Cuando una persona se incorpora, cambia de puesto o deja la empresa, intervienen recursos humanos, responsables de área, IT y seguridad. Si cada equipo recibe avisos por correo o chat y actúa por separado, es fácil que falte una cuenta, se conceda un acceso que no corresponde o permanezca activo un permiso tras la salida. Un flujo de altas, cambios y bajas bien diseñado convierte ese proceso en una secuencia trazable.
La IA puede ayudar a interpretar solicitudes incompletas, resumir excepciones y preparar comunicaciones o tareas. No debe decidir por sí sola qué permisos sensibles se conceden ni ejecutar una baja irreversible sin controles. Las decisiones de acceso deben seguir políticas explícitas, responsables identificados y confirmaciones de los sistemas implicados.
Defina primero los tres eventos que debe cubrir el flujo
Evite partir de una automatización genérica de “onboarding”. Distinga los eventos operativos y sus riesgos:
- Alta: preparar identidad, equipo, aplicaciones y formación antes de la fecha de incorporación, pero sin entregar privilegios antes de que corresponda.
- Cambio: ajustar accesos cuando cambia el puesto, el departamento, el responsable o el tipo de contrato. Es el evento que más fácilmente acumula permisos antiguos.
- Baja: retirar acceso a aplicaciones, dispositivos, grupos, correo, VPN y herramientas de terceros de acuerdo con la fecha y el tipo de salida.
Para cada evento, acuerde quién es la fuente de verdad. Puede ser el sistema de RR. HH. o, en una organización pequeña, un formulario con un responsable que lo valide. No use un mensaje informal como desencadenante de una baja: una fecha o una identidad equivocadas pueden interrumpir el trabajo de otra persona.
Diseñe una entrada con datos mínimos y verificables
El formulario o evento de origen debería contener un identificador único de empleado, tipo de evento, fecha efectiva, departamento, responsable, ubicación cuando afecte a la logística y perfil de acceso solicitado. Añada una justificación para cualquier excepción al perfil habitual.
No copie al flujo más datos personales de los necesarios. Por ejemplo, para crear una cuenta técnica puede bastar con nombre corporativo, identificador, área y fecha; información médica, evaluaciones o documentos laborales no deben viajar a una herramienta de automatización si no son necesarios. Valide además que la fecha efectiva no esté vacía, que el responsable exista y que no haya dos eventos abiertos para la misma persona.
Separe reglas deterministas, IA y aprobación humana
Un diseño útil deja claro qué componente hace cada cosa. Las reglas deterministas resuelven lo repetible: asignar un catálogo de aplicaciones a un perfil aprobado, abrir una tarea de preparación de equipo o programar un aviso de revisión. La IA puede clasificar una petición libre, detectar que falta un dato o convertir una explicación en un resumen para quien aprueba.
Reserve la aprobación humana para acciones que aumentan de forma relevante la capacidad de una persona: acceso administrativo, exportación de datos, permisos financieros, acceso a producción o excepciones fuera del catálogo. La aprobación debe indicar qué se solicita, para qué tarea, durante cuánto tiempo y quién asumió la decisión. Un “sí” por chat sin contexto no es una evidencia suficiente.
Ejemplo: un cambio de puesto
Una persona pasa de atención al cliente a operaciones. El evento actualizado inicia una comprobación del perfil nuevo. El flujo puede proponer retirar grupos exclusivos del puesto anterior, crear tareas para los accesos del nuevo equipo y solicitar aprobación para cualquier permiso no incluido en el catálogo. Antes de cerrar, debe confirmar en cada sistema si la retirada y la concesión se completaron. La IA, si se usa, puede resumir las diferencias entre ambos perfiles; no debería inferir permisos por el nombre del puesto.
Convierta la baja en una secuencia verificable, no en una única acción
Una baja requiere coordinación porque las aplicaciones no siempre comparten directorio ni tiempos de propagación. Prepare una lista por capas: desactivar inicio de sesión y sesiones activas, retirar grupos y licencias, revocar tokens y claves, bloquear acceso remoto, reasignar propiedad de buzones o documentos y recuperar o borrar los datos corporativos del equipo según la política interna.
El flujo debe registrar el resultado de cada paso. Si una integración falla, no marque la baja como completada: cree una tarea de excepción con prioridad, sistema afectado y responsable. Para salidas urgentes, establezca una ruta con una persona autorizada que pueda ejecutar la contención inmediata, seguida de la conciliación de tareas pendientes.
Mida el control operativo con evidencias simples
Una automatización aporta valor si permite responder a preguntas concretas: ¿cuándo se recibió el evento?, ¿qué perfil se aplicó?, ¿quién autorizó una excepción?, ¿qué sistemas confirmaron el cambio? Conserve el identificador del evento, las tareas generadas, las aprobaciones, las respuestas de cada integración y el motivo de cualquier intervención manual.
Revise periódicamente una muestra de altas, cambios y bajas cerradas. Busque cuentas sin propietario, tareas vencidas, permisos temporales que no se retiraron y eventos duplicados. Este control también ayuda a corregir el catálogo de perfiles antes de que las excepciones se conviertan en la norma.
Límites y criterios para decidir
No automatice de extremo a extremo si no existe una fuente de datos fiable, un catálogo de accesos mantenido o una forma de confirmar la ejecución en los sistemas destino. Empiece por un área, unos pocos perfiles y aplicaciones con APIs o tareas claras. Mantenga una ruta manual documentada para incidencias y para aplicaciones sin integración.
Es un buen candidato cuando hay volumen de movimientos, varias herramientas que coordinar y retrasos o errores repetidos. Si cada alta es excepcional y el catálogo no está definido, el primer trabajo no es añadir IA: es acordar perfiles, propietarios y reglas de autorización. KMOOPS puede ayudarle a diseñar y desplegar automatizaciones seguras, o puede contactarnos para revisar un flujo concreto.