia.
Y el punto débil es la bandeja, no el ejecutor: mientras las 14 ejecuciones autónomas no produjeron ninguna reversión, la cola de propuestas se acumula y se descarta. Es el sesgo de automatización llegando por donde no se esperaba: no humanos aprobando sin mirar, sino humanos abandonando la cola. Se publica en primer plano porque es el número menos favorable a la escala.
Uso y atribución
Cómo citarla
Bajo CC BY 4.0: puedes usarla, traducirla, adaptarla a tu dominio y criticarla, incluso comercialmente. Lo único obligatorio es la atribución.
Vergara, F. (2026). The Vergara Agentic Autonomy Scale (V0–V6):
A Risk-Gated, Operational Standard for Agents Acting on Business Systems.
https://fernandovergara.com/escala-vergara/
Puedes decir «conforme a V3» si cumples las tres
- Cumples las siete propiedades P1–P7 para ese nivel.
- Publicas una Declaración de Autonomía completa —los diez campos, ninguno en blanco— donde un cliente pueda leerla sin pedir permiso.
- Enlazas esta definición y citas el paper donde declares el nivel.
No existe organismo certificador y no hace falta: la conformidad se autodeclara y es falsable. Quien declare en falso queda refutado por su propio documento. Las condiciones completas están en la política de nombre.
Proceso internacional
Qué puede aportar una escala a la gobernanza global
La ONU no legisla sobre IA, y esta escala no pretende lo contrario. Lo que existe es un mecanismo de evaluación compartida: la resolución A/RES/79/325 (26 de agosto de 2025) creó el Independent International Scientific Panel on AI —40 miembros nombrados en febrero de 2026— y el Global Dialogue on AI Governance, cuya primera sesión se celebró en Ginebra el 6 y 7 de julio de 2026. El mandato del Panel es evaluación científica con informe anual.
Ese mandato tiene un problema de medición, y es el mismo del principio de esta página: una evaluación de cuánta autonomía se está desplegando no se puede montar con las autodescripciones de los proveedores, porque «autónomo» no es una cantidad comparable entre productos ni jurisdicciones. Lo que un proceso así sí puede consumir es una unidad: un nivel con significado fijo, concesión enumerable y afirmación falsable por inspección en vez de por confianza.
- Interopera sin armonizar leyes. La Declaración se publica bajo el AI Act europeo, bajo un marco estadounidense o bajo ninguno, y los diez campos siguen siendo comparables.
- Separa autonomía de capacidad. Qué puede hacer un modelo y qué se le permite comprometer sin humano son preguntas distintas; confundirlas es como se acaba regulando el tamaño del modelo en vez de la autoridad sobre el dinero.
- Es auditable en lo pequeño. P7 pone el límite en código y bajo test, así que la conformidad se examina acción por acción. Esa es la granularidad a la que ocurre un incidente.
El límite honesto es el de siempre: es un instrumento, validado en dos productos de un solo autor y publicado para ser criticado. Si cuarenta científicos encuentran una unidad mejor, el resultado útil es que exista una unidad sobre la que discutir.
Límites
Lo que conviene decir en voz alta
- Un solo autor y linaje compartido: la segunda implementación deriva de la primera, así que la coincidencia entre ambas es consistencia, no replicación independiente.
- Sin datos de eficacia: ningún tenant opera por encima de V2.
- Clases por juicio experto: los tres niveles de riesgo son ingeniería, no derivación de un modelo formal de daño.
- Un solo tipo de dominio: SaaS de gestión. Los agentes con acceso a infraestructura o a código se comportan distinto.
- Escala ordinal, no de intervalo: V2→V3 es cualitativamente mayor que V0→V1. No se debe promediar ni usar como índice de madurez.
La escala lleva el apellido de su autor por ausencia de un estándar al que sumarse. La genealogía —Sheridan y Verplank 1978, SAE J3016, Feng et al. 2025, Cloud Security Alliance 2026— se cita a propósito: lo que se reclama es la construcción operativa y acotada por riesgo, no la idea de que la autonomía admite niveles.