¿Pueden los agentes de IA ejecutar un ERP?

Sí, bajo tres condiciones

La pregunta de si la IA puede ejecutar un ERP se plantea con dos preocupaciones diferentes detrás de ella. Una es si los modelos son lo suficientemente capaces, y la respuesta a eso ya está resuelta para el trabajo operativo rutinario: un modelo de frontera dado un resultado claro y un conjunto de herramientas tipificadas planificará los pasos, los llamará en orden, leerá lo que regresa y se recuperará cuando falte algo. La otra preocupación es si es seguro permitirlo, y eso depende completamente del sistema al que esté conectado.

La primera condición es que el ERP tenga herramientas. No una caja de chat al lado de las pantallas, sino una lista definida de acciones con nombres, entradas tipificadas y resultados que un agente puede descubrir y llamar. El estándar abierto para esto es el Model Context Protocol, que ahora hablan los principales clientes de agentes; un sistema empresarial que publica sus acciones como herramientas MCP puede ser operado por cualquiera de ellos.

La segunda condición es que cada llamada esté autorizada. El agente se conecta como una persona específica y solo puede recibir y ejecutar lo que esa persona está autorizada a hacer. El protocolo permite explícitamente que la lista de herramientas varíe con la autorización presentada, y su especificación requiere que los servidores implementen controles de acceso y validen cada entrada. Los sistemas que valen la pena confiar verifican en ambos puntos, cuando se ofrecen las herramientas y nuevamente cuando se ejecuta cada una.

La tercera condición es que el agente pueda conectarse en absoluto. Algunos productos permiten que solo su propio asistente integrado actúe, y ese asistente solo accede a las funciones que eligió el proveedor. Si el agente que ya usa tu equipo no puede apuntar al sistema, entonces si la IA puede ejecutarlo es una pregunta que el proveedor ya ha respondido por ti.

Cómo se ve ejecutarlo

La forma más clara de responder a la pregunta es observar cómo se procesa una solicitud. Acme Ltd ha sido cliente durante un tiempo, el trabajo de septiembre está completo, y el propietario quiere que se facture, se envíe al contacto y se persiga si no se paga en dos semanas. Aquí está esa solicitud mientras se ejecuta en un espacio de trabajo de Sois con el propio agente del propietario conectado.

El propietario no encontró el proyecto, no creó la factura, no la exportó, no la adjuntó y no creó un recordatorio. Describieron el resultado. La factura, el correo electrónico y la tarea existen en el sistema después exactamente como si lo hubieran hecho. En el día en que vence el recordatorio, el mismo agente puede verificar si llegó el pago y enviar el recordatorio, y el registro muestra ambas ejecuciones con sus entradas y resultados.

Lo que el agente realmente llama

Ayuda ver la forma de la cosa que se está llamando, porque no es magia y no es scraping de pantalla. Bajo MCP, un servidor responde a una solicitud de herramientas/lista con definiciones como la que se muestra a continuación. Este ejemplo sigue el formato y las reglas de nomenclatura de la especificación; los nombres que utiliza un producto dado diferirán, y una lista real abarca cientos de entradas en los módulos de un ERP.

{
  "name": "invoices.create",
  "title": "Create an invoice",
  "description": "Create a draft invoice for a customer from billable lines. Fails if the caller cannot raise invoices.",
  "inputSchema": {
    "type": "object",
    "properties": {
      "customer_id": { "type": "string" },
      "lines": {
        "type": "array",
        "items": {
          "type": "object",
          "properties": {
            "description": { "type": "string" },
            "quantity": { "type": "number" },
            "unit_amount": { "type": "number" }
          },
          "required": ["description", "quantity", "unit_amount"]
        }
      },
      "due_date": { "type": "string", "format": "date" }
    },
    "required": ["customer_id", "lines"]
  }
}

Una definición de herramienta MCP ilustrativa en la forma que define la especificación: un nombre, una descripción y un esquema JSON para entradas. El agente lee esto, decide cuándo usarlo y lo llama con argumentos.

Tres detalles en esa definición llevan la mayor parte de la seguridad. La descripción indica qué sucede cuando no se permite al llamador, por lo que el modelo sabe que una negativa es posible. El esquema de entrada está tipado, por lo que el servidor puede validar cada llamada en lugar de analizar prosa. Y la herramienta crea un borrador en lugar de una factura enviada, que es una elección de diseño que un buen ERP hace deliberadamente: separar el paso reversible del irreversible, para que una persona o una política puedan estar entre ellos donde el negocio lo desee.

Dónde se detiene

Una respuesta honesta traza la línea claramente. La tabla enumera las tareas operativas y de fin de mes comunes, si un agente puede ejecutarlas y qué lo detiene cuando no puede.

Los clientes que pueden hacer esto hoy

Debido a que la conexión se realiza a través de un protocolo abierto, el agente que ejecuta puede ser uno por el que ya pagas. Claude admite conectores personalizados a servidores MCP remotos en sus planes Free, Pro, Max, Team y Enterprise: agregas la URL del servidor, inicias sesión a través de OAuth y apruebas las llamadas a herramientas a medida que llegan, con una opción para permitir que una herramienta de confianza se ejecute sin supervisión. El modo de desarrollador de ChatGPT proporciona soporte completo para clientes MCP para herramientas de lectura y escritura en sus planes Pro, Plus, Business, Enterprise y Education en la web, con acciones de escritura que requieren confirmación por defecto. Los desarrolladores que construyen sus propios agentes en la API de Respuestas de OpenAI pueden apuntarlo a un servidor MCP remoto, restringir qué herramientas importa y decidir por herramienta si se requiere aprobación.

Los tres proveedores dicen lo mismo sobre la confianza, y vale la pena repetirlo: conéctate solo a servidores en los que confíes, porque un servidor malicioso puede leer lo que ingresa al contexto del modelo. Para un ERP, eso significa que el espacio de trabajo al que te conectas debe ser uno cuya capa de permisos hayas verificado, no uno que encontraste buscando.

Cómo empezar sin arriesgar el negocio

La forma segura de responder a la pregunta para tu propia operación es permitir que un agente maneje una parte de ella. Sois es una implementación del sistema descrito anteriormente: un espacio de trabajo es un servidor MCP en una dirección que pegas en cualquier cliente compatible, el inicio de sesión es un único paso de OAuth sin token que copiar, las herramientas se filtran según el rol del usuario antes de ser ofrecidas y se verifican nuevamente cuando se ejecutan, el acceso falla cerrado, el gasto puede ser limitado por integración, y cada acción se registra. Cuando tu propio agente realiza el razonamiento, la plataforma no ejecuta ninguna IA en tu nombre y no cobra nada por ello.

1. Iniciar un espacio de trabajoGratis para comenzar. Incorpora una parte de la operación, a menudo la facturación y el seguimiento, o la bandeja de entrada.
2. Conecta tu agentePega la dirección del espacio de trabajo en Claude, ChatGPT u otro cliente de MCP y accede una vez.
3. Dale un trabajoAlgo rutinario y revisable. La facturación de fin de mes es un buen primer trabajo porque las excepciones son obvias.
4. Lee el registro, luego amplíaCorrige lo que necesita ser corregido, eleva al usuario del agente al nivel de permiso adecuado y añade el siguiente trabajo.

Después de un mes de eso, la pregunta deja de ser si la IA puede gestionar un ERP y se convierte en cuáles trabajos no has delegado aún.

Preguntas que la gente hace

Este artículo se revisa cuando cambian los productos que describe. Próxima revisión programada: 4 de diciembre de 2026.