Las herramientas de inteligencia artificial ya forman parte de los procesos de muchas pymes: resumen de reuniones, atención al cliente, documentación interna y automatizaciones. Cuando una persona deja la empresa, la gestión de accesos debe abarcar también estos servicios. Un cambio de contraseña del correo no garantiza que todas las sesiones, invitaciones y claves de integración hayan quedado invalidadas.
El objetivo es proteger información y mantener la continuidad de los proyectos sin acceder indebidamente a espacios personales. Para ello conviene preparar una lista de sistemas, un responsable de cada recurso y una comprobación final que pueda verificarse.
Localizar los espacios de trabajo vinculados al empleado
Las organizaciones suelen concentrar sus revisiones en el correo y el ordenador, mientras dejan activos accesos a servicios de transcripción, chatbots internos y repositorios de asistentes. Es necesario listar los entornos donde la persona tenía cuenta individual, rol de administrador, acceso mediante SSO o invitación a un proyecto externo. La revisión debe incluir los recursos que realmente utiliza el equipo y no solo las licencias facturadas a la empresa.
Separar los contenidos de empresa de las cuentas personales
Cuando se han creado conversaciones, agentes o archivos en un espacio de trabajo individual, conviene determinar quién puede acceder legítimamente a esos materiales y si existe una función autorizada de transferencia. La empresa debe respetar la privacidad y las condiciones del proveedor: disponer de un ordenador corporativo no concede automáticamente acceso indiscriminado a todo contenido asociado a una cuenta personal.
Revocar sesiones y credenciales sin interrumpir un servicio
La baja incluye eliminar invitaciones, cerrar sesiones y revisar tokens o claves API que hayan quedado en automatizaciones. Antes de invalidar una credencial compartida por error, el responsable técnico debe identificar qué integraciones dependen de ella, sustituirla por una clave de servicio bajo control corporativo y comprobar que la ejecución se mantiene. La salida de una persona no debe obligar a dejar accesos inseguros para que una automatización siga funcionando.
Conservar proyectos y registros con permisos proporcionados
Los flujos empresariales pueden depender de instrucciones, documentos de referencia y configuraciones que solo conocía quien abandona el puesto. Es recomendable documentar responsable, finalidad, ubicación y estado de cada proyecto. Las copias deben limitarse a la información necesaria, con plazos de conservación y permisos adecuados. El registro de cambios debe permitir identificar la versión operativa y restaurarla si una modificación provoca errores.
Revisar facturación, capacidad y usuarios autorizados
Retirar una cuenta no siempre reduce automáticamente el importe contratado. Conviene cotejar usuarios activos, plazas reservadas, facturación por consumo y herramientas de terceros. Si el plan incluye límites de almacenamiento o automatizaciones, hay que comprobar qué recursos seguirán disponibles para el nuevo responsable y cuándo se renovará la suscripción.
Cerrar la baja mediante pruebas verificables
La evidencia final debería indicar fecha de revocación, sistemas revisados, integraciones migradas, posibles excepciones y persona que valida el resultado. Se recomienda probar el acceso desde una sesión nueva y comprobar que las automatizaciones imprescindibles mantienen las funciones esperadas. Las incidencias pendientes deben permanecer visibles; un formulario de baja marcado como completado no demuestra por sí solo que se haya retirado cada permiso.
Cómo integrar esta revisión en el control habitual
Este procedimiento se relaciona con los accesos de proveedores externos, la migración de cuentas de correo, la atribución del consumo de API de IA, el control de entradas por formularios, el inventario de dominios y la conciliación de sistemas integrados.
La empresa puede consultar recomendaciones generales de ciberseguridad en el INCIBE. Las operaciones específicas de transferencia o borrado deben ajustarse a la configuración contratada, a las políticas corporativas y a las obligaciones aplicables.
Una baja bien ejecutada permite que el siguiente responsable se incorpore al proyecto sin recuperar contraseñas de un empleado anterior. La comprobación periódica de permisos ayuda además a detectar cuentas huérfanas antes de que se conviertan en una incidencia.
Fotografía: Yan Krukau / Pexels.
