Antes de que un agente de IA empiece a trabajar de verdad en tu empresa, conviene repasar con tu proveedor diez preguntas sobre claves y accesos. Cada una se contesta con un sí o con un no, y no hace falta saber de informática para entenderlas. Si alguna respuesta es no, no significa que haya que cancelar el proyecto: significa que hay algo que resolver antes de arrancar.
«En producción» quiere decir que el agente ya trabaja con datos reales y con tus clientes, no en una prueba. Es el momento en que un descuido con una clave deja de ser un detalle y puede convertirse en un problema.
¿Qué es una credencial y por qué conviene repasarlas antes de arrancar?
Una credencial es la clave con la que un agente entra en uno de tus sistemas: un usuario y una contraseña, o una llave digital que el programa presenta para demostrar que tiene permiso. Si tu agente lee el correo, consulta la agenda y escribe en tu programa de facturas, usa tres credenciales distintas, cada una con lo que permite hacer.
Se revisan antes de arrancar porque es el momento más barato para arreglarlas. Una vez que el agente trabaja, cambiar una clave puede obligar a pararlo, y una clave mal guardada puede llevar semanas circulando sin que nadie lo note. El repaso tarda poco y se hace con el proveedor delante.
Las diez preguntas
Lee cada pregunta en voz alta en la reunión y pide la respuesta por escrito.
- ¿Las cuentas de acceso están a nombre de mi empresa? Si la cuenta es de una persona del proveedor o de un empleado concreto, cuando esa persona se vaya, el acceso se va con ella.
- ¿Existe una lista de todas las claves que usa el agente? Con qué sistema se corresponde cada una, quién la creó y cuándo. Sin lista, no se puede controlar lo que no se sabe que existe.
- ¿Cada clave permite solo lo imprescindible? Si el agente solo necesita consultar la agenda, su clave no debería permitirle borrarla. Cuanto menos permite una clave, menos daño puede hacer si se pierde.
- ¿Las claves están guardadas en un lugar protegido? No en documentos, correos, mensajes ni escritas a la vista dentro del programa. Si dudas de si basta una solución sencilla, lo explicamos en gestor de secretos: cuándo lo necesita una pyme.
- ¿Las claves de pruebas son distintas de las del uso real? Que un error durante una prueba no pueda tocar los datos de tus clientes.
- ¿Está por escrito quién puede ver o cambiar las claves? Entre tu equipo y el proveedor. Si la respuesta es «todos», la respuesta práctica es «nadie».
- ¿Se pueden cambiar las claves sin parar el negocio? Y, además, ¿está acordado cada cuánto se renuevan o qué circunstancias obligan a cambiarlas?
- ¿Hay forma de cortar el acceso del agente de inmediato? Y sabes quién puede hacerlo. Es el botón de emergencia que esperas no usar, pero que debe existir.
- ¿Puedo pedir un registro de lo que ha hecho el agente con cada acceso? Si algo sale mal, el registro permite saber qué ocurrió y cuándo.
- ¿Está claro qué pasa con las claves cuando acabe el contrato o se marche alguien? Del proveedor o del equipo: quién las revoca, en qué plazo y cómo te lo confirman.
Si el agente toca datos personales
Si el agente accede a datos de tus clientes o empleados, hay dos comprobaciones más, que no son técnicas sino de organización. Pregunta a tu asesor o a tu delegado de protección de datos si el proveedor necesita un contrato específico para tratar esos datos por tu cuenta, y si lo que se hace con ellos encaja con lo que habéis informado a esas personas. La seguridad de los datos tiene que ser proporcional al riesgo que corren, y un acceso mal controlado es precisamente el tipo de fallo que conviene evitar.
¿Qué hago si alguna respuesta es no?
Una forma práctica de ordenarlo es separar lo que bloquea el arranque de lo que se puede planificar:
- Resolver antes de arrancar: las preguntas 1 (cuentas a nombre de tu empresa), 3 (permisos mínimos), 5 (pruebas separadas de lo real), 8 (corte inmediato) y 10 (qué pasa al terminar). Son las que más cuesta arreglar con el agente ya en marcha.
- Resolver en las primeras semanas, con fecha: las preguntas 2 (lista), 4 (guardado), 6 (quién puede qué), 7 (renovación) y 9 (registro). Pide que el proveedor te dé un plazo concreto por escrito.
Este orden es una propuesta, no una norma: en tu caso, con tus datos, puede variar. Lo importante es que cada «no» tenga un responsable y una fecha, no que se quede en una promesa.
Cómo llevar la reunión con el proveedor
- Pide que lo enseñe, no solo que lo cuente. Una captura de la lista de claves o del registro vale más que una explicación.
- Pide las respuestas por escrito, aunque sea en un correo corto. Facilita revisar si algo cambia después.
- Repite la lista cada vez que cambie algo importante: un agente nuevo, una conexión nueva, un cambio de proveedor.
- Nómbrate un responsable interno. Aunque delegues lo técnico, alguien de tu empresa debe saber que esta lista existe y dónde está.
Este repaso se complementa con controles de acceso de IA: permisos y credenciales de agentes, donde se explica cómo se reparten los permisos, y con diez preguntas antes de contratar tu primer agente, si todavía estás eligiendo proveedor.
Qué hace el agente y qué sigue haciendo una persona
El agente usa las claves para hacer su trabajo, pero no decide cuáles tiene, qué permisos le corresponden ni cuándo se retiran. Eso es de las personas: tú y tu proveedor acordáis el reparto, y alguien de tu equipo comprueba que se cumple. Un buen proveedor te lo pone fácil: te enseña la lista, te explica cada permiso y te dice quién puede cortar el acceso. Si cuesta conseguir cualquiera de esas respuestas, es una información útil en sí misma.
Conclusión
Un repaso de diez preguntas antes de arrancar evita los problemas de acceso más habituales: cuentas que no son tuyas, claves sueltas, permisos de más y accesos que nadie sabe cómo cortar. No exige conocimientos técnicos, solo constancia para pedir respuestas claras y por escrito.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, incluidos los accesos y permisos de cada uno, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.