Economía de los falsos positivos en IA: lectura desde operador

Un sistema de analítica con inteligencia artificial no muere por un fallo técnico, muere por desgaste del operador. La causa no es el algoritmo, es la economía silenciosa de los falsos positivos.

Quien haya pasado una noche en una sala de control sabe que la cifra que decide la vida útil de un sistema no es la tasa de detección, es la tasa de falsos positivos por hora de operador. Esa segunda cifra se publica pocas veces porque es incómoda. Quien la mide con honestidad descubre que la línea entre un sistema que se usa y un sistema que se apaga es más estrecha de lo que el fabricante reconoce. Este artículo escribe esa línea con números, con referencias y con la mirada de quien fabrica los equipos que después se quedan encendidos o se desconectan.

El falso positivo como unidad económica, no como métrica técnica

En la literatura comercial el falso positivo aparece como un porcentaje. Noventa y ocho coma cinco de precisión, noventa y nueve coma dos, según el folleto. Esa cifra se presenta como un indicador de calidad y rara vez se acompaña del segundo número que importa, que es el volumen absoluto de alertas por hora y por cámara. Un sistema con noventa y nueve por ciento de precisión sobre un flujo de diez mil eventos al día genera cien falsos positivos diarios. Si el operador tiene veinte cámaras bajo su responsabilidad, está recibiendo dos mil alertas espurias al día. Esa es la cifra que decide el destino del sistema, no la precisión nominal.

El falso positivo es, en términos económicos, una unidad de carga de trabajo. Cada alerta consume un tiempo de investigación que se compone de tres partes. Primero, la lectura del aviso en pantalla, que en condiciones normales toma entre tres y ocho segundos. Segundo, la verificación visual de la secuencia que ha disparado la alerta, que toma entre quince segundos y dos minutos según la complejidad de la escena. Tercero, la decisión de cierre, que incluye la categorización del evento, la anotación si procede y la actualización del registro de turno. Esta última etapa, banal en apariencia, añade entre treinta segundos y dos minutos. En el cómputo conjunto, un falso positivo bien procesado consume entre uno y cinco minutos del tiempo de un operador cualificado.

Multiplicado por la masa diaria, el coste deja de ser anecdótico. Un centro con cinco operadores en turnos rotativos que procesa mil falsos positivos al día está dedicando entre dieciséis y ochenta horas-persona semanales a investigar eventos que no existen. Al coste cargado de una sala de control española, esa actividad equivale a una factura de entre dos mil y diez mil euros semanales. La cifra no aparece en ninguna línea presupuestaria porque está disuelta en el sueldo del personal, pero está ahí. Quien la mide la encuentra. Quien no la mide la paga igualmente.

La conclusión de operador es simple. El falso positivo no es un defecto del modelo, es un consumo de recursos que se debe medir en euros y en horas, no en porcentajes. Un fabricante que entrega un sistema sin haber documentado este consumo está entregando un producto que el cliente todavía no sabe que tendrá que pagar.

La curva de fatiga y el umbral de desactivación

La sala de control no opera en condiciones de laboratorio. Opera con personas que entran al turno con un estado de alerta inicial y lo van perdiendo con cada interrupción innecesaria. La investigación sobre vigilancia visual sostenida, recogida desde los trabajos clásicos de Mackworth hasta los análisis recientes que cita ENISA en sus guías de operación de centros de seguridad, coincide en una observación dura. La capacidad de atención sobre pantallas decae de forma medible a partir de los veinte minutos de tarea continua, y la degradación se acelera cuando el operador es interrumpido por alertas que, una vez investigadas, no contienen evento real.

Esta degradación tiene una expresión operativa que los fabricantes prefieren no mencionar. Por encima de un cierto umbral de falsos positivos por hora, el operador deja de investigarlos. No los apaga formalmente, simplemente los cierra sin abrirlos. La alerta sigue llegando, el contador sigue subiendo, y el sistema sigue figurando como activo en el cuadro de mando. La realidad, sin embargo, es que el sistema ha dejado de existir en términos funcionales. Está encendido y desatendido, que es la peor combinación posible porque genera una falsa sensación de cobertura.

El umbral varía según el operador, según la formación, según la cultura del centro, pero los rangos observados en sesiones de auditoría tienden a concentrarse entre cuatro y ocho falsos positivos por hora y por operador. Por debajo de cuatro, la atención se mantiene. Entre cuatro y ocho aparece la fatiga acumulada, las pausas se acortan, la calidad de la investigación cae. Por encima de ocho, el comportamiento cambia. Los operadores empezan a aplicar reglas tácitas de filtrado, ignoran categorías enteras de aviso, y en un plazo que en algunos centros se mide en semanas, el sistema queda neutralizado en la práctica.

La segunda fase, más grave, es la desactivación formal. Cuando el responsable de operación recibe quejas reiteradas del personal, la decisión administrativa es bajar la sensibilidad del modelo o desactivar reglas. Cada desactivación cierra un canal de detección. La organización conserva la inversión pero pierde la función. Esta deriva, frecuente y poco documentada, es la causa principal del fracaso percibido de la videoanalítica en entornos críticos. No fracasa la tecnología. Fracasa la economía que la sostiene.

Quien diseña un sistema que vivirá tres o cinco años en operación tiene la obligación de calibrar la tasa de falsos positivos no contra un objetivo técnico abstracto, sino contra el umbral de tolerancia humana del centro donde se va a desplegar. Esa calibración es trabajo de operador, no de programador.

Lo que cuesta una hora de investigación, lo que cuesta una hora perdida

Hay dos formas de calcular el coste de un falso positivo. La primera es directa, suma el tiempo del operador y lo multiplica por el coste cargado. La segunda es indirecta, valora el coste de oportunidad de esa misma hora si se hubiese dedicado a una incidencia real. Las dos cifras importan, y la diferencia entre ellas es lo que decide la rentabilidad real del sistema.

El coste directo, en una sala de control española con personal interno, oscila entre veintidós y treinta y cinco euros por hora cargada de operador. En centros operados por contratistas de seguridad privada bajo convenio, la franja es similar, con variaciones según la categoría profesional y el régimen de turnos. Una hora de investigación de falsos positivos cuesta, por tanto, una cifra conocida y auditable. Si esa hora se repite diez veces por turno, el sistema está consumiendo entre doscientos y trescientos cincuenta euros diarios solo en su propia ineficiencia.

El coste indirecto es más alto y menos visible. Cuando el operador está investigando una alerta que no contiene evento, no está disponible para investigar otra que sí lo contiene. La probabilidad de que coincidan en el tiempo no es despreciable. En el análisis de incidentes que la AEPD y el CCN-CERT incluyen en sus boletines, una proporción significativa de las brechas de seguridad física en infraestructuras vigiladas se produce en ventanas donde el personal estaba saturado de avisos previos. La saturación no causa la brecha, pero retrasa la respuesta. Y el retraso de respuesta, en seguridad, se traduce directamente en alcance del daño.

A esto se añade un tercer coste, todavía más opaco. La rotación de personal en salas de control donde la carga de falsos positivos es alta supera a la rotación en centros con sistemas bien calibrados. La formación de un operador competente requiere entre tres y seis meses. Cada rotación implica un coste de reemplazo que rara vez se imputa al sistema que la ha provocado, pero que existe. Las cifras sectoriales recogidas por Unespa y por las patronales de seguridad privada apuntan, sin que sean números cerrados, a que la fatiga acumulada por mal diseño de alertas es una de las tres primeras causas de abandono en este perfil profesional.

Cuando se suman las tres capas, el coste de un falso positivo deja de ser una cifra de céntimos para convertirse en un componente significativo del coste total de propiedad del sistema. En instalaciones grandes, este coste oculto puede superar al coste de adquisición de la propia plataforma en menos de dos años. Esa es la magnitud que el operador debe poner sobre la mesa cuando evalúa una propuesta.

La calibración como disciplina, no como puesta en marcha

En la mayoría de los despliegues que se auditan, la calibración del sistema se realiza en las dos o tres primeras semanas tras la instalación y se da por concluida. El integrador entrega un informe de aceptación, el cliente firma, y a partir de ahí la responsabilidad de mantener el sistema funcionando recae en el operador final. Esta práctica, heredada del modelo clásico de instalación de equipos, es una de las causas estructurales del deterioro progresivo de la videoanalítica.

La calibración no es un acto, es un proceso. Las condiciones de un emplazamiento cambian con las estaciones, con los cambios de uso, con las modificaciones de iluminación, con los nuevos procesos operativos del cliente. Un modelo que ha sido afinado para invierno empieza a generar falsos positivos en primavera. Una cámara que cubría un acceso ahora cubre además una zona de carga porque se ha reorganizado el espacio. Estos cambios, individualmente menores, acumulan deriva. La tasa de falsos positivos de un sistema bien calibrado en enero puede haberse multiplicado por tres en septiembre sin que nadie haya tocado el equipo.

La disciplina de calibración exige una rutina periódica de revisión que en BOSWAU + KNAUER hemos integrado en el ciclo de servicio. Cada cuadrante se revisan las reglas activas contra el histórico de eventos, se identifican las categorías que han migrado hacia tasas insostenibles, y se ajustan los umbrales. Este trabajo no es glamoroso, no se publicita, no aparece en folletos. Es, sin embargo, la diferencia entre un sistema que sigue vivo en el quinto año y un sistema que se ha apagado silenciosamente en el segundo.

La calibración exige también una figura clara de responsabilidad. En despliegues donde la responsabilidad se reparte entre integrador, operador y fabricante, la calibración no la hace nadie. En despliegues donde una sola parte asume la disciplina, con datos compartidos y con un protocolo escrito, los números se mantienen estables. La pregunta que un operador debe hacer al fabricante no es si su sistema tiene precisión alta, es quién es responsable de mantener esa precisión a lo largo del ciclo de vida del contrato.

Las guías del CCN-CERT y los marcos de referencia que aplica el CNPIC en infraestructuras críticas señalan, sin entrar en este detalle operativo, que la eficacia de los sistemas de detección depende de su mantenimiento continuo. La traducción práctica de esa indicación es que la calibración debe figurar en el contrato, con cadencia, con métricas y con consecuencias contractuales si la tasa de falsos positivos supera el umbral acordado.

El operador como cliente real, no como usuario final

La videoanalítica se vende habitualmente al responsable de seguridad, al director de operaciones o al comité directivo. La persona que la usa, sin embargo, es el operador de turno. Entre quien compra y quien usa hay una distancia organizativa que el fabricante debe cubrir si quiere que su producto sobreviva. Cuando esa distancia se ignora, el sistema entra en una zona ciega. Los compradores quedan satisfechos con el cuadro de mando, los usuarios se enfrentan a una herramienta que les complica el turno, y el deterioro empieza el primer mes.

La pregunta que define la madurez de un fabricante de analítica es si ha pasado tiempo en una sala de control real con sus operadores reales. No una demostración, no una visita guiada, sino un turno completo, preferentemente nocturno, observando cómo se gestionan las alertas, cómo se anotan los cierres, dónde se acumulan las dudas. Esta presencia transforma el diseño del producto. Cambia la jerarquía de los avisos, modifica el lenguaje de las categorías, redefine los flujos de confirmación. Un fabricante que no ha hecho ese trabajo construye sobre supuestos. Quien lo ha hecho construye sobre evidencia.

En el libro de la casa, BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad, esta convicción aparece formulada en otros términos. El producto que se diseña sin haber sido usado por su fabricante hereda los defectos de quien no ha sufrido sus consecuencias. La videoanalítica no es una excepción. Es probablemente el caso donde esta regla se aplica con mayor severidad, porque el coste del mal diseño no se materializa en una avería visible sino en una desactivación silenciosa que nadie reporta.

El operador, además, tiene información que el comprador no tiene. Sabe qué tipos de falso positivo se repiten, sabe en qué franjas horarias el sistema se vuelve insufrible, sabe qué reglas se desactivaron extraoficialmente la semana pasada. Esta información, capturada de forma sistemática, es el insumo más valioso para la calibración. Un fabricante que no construye un canal directo con el operador renuncia a la fuente principal de mejora de su producto.

Por la misma razón, los criterios de éxito de un piloto no deben definirse solo en términos de detecciones logradas. Deben definirse también, y con igual peso, en términos de carga del operador, en alertas por hora, en tiempo medio de cierre, en proporción de eventos confirmados sobre eventos abiertos. Sin estos indicadores, el piloto produce una foto sesgada que se rompe cuando se entra en operación continua.

Lo que permanece

La economía de los falsos positivos es la economía oculta de la videoanalítica. No aparece en los folletos, no figura en los pliegos, y rara vez se discute con la franqueza necesaria en la conversación comercial. Sin embargo, es la cifra que decide si un sistema vive cinco años o se apaga en seis meses. Quien fabrica seguridad para operadores tiene la obligación de medir esta economía, de exponerla con honestidad y de comprometerse contractualmente con los umbrales que la hacen sostenible.

El operador que recibe esta lectura tiene tres caminos para verificarla en sus propios números. Puede empezar por una conversación confidencial de sesenta minutos en la que se analiza la situación actual de su sala de control y se identifican los puntos críticos sin compromiso ulterior. Puede avanzar a una auditoría de tres a cinco días que mide la carga real de falsos positivos en su instalación y entrega una matriz de calibración aplicable. O puede ir directamente a un piloto de noventa días sobre un emplazamiento definido, con métricas de operador establecidas antes de empezar, en el que la tasa de falsos positivos por hora se convierte en un indicador contractual. Los tres caminos están descritos en el libro BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad, y los tres tienen el mismo destino. Convertir una conversación abstracta sobre inteligencia artificial en una cifra concreta que el operador puede defender ante su comité.

Preguntas frecuentes

¿Cuánto cuesta un falso positivo?

En una sala de control española con personal cualificado, un falso positivo consume entre uno y cinco minutos de operador entre lectura, verificación y cierre. El coste directo se sitúa entre treinta céntimos y tres euros por evento, según convenio y categoría. El coste indirecto, que incluye coste de oportunidad sobre incidencias reales y desgaste del personal, multiplica esa cifra por dos o por tres. En instalaciones con miles de eventos diarios, el coste anual de los falsos positivos puede superar el coste de adquisición de la plataforma en menos de dos años.

¿Cuándo apagan los operadores?

La desactivación informal, en la que el operador cierra alertas sin investigarlas, aparece de forma sistemática por encima de ocho falsos positivos por hora y por persona. La desactivación formal, en la que se baja la sensibilidad o se desactivan reglas, llega cuando las quejas del turno alcanzan a la jefatura, lo que en centros con mala calibración ocurre entre la sexta semana y el cuarto mes desde la puesta en operación. A partir de ese momento, el sistema sigue encendido pero ha perdido función.

¿Cómo se mide la fatiga?

La fatiga del operador se mide combinando indicadores cuantitativos y cualitativos. Los cuantitativos incluyen tiempo medio de cierre de alerta, evolución de ese tiempo a lo largo del turno, proporción de alertas cerradas sin anotación y tasa de eventos reales detectados frente a eventos confirmados post facto. Los cualitativos provienen de entrevistas estructuradas con el personal de turno, idealmente al final de la jornada. La AEPD y las guías de ENISA sobre operación de centros de control aportan marcos metodológicos que pueden adaptarse al contexto español.

¿Quién calibra?

La calibración debe asignarse contractualmente a una sola parte, con cadencia trimestral mínima y con métricas verificables. En el modelo de BOSWAU + KNAUER, el fabricante asume esta responsabilidad como parte del servicio, con acceso al histórico de eventos del cliente y con un protocolo escrito que define los umbrales aceptables. Cuando la responsabilidad se reparte entre integrador, operador y fabricante sin un dueño claro, la calibración no la hace nadie y el sistema deriva. La pregunta correcta no es quién puede calibrar, es quién responde si la tasa sube.