Cómo revisar la propiedad de cuentas y conexiones al cambiar de proveedor de IA

Haz un inventario orientado a decisiones

Para cada recurso anota titular contractual, administrador, pagador, propietario de los datos y uso en el flujo. Marca si pertenece a la empresa, al proveedor saliente o a una cuenta personal. Comprueba el panel y el contrato cuando proceda; el nombre visible del proyecto no acredita titularidad. Identifica también los servicios auxiliares que seguirían facturando aunque el modelo ya no reciba peticiones.

Elige transferir, reconstruir o retirar

Verifica en la documentación y las condiciones del servicio si existe transferencia y qué conserva. Cuando no sea posible o resulte inadecuada, prepara un recurso nuevo y migra únicamente lo autorizado. Revisa formatos exportables, dependencias y pruebas necesarias. No copies credenciales antiguas como si fueran configuración portátil: crea identidades y conexiones con propietario y permisos adecuados en el destino.

Comprueba la autoridad en los sistemas conectados

Consulta qué aplicaciones tienen acceso a correo, CRM o repositorios y quién otorgó ese acceso. Diferencia leer datos de enviar mensajes o modificarlos. Prueba el destino con un usuario limitado, incluida una denegación esperada. Planifica la revocación del origen sin interrumpir tareas que todavía requieran conciliación y sin mantener dos agentes con capacidad de escribir sobre el mismo caso por accidente.

Cierra la revisión con evidencia de control

Una persona de la empresa debe poder administrar, recuperar acceso y recibir alertas de los recursos aceptados. Registra responsables, fecha de cambio, permisos retirados y facturas pendientes. Ejecuta un caso autorizado en el entorno nuevo y comprueba que el anterior ya no inicia trabajo. Esta revisión es distinta de comparar calidad entre modelos: necesitas ambas comprobaciones cuando cambias el servicio. Documenta las dependencias que siguen bajo contrato del proveedor y su procedimiento de salida.

Revisa cómo recuperaría acceso la empresa si cambia la persona administradora. Comprueba los contactos y procedimientos disponibles sin simular una pérdida real de credenciales. La propiedad práctica incluye poder administrar el recurso después de la transición, no solo pagarlo.

Fuentes y documentación

• OWASP — Excessive Agency — Distingue funcionalidad, permisos y autonomía excesivos.
• NIST — AI RMF Core — Marco voluntario para asignar responsabilidades y gestionar riesgos durante el ciclo de vida.