Telefónica explica cómo la IA cambia las APIs sin quitarles sus límites

El 23 de julio de 2026, Telefónica explicó cómo está aplicando IA a sus APIs e integración digital. La idea útil no es que una API se vuelva inteligente por sí misma: una API sigue siendo un contrato para pedir o cambiar algo en un sistema. La IA puede ayudar a entender ese contrato o decidir qué llamada preparar; los permisos y la validación siguen siendo responsabilidad del sistema.

Asistente y agente no son lo mismo

La fuente de Telefónica distingue dos niveles. Un asistente generativo responde preguntas: puede explicar qué campos exige una API, resumir documentación o proponer código. Un agente puede encadenar pasos: leer un error, elegir una herramienta, preparar una solicitud, ejecutar un script y comprobar el resultado. Ese segundo caso es más útil para tareas repetitivas, pero también tiene más capacidad de causar una acción incorrecta.

Una API no concede autoridad al modelo. El modelo decide o propone una llamada; el programa que lo rodea es quien la ejecuta. La documentación de Google ADK aclara que el modelo prepara la solicitud y el framework llama a la herramienta. Esa separación permite diseñar controles: una herramienta puede leer inventario pero no borrarlo, preparar una transferencia pero exigir aprobación, o simular una respuesta sin tocar producción.

La prueba de cuatro capas

Antes de conectar un agente a una API, dibuja cuatro capas. Modelo: interpreta la petición y propone un paso. Herramienta: define la operación disponible y sus parámetros. Permiso: limita qué credencial, datos y entornos puede usar. Validación: una regla o persona revisa el resultado antes de una acción irreversible. Si una de estas capas no está explícita, “automatizar” puede esconder una delegación sin control.

Telefónica cita casos de documentación más accesible, simulación de servicios y soporte interno. Son usos donde una respuesta puede acelerar trabajo sin autorizar cambios críticos. También advierte de inyección de prompts, errores probabilísticos y exceso de acceso. Por eso menciona guardrails y mínimo privilegio. Un agente con permiso de lectura puede ayudar a diagnosticar; uno con permisos de borrado necesita barreras adicionales.

Qué se lleva el lector

La pregunta no es “¿puede una IA usar esta API?”. La pregunta es “¿qué acción concreta puede preparar, quién puede ejecutarla y cómo se comprueba?”. Empieza por una tarea reversible, un entorno de prueba y un registro de cada llamada. Después añade permisos mínimos y una aprobación humana para dinero, datos personales, publicación o borrado. Así una API con IA deja de ser una promesa genérica y se convierte en un flujo verificable.