Le diste acceso a tu tarjeta y tus redes a una IA: ¿sabés quién construyó ese sistema?

En los últimos dos años se multiplicó la cantidad de productos que prometen "automatizar tu vida con IA": agendar por vos, responder tus mensajes, armar tu currículum, optimizar tus finanzas, generar contenido para tus redes. Para hacer eso, casi todos piden lo mismo: acceso a tu cuenta de Google, permisos sobre tu Instagram o LinkedIn, o directamente el número de tu tarjeta.

La pregunta que casi nadie se hace antes de tocar "autorizar" es simple: ¿quién construyó este sistema, dónde corre y qué hace con lo que le estás dando?

El patrón se repite en todos lados

Un formulario prolijo, un logo con gradiente, un botón que dice "conectar con Google" o "iniciar sesión con Instagram". Detrás de esa pantalla puede haber una empresa con equipo de seguridad, contrato claro y servidores auditados, o puede haber dos personas que armaron el producto en un fin de semana con un modelo de IA, conectaron un par de APIs y lo subieron a un hosting gratuito sin pensar dos veces en cómo se guardan las credenciales que reciben.

Desde afuera, ambos casos se ven exactamente igual. La interfaz no dice nada sobre la infraestructura que hay detrás.

Qué estás entregando en realidad

Cuando conectás una cuenta o cargás una tarjeta en uno de estos servicios, no estás entregando un dato aislado. Estás entregando:

• Un token de acceso que en muchos casos sigue vigente incluso después de dejar de usar la app, si nadie se ocupó de revocarlo.
• El historial que ese token permite leer: contactos, mensajes, publicaciones, ubicación, hábitos de consumo.
• La confianza de que ese dato se procesa y se guarda de forma responsable, algo que no podés verificar mirando la landing page.

El problema no es la IA en sí. El problema es que la facilidad para construir estos servicios bajó tanto que cualquiera puede lanzar uno en días, y la velocidad de lanzamiento no viene acompañada, casi nunca, de la misma velocidad en seguridad, cumplimiento o transparencia.

Preguntas simples antes de dar acceso

No hace falta ser especialista en seguridad para filtrar la mayoría de los riesgos. Alcanza con hacerse tres preguntas antes de autorizar cualquier servicio:

1. ¿Quién está detrás? Una empresa real tiene página de "quiénes somos", términos de servicio y una forma de contacto que no sea solo un formulario. Si no encontrás nada de eso en dos minutos, es una señal.
2. ¿Pide más acceso del que necesita? Un servicio que solo debería leer tu calendario y te pide permiso para enviar mensajes en tu nombre está pidiendo de más. Cuanto más amplio el permiso, mayor el daño posible si algo sale mal.
3. ¿Puedo revocar el acceso fácil y después? Google, Meta y la mayoría de los bancos tienen un panel de "aplicaciones conectadas". Si nunca lo revisaste, probablemente tengas ahí servicios que dejaste de usar hace meses y siguen con acceso activo.

Por qué esto nos importa en Manivela

Venimos siguiendo de cerca el ángulo de ciberseguridad aplicada a organizaciones que hoy no tienen ningún tipo de auditoría activa, y este fenómeno es la versión para el usuario final del mismo problema: la IA bajó la barrera de entrada para construir software, pero no bajó la barrera de entrada para construirlo bien. Cualquiera puede levantar un sistema funcional en un fin de semana. Muy pocos se detienen a pensar cómo se protegen las credenciales que ese sistema va a recibir.

Cuando desarrollamos un sistema para un cliente, sea un panel interno, una integración con redes sociales o cualquier flujo que toque datos sensibles, el criterio es el mismo: pedir solo el acceso necesario, dejar claro dónde vive cada dato y documentar cómo se puede revocar. No porque sea un extra, sino porque es la diferencia entre un sistema confiable y uno que funciona hasta que deja de hacerlo.

Si estás por integrar IA en tu negocio o simplemente querés entender qué le estás dando acceso a tus herramientas actuales, hablemos.