Cómo revisar los permisos de una herramienta de IA antes de conectarla a tus archivos

Una autorización para usar una herramienta de IA con archivos no describe por sí sola todo el recorrido de los datos. Puede haber varias piezas: el servicio de IA, la aplicación desde la que lo usas, una cuenta de trabajo y un conector que permite buscar o actuar sobre documentos. Antes de aceptar, identifica el nombre del servicio, quién lo publica y qué cuenta o repositorio vincularías. Si no puedes determinar cuál de esas piezas pide acceso, detente y busca su documentación oficial antes de continuar.

La pregunta práctica no es solo «¿tiene acceso a mis archivos?», sino a cuáles, para qué operaciones y desde qué contexto. Distingue entre una función integrada en una suite de trabajo y una aplicación externa que solicita autorización en tu cuenta. No asumas que los ajustes de una cubren a la otra. Tampoco interpretes la presencia de una pantalla de consentimiento como prueba de que el acceso queda limitado a un archivo concreto: revisa el alcance que muestra la pantalla y la explicación del proveedor.

Busca si el permiso permite ver, buscar, editar, crear, compartir o eliminar contenido. Esas capacidades tienen consecuencias distintas. Una herramienta que solo necesita localizar documentos no debería recibir, sin una explicación clara, atribuciones para modificarlos o compartirlos. Esta es una regla de revisión prudente, no una garantía de que todas las plataformas ofrezcan permisos separados ni de que el texto de autorización detalle cada operación interna.

En entornos de Microsoft 365, la documentación de Copilot describe la relación entre la protección de datos, los permisos de la organización y el acceso al contenido; Microsoft también documenta etiquetas de confidencialidad y controles de gobernanza para datos de SharePoint. Estas páginas sirven para formular preguntas sobre el entorno y sus controles, pero no demuestran por sí solas qué permisos exactos solicita una integración concreta ni cómo está configurado un tenant particular. Comprueba siempre el producto y la cuenta específicos. Documentación de protección de datos de Copilot y etiquetas de confidencialidad.

Lee la política o el centro de privacidad aplicable al servicio que vas a utilizar. Busca qué datos se recogen, con qué fines, durante cuánto tiempo se conservan y si se usan para mejorar modelos o servicios. Comprueba también si las condiciones cambian entre cuentas personales y empresariales: no traslades automáticamente una declaración de una modalidad a otra. Si la documentación no responde a una pregunta, considérala pendiente; no la completes por inferencia.

Los centros de ayuda de Google describen opciones e información de privacidad para las aplicaciones Gemini, y Google ofrece instrucciones para administrar conexiones entre la Cuenta de Google y otros desarrolladores. Son fuentes primarias para conocer lo que Google documenta sobre sus propios servicios y mecanismos, no una evaluación externa que certifique el comportamiento de cualquier aplicación conectada. Del mismo modo, la documentación de Microsoft sobre Copilot explica las condiciones declaradas para sus productos, pero no verifica la configuración concreta de cada empresa. Centro de privacidad de Gemini y administración de conexiones de la Cuenta de Google.

Antes de autorizar, localiza el lugar donde se administran las conexiones de la cuenta y confirma que podrás volver a él. Google documenta cómo gestionar vinculaciones con desarrolladores externos; en Android, Google Play ofrece instrucciones para cambiar permisos de aplicaciones. Son controles distintos: retirar una conexión de cuenta no equivale necesariamente a modificar los permisos del sistema operativo, y cambiar estos últimos no demuestra que se haya borrado información que el servicio ya hubiera recibido.

Una comprobación sencilla antes de conectar es guardar el nombre de la aplicación y el alcance que aparece en la pantalla de autorización. Después, verifica en la configuración de la cuenta que la conexión figure entre las autorizadas y que exista una opción para retirarla. Al revocar, revisa además las instrucciones del proveedor sobre eliminación o conservación de datos: quitar el acceso futuro no prueba que se eliminen copias, registros o contenido ya procesado. Las opciones y sus efectos pueden depender del servicio y de la cuenta. Permisos de aplicaciones Android y vinculaciones de la Cuenta de Google.

Antes de conceder acceso, responde estas preguntas con documentación o con la pantalla de autorización delante: ¿quién publica la integración?, ¿qué cuenta conecta?, ¿qué tipos de contenido puede alcanzar?, ¿qué operaciones permite?, ¿qué explica el proveedor sobre uso y conservación?, ¿dónde se revoca el acceso? Si una respuesta afecta a documentos sensibles y no puedes verificarla, pospón la conexión o consulta al administrador de tu organización. En una cuenta de trabajo, la política interna puede imponer límites adicionales.

Las guías sobre seguridad de MCP y acceso a archivos de IA pueden ayudar a identificar riesgos y preguntas para una revisión, pero una guía secundaria no sustituye la documentación del proveedor ni una evaluación de la integración que vas a usar. La evidencia disponible aquí tampoco permite confirmar un cambio reciente de permisos en una herramienta determinada, ni especificar el comportamiento de todos los conectores del mercado. La conclusión útil es más acotada: autoriza solo después de entender el alcance documentado, y trata como desconocido lo que el proveedor no explica. Guía de SentinelOne sobre seguridad de MCP.