El vendedor no va a abrir una terminal

Todo lo que hemos montado hasta aquí —el orquestador, el harness, los agentes, las trazas— es invisible. Y tiene que seguir siéndolo. Porque quien lo va a usar de verdad es Wilmer, el vendedor, que tiene 22 años, atiende el mostrador con las manos ocupadas y no va a abrir una ventana negra a escribir comandos. Si la herramienta le estorba, no la usa. Y si no la usa, el proyecto fracasó, por muy bien que esté hecho por dentro.

La pregunta de esta lección es esa: ¿qué ve Wilmer?

Y la respuesta empieza por una idea que no es de programación: un cajero automático. Por dentro tiene una red bancaria, cifrado, autorizaciones, auditoría. Por fuera tiene cuatro botones grandes. Nadie le enseña a nadie a usar un cajero. Eso es lo que hay que construir.

Tres pantallas, no un chat

El primer impulso de todo el mundo es poner un chat: una cajita donde el usuario escribe lo que quiera. Es lo peor que se puede hacer con alguien no técnico, por tres razones.

La primera: la página en blanco asusta. Wilmer no sabe qué se le puede pedir. Va a escribir «hola», va a recibir algo genérico, y no vuelve.

La segunda: el chat invita a pedir cualquier cosa, incluidas las que el sistema no hace bien. Wilmer pregunta «¿cuánto vendimos el año pasado?» y el sistema, que solo sabe de documentos, se inventa una cifra.

La tercera: en un mostrador, escribir es lento.

Lo que sí funciona son botones que corresponden a las tareas reales. La regla: una pantalla por cada cosa que la persona hace de verdad, y nada más.

Pantalla uno — Buscar. Una caja de búsqueda grande y, debajo, tres o cuatro búsquedas frecuentes ya escritas, para tocar con el dedo: «Precio de un producto», «¿Llegó la remisión de un proveedor?», «Garantía de un contrato». Wilmer toca una, le cambia el nombre, y listo. La respuesta viene con la fuente: «Contrato 2026-014, cláusula 7, página 3» —y esa línea se puede tocar para ver el documento original. Sin fuente, no se muestra la respuesta.

Pantalla dos — Subir. Un cuadro grande que dice «Suelte aquí la foto de la factura». Wilmer la toma con el celular y la suelta. El sistema responde una sola cosa: «Recibida. Le avisamos cuando esté lista». Nada más. Todo lo que pasa después —el ruteo, el OCR, la extracción, la validación— es invisible.

Pantalla tres — Pendientes. Solo la ve doña Marta, porque solo ella aprueba. Una lista de facturas con la confianza baja. Cada una muestra, lado a lado, el documento a la izquierda y las casillas a la derecha. Ella mira, corrige un dato si hace falta, y toca «Aprobar». Eso es todo su trabajo en el sistema: mirar y aprobar. Antes transcribía.

Las cinco reglas de la pantalla

Cada respuesta trae su fuente, y se puede abrir. Es lo que separa una herramienta de un oráculo. Si el sistema no puede citar de dónde lo sacó, dice «no lo encontré en los documentos», y ya. Nunca inventa.

El sistema dice que no sabe. Con todas las letras: «No encontré eso en los documentos que tengo». Un sistema que nunca dice que no sabe, miente.

Cada quien ve lo suyo. Wilmer entra y ve inventario y precios. Marta entra y ve además contabilidad y contratos, y la lista de pendientes. El gerente lo ve todo. No es que las opciones estén escondidas: es que no existen para quien no tiene permiso. Y eso no se decide en la pantalla —se decide antes de buscar, en el archivador (módulo 6).

Lo que no se puede deshacer, pregunta. Registrar un pago, mandarle un correo al proveedor: eso muestra un cartel con lo que va a pasar, y espera a que una persona con permiso diga que sí.

Se entra sin contraseña nueva. Wilmer ya tiene una clave de la empresa. Toca el ícono, pone la huella, entra. Una contraseña más es una contraseña anotada en un papel debajo del teclado.

Lo que hay detrás de cada botón

Wilmer toca «Buscar precio». Lo que pasa, y que él nunca ve:

La pantalla le manda la pregunta al harness, junto con quién es —eso lo pone la portería, no la pantalla; si lo pusiera la pantalla, alguien podría mentir—. El reglamento de la oficina —el harness— mira qué grupos tiene Wilmer y con eso va al archivador: solo busca en lo que él puede ver. Trae veinte carpetas, las afina a cinco, se las pone al Modelo sobre la mesa junto con la pregunta, y le exige que responda con casillas: respuesta, fuente, confianza. Si la confianza es baja, la pantalla no le muestra a Wilmer una respuesta insegura: le muestra el documento y le dice «revíselo usted». Y todo eso —quién preguntó qué, qué documentos se usaron, cuánto tardó, cuánto costó— queda en el cuaderno.

Wilmer vio: un botón, tres segundos, una respuesta con un enlace. Ese es el trabajo bien hecho.

Paso a paso: diseñar la pantalla

1. Siéntese al lado de la persona un día entero. Anote las cinco cosas que hace de verdad, con sus palabras. No con las suyas.
2. Descarte tres. Se queda con las dos más frecuentes. Esas son sus dos primeras pantallas.
3. Dibújelas en papel y muéstreselas. Si tiene que explicar algo, está mal: redibuje.
4. Escriba las búsquedas sugeridas con las palabras de ella, no las suyas. «¿Ya llegó lo de Tornillería?» le gana a «Consultar estado de remisión».
5. Haga que la fuente se pueda tocar desde el primer día. Es la función que genera confianza.
6. Póngale el cartel de confirmación a todo lo irreversible antes de dejar entrar a nadie.
7. Pruebe con la persona real, sin ayudarla. Cronometre cuántos segundos tarda en hacer su tarea. Anote cada vez que pregunta algo: cada pregunta es un botón mal puesto.
8. Mire el cuaderno a la semana. Lo que nadie usó, se quita. Una pantalla con seis botones de los que se usan dos es una pantalla con cuatro estorbos.

La trastienda

• La identidad no la manda la pantalla: el proxy inverso valida contra el SSO y pasa cabeceras (usuario, grupos) que el harness lee. Un servicio alcanzable sin pasar por el proxy permitiría falsificarlas: por eso solo escucha al proxy (módulo 3.2).
• Filtro de permisos en la consulta al índice (permisos && grupos), nunca como post-proceso ni como instrucción en el prompt (módulo 6.3, OWASP LLM01).
• La respuesta llega con esquema: {respuesta, fuentes[], confianza}. Umbral 0,8: por debajo, la interfaz muestra el documento en vez de la respuesta.
• Acciones irreversibles → cola de aprobación (módulo 10.4), con el original al lado.
• Cada petición escribe una traza atribuida (módulo 11.2): usuario, fuentes por id, tokens, ms.
• Stack sugerido: la interfaz puede ser una página sencilla servida por el mismo nodo de servicios; si ya existe Open WebUI, sirve para el gerente, no para el mostrador —ahí van las tres pantallas propias.

Ver módulos 3.2, 6.3, 10.4, 11.1 y 11.2.