No hay un plazo mágico que valga para todas las empresas, y cambiar las claves de un agente cada semana por sistema suele dar más problemas que seguridad. Lo que sí necesitas es una regla escrita con dos partes: una revisión programada con fecha y una lista de hechos que obligan a cambiar la clave ese mismo día, sin esperar al calendario.
Un agente de IA trabaja con claves de acceso: son las llaves que le permiten entrar a tu correo, a tu programa de facturación o a tu agenda para hacer su trabajo. A un empleado le pides que cambie su contraseña y lo hace él. Con el agente nadie teclea nada: la clave vive escondida en la configuración, puede llevar años igual y, si nadie la apunta, tampoco sabrás quién llegó a verla. Esa es la razón de tener una regla.
¿Hay que cambiar las claves de un agente como las contraseñas de un empleado?
En parte. La idea de fondo es la misma: una llave que no se renueva nunca acumula riesgo, porque cuantas más personas y sistemas la han visto, más oportunidades hay de que acabe donde no debe. La diferencia es práctica. Cambiar la contraseña de una persona lleva un minuto; cambiar la clave de un agente obliga a actualizar el sistema donde trabaja y a comprobar que sigue funcionando. Si se hace mal, el agente deja de atender, de enviar o de registrar sin avisar a nadie.
Por eso conviene un calendario realista que se cumpla de verdad, antes que uno muy estricto que acaba saltándose. Y conviene distinguir: una clave que solo consulta datos poco delicados no merece el mismo ritmo que otra que puede enviar mensajes a tus clientes o mover información de facturas.
Una regla simple que puedes pedir por escrito
Si tu proveedor te la entrega en un documento de una página, ya tienes más de lo que tienen muchas empresas. Puedes pedir que incluya estas seis cosas:
- Un registro de claves. Una lista con cada clave: para qué agente es, qué puede abrir, quién responde de ella, cuándo se creó y cuándo toca revisarla.
- Una revisión con fecha. Por ejemplo, un plazo más corto para las claves que abren datos de clientes y uno más largo para las que no. El plazo exacto lo decidís con la persona que se ocupe de la seguridad en tu empresa; lo importante es que esté escrito y que alguien lo vigile.
- Cambio inmediato ante determinados hechos, que son los de la sección siguiente.
- Cambio ordenado. Primero se crea la clave nueva, se prueba, se pone en el agente y solo entonces se desactiva la antigua. Nunca al revés.
- Constancia por escrito. Cada cambio queda anotado con fecha, motivo y quién lo hizo, y te llega una confirmación.
- Permisos mínimos. Cada clave abre solo lo que ese agente necesita para su tarea, y una clave distinta por cada herramienta conectada, para saber cuál se ha comprometido si hay un problema.
Este último punto reduce el daño de cualquier incidente: si una clave abre poco, perderla duele menos.
¿Qué hechos obligan a cambiar una clave antes de tiempo?
Hay situaciones en las que no se espera a la fecha de revisión. Pídele a tu proveedor que las tenga por escrito como disparadores del cambio inmediato:
- Se va alguien que conocía la clave. Un empleado, un colaborador externo o un técnico del proveedor que ya no trabaja contigo. Es el mismo caso que cuando cambias la cerradura al salir un empleado con llaves; en el día que alguien se va y qué accesos cerrar tienes una lista para ese momento.
- La clave ha viajado por un canal inseguro. Si se mandó por correo, por mensajería o en una captura de pantalla, hay que darla por vista por más gente de la prevista. Lo explicamos en qué es una clave de API y por qué no va en un correo.
- Ha aparecido en un sitio visible, como un documento compartido con enlace abierto o una carpeta que se compartió por error.
- Se pierde o se roba un dispositivo donde estaba guardada o desde el que se administraba el agente.
- Te avisa el proveedor o la herramienta conectada de un incidente de seguridad.
- Notas comportamientos raros. El agente hace cosas que no le encargaste, hay accesos a horas extrañas o un consumo que no esperabas.
- Cambia el alcance del agente. Si vas a darle más permisos o a cambiar de proveedor, es buen momento para estrenar claves.
En cualquiera de estos casos la clave se cambia ese día, se anota el motivo y se comprueba que el agente sigue funcionando.
¿Qué ocurre con el agente mientras se cambia la clave?
Si el cambio está bien planteado, casi nada. La clave nueva se prepara antes, se instala en un momento de poca actividad y la antigua sigue activa unos minutos hasta confirmar que todo responde. Después se desactiva y se hace una prueba real: una consulta sencilla, un mensaje de ensayo, una factura de prueba.
El riesgo está en el orden contrario: desactivar la clave antigua antes de tener lista la nueva. Entonces el agente se queda sin acceso y, según cómo esté montado, puede dejar tareas a medias sin que se note hasta que un cliente pregunte. Pide a tu proveedor que te explique cuál es el plan si algo falla durante el cambio y quién atiende esas tareas mientras tanto. La respuesta normal debería ser que una persona de tu equipo las cubre hasta que el agente vuelva.
Quién hace qué en este proceso
Conviene repartir los papeles con claridad:
| Quién | Qué hace |
|---|---|
| Tú, como gerente | Apruebas la regla, recibes las confirmaciones de cada cambio y revisas el registro de vez en cuando. |
| Tu proveedor o su técnico | Crea las claves nuevas, las instala, las prueba y desactiva las antiguas. |
| El agente | Puede recordar que se acerca una fecha de revisión y ayudar a mantener el registro al día. |
| La persona de seguridad o tu asesor | Fija los plazos según lo sensibles que sean los datos que abre cada clave. |
Una nota de honestidad: el agente no debería crear ni cambiar sus propias claves por su cuenta. Es una decisión que aprueba una persona, igual que no dejarías que un empleado se diera permisos a sí mismo. Y si alguna de las claves da acceso a datos personales de tus clientes y sospechas que alguien no autorizado las ha visto, no lo resuelvas a solas: consulta cuanto antes a tu asesor de protección de datos, porque puede haber obligaciones de aviso con plazos cortos.
Para profundizar en cómo se reparten los permisos de un agente en general, tienes controles de acceso de IA: permisos y credenciales de agentes.
Conclusión
Cada cuánto cambiar las claves de un agente de IA tiene una respuesta que no es un número, sino una costumbre: un registro de claves, una revisión con fecha, una lista de hechos que obligan a cambiarlas el mismo día y un cambio ordenado que no deje al agente sin acceso. Con una página escrita y una persona responsable, el asunto queda bajo control sin convertirlo en una tarea diaria.
En MG Solutions construimos agentes de IA específicos para cada empresa, con sus permisos y sus claves documentados desde el principio y adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.