Empezar con información permitida
Confirmar derechos, minimizar entradas y usar primero ejemplos sintéticos o anonimizados autorizados. Acordar almacenamiento, ubicaciones, retención y eliminación antes de usar datos del cliente.
Accesos claros. Responsabilidad humana.
Los datos y permisos forman parte del diseño, antes de conectar cualquier sistema.
Usar accesos del cliente
Preferir cuentas identificadas y controladas por el cliente con los permisos mínimos necesarios. Los secretos permanecen en un almacén aprobado, nunca en documentos, código o prompts.
Controlar acciones relevantes
Definir herramientas, revisiones y aprobadores. Las instrucciones dentro de documentos consultados no autorizan enviar mensajes, gastar ni cambiar registros.
Evaluar y preparar una alternativa
Probar entradas incompletas, afirmaciones sin soporte, inyección de instrucciones, aislamiento y fallos. Mantener alternativa manual, responsable de incidentes y reversión.
Describir garantías reales
No se afirma SOC 2, certificación GDPR ni otro estado formal de cumplimiento. Los requisitos legales, de seguridad y compras de cada cliente requieren evidencia y revisión calificada.
Preparar entrega y salida
Documentar cuentas, licencias, exportación, retención/eliminación y revocación de acceso. Soporte, software reutilizable y dependencias de proveedores deben quedar explícitos.