Publicado el
8 MIN DE LECTURA
MCP para empresas: qué exigir antes de conectar la IA
Por:
MCP para empresas es el uso del Model Context Protocol, un estándar abierto, para conectar asistentes de IA a los sistemas internos de la empresa, como CRM, ERP y bases de datos. El protocolo resuelve la conexión, no la seguridad. Quien contrata necesita exigir una autorización correcta, alcance mínimo, auditoría y un comienzo solo de lectura.
La conversación suele llegar por el lado equivocado: alguien vio una demostración en la que la IA consulta pedidos y responde a clientes, y quiere lo mismo para mañana. En Wama, la IA entra en código y automatización, con Claude Code y los agentes de Framer, y todo resultado pasa por una lectura humana antes de llegar al cliente. Esa regla, descrita en el texto sobre Claude Code en el desarrollo, vale todavía más cuando la IA obtiene acceso a datos reales.
¿Qué es MCP y por qué debería importarle a la empresa?
MCP es un protocolo que estandariza cómo una aplicación de IA descubre y llama herramientas externas. Cada sistema obtiene un servidor MCP que expone acciones (consultar un cliente, abrir un ticket, generar un informe), y el asistente decide cuándo usar cada una. Antes, cada integración se hacía a mano, una por modelo y una por sistema.
Para la empresa, el efecto práctico es que la IA deja de ser una ventana de chat y pasa a actuar dentro de la operación. Los grandes proveedores ya ofrecen servidores listos: Microsoft documenta un servidor MCP para Microsoft Graph, en una página del 20 de mayo de 2026, que da a los agentes acceso a datos de Microsoft 365. Este movimiento se parece a lo que pasó con los agentes de IA de Framer para empresas: la herramienta se vuelve fácil de conectar, y la decisión sobre lo que puede tocar sigue siendo tuya. Quien ya investigó cómo la IA lee un sitio web, en el caso de ChatGPT creando sitios web para empresas, nota el salto: aquí lee y escribe en el sistema.
¿Qué riesgos ya mapeó OWASP en MCP?
OWASP, la fundación que publica las listas de riesgos más usadas en seguridad de software, mantiene un MCP Top 10, en versión beta en la página actualizada el 13 de septiembre de 2026. La lista empieza por la mala gestión de tokens y la exposición de secretos (MCP01) y la escalada de privilegios por un alcance que crece de a poco (MCP02).
Luego vienen el envenenamiento de herramientas, los ataques a la cadena de dependencias, la inyección de comandos y la inyección de instrucciones ocultas en el contenido que lee el modelo. Los tres últimos ítems le interesan a quien decide: falta de auditoría y telemetría (MCP08), servidores MCP instalados sin aprobación (MCP09) y contexto compartido más allá de la cuenta (MCP10).
La lectura práctica es directa. Un servidor MCP es un software con credenciales en la mano, recibiendo órdenes de un modelo que puede ser engañado por cualquier texto. Por eso el cuidado se parece al de cualquier capa de protección del sitio web, como el firewall de Framer: una barrera en la puerta ayuda, pero no reemplaza saber quién entra y qué puede hacer.
Lo que la especificación exige en la autorización
La especificación de autorización de MCP, versión del 25 de noviembre de 2025, es la regla técnica para servidores accesibles por la red. Sigue OAuth 2.1 y trae exigencias que el comprador puede pedir en el contrato, incluso sin leer código.
PKCE obligatorio: el cliente de IA debe usar esta protección en el flujo de login, lo que impide que un código de autorización robado se convierta en acceso.
Token con destino correcto: el servidor debe validar que el token fue emitido para él y rechazar cualquier otro.
Sin reenvío de token: el servidor no puede aceptar el token del usuario y reenviarlo intacto a otra API.
HTTPS en todas las direcciones de autorización, sin excepción para el entorno de producción.
En una empresa regulada, esta conversación se suma a lo que ya se exige en el desarrollo de software para fintech: registro de quién accedió a qué y permisos por perfil. Si el proveedor no sabe responder cómo cumple estos cuatro puntos, el proyecto todavía es un prototipo.
¿Por qué empezar solo con lectura?
Empezar con herramientas solo de lectura limita el daño posible mientras el equipo aprende cómo se comporta el asistente con datos reales. La guía de patrones corporativos de Microsoft para MCP recomienda exactamente ese orden: primero servidores solo de lectura, una lista de servidores aprobados, la identidad del usuario preservada de punta a punta y aprobación humana antes de cualquier escritura de alto impacto.
La misma guía hace una advertencia que vale oro para quien compra: el gateway no puede ser el único punto de control. Los permisos y alcances también deben verificarse dentro del servidor MCP y en la propia base de datos, en capas.
Wama aprendió, usando IA en la construcción de sus propios proyectos, que acelera la construcción, no la decisión; el plazo total no cambió. Con MCP pasa lo mismo: conectar el servidor es rápido, decidir qué acciones expone y quién aprueba cada escritura es el trabajo de verdad. Quien piensa en crear un SaaS con IA se topa con la misma pregunta tarde o temprano.
Checklist para pedirle al proveedor
Este checklist resume lo que piden la especificación, OWASP y la guía de Microsoft, traducido en preguntas que caben en una reunión de propuesta.
Pregunta al proveedor | Respuesta que quieres escuchar |
|---|---|
¿Qué herramientas expone el servidor en la primera fase? | Una lista corta, solo de lectura. |
¿Con qué identidad accede la IA a los datos? | Con la del usuario, nunca con una cuenta maestra. |
¿Cómo se valida el token? | OAuth 2.1 con PKCE y verificación de destino. |
¿Dónde quedan los secretos? | En una bóveda, con validez corta, fuera del prompt. |
¿Qué queda registrado? | Cada llamada, con usuario, herramienta y resultado. |
¿Quién aprueba una acción de escritura? | Una persona, antes de la ejecución. |
Pregunta también quién será el dueño del código del servidor. Cuando el cliente exige ser dueño del código, Wama lleva el proyecto a desarrollo a medida, y la misma lógica sirve aquí: un servidor MCP que toca tus datos debería quedar en tu cuenta, como explica el artículo sobre software a medida con propiedad del código.
Errores comunes
Instalar un servidor de internet sin revisión. Un servidor MCP abierto es una dependencia como cualquier otra y puede traer código malicioso.
Usar una cuenta de servicio con acceso a todo. La IA pasa a ver lo que ningún usuario debería ver, y la auditoría pierde el rastro de quién pidió qué.
Confiar solo en el gateway. Si la verificación de permisos vive en un solo lugar, una falla ahí abre el resto.
Habilitar escritura en el primer mes. Abrir tickets, enviar correos o modificar registros sin aprobación humana convierte el error del modelo en error de la empresa.
No medir. Sin registro de llamadas, nadie sabe si el asistente ayudó o solo gastó. Vale la misma disciplina de producto que guía el desarrollo de SaaS: hipótesis, uso real, ajuste.
Preguntas frecuentes
¿MCP reemplaza a una API?
No. El servidor MCP normalmente se ubica delante de APIs que ya existen y las describe de una forma que el modelo de IA entiende. La API sigue haciendo el trabajo, con sus propias reglas de permisos. Por eso la seguridad debe existir en las dos capas, y no solo en el servidor MCP recién instalado.
¿Necesito un servidor MCP a medida?
Depende del sistema. Las herramientas grandes, como Microsoft 365, ya tienen servidores oficiales, y vale la pena empezar por ellos. Un sistema interno, heredado o con reglas de negocio propias casi siempre pide un servidor hecho a medida, con herramientas diseñadas para lo que el equipo realmente necesita consultar y nada más.
¿MCP es seguro para datos sensibles?
El protocolo se puede usar de forma segura, pero no garantiza seguridad por sí solo. La especificación define la autorización con OAuth 2.1, y OWASP enumera diez riesgos todavía en versión beta. Con datos sensibles, empieza solo con lectura, con la identidad del propio usuario, registro de cada llamada y revisión humana de lo que sale.
¿Wama usa IA en sus propios productos?
Sí. ManyFeed, el SaaS de prueba social de la propia Wama, se construyó con IA. En el día a día de los proyectos, la IA entra en código y automatización, con Claude Code y los agentes de Framer, y ningún resultado llega al cliente sin una lectura humana previa. Las decisiones de producto siguen siendo de personas.
¿Por dónde empezar un proyecto de MCP en la empresa?
Elige un proceso con muchas consultas repetidas y poco riesgo, como buscar el estado de un pedido. Enumera las herramientas mínimas, solo de lectura, conéctalas con la identidad del usuario y registra todo durante algunas semanas. Con el uso medido, discute qué escrituras valen la aprobación humana y la inversión.
Si tu empresa está pensando en conectar la IA a un sistema propio y quiere empezar por el alcance correcto, conversa con Wama sobre el proyecto.
