MCP (Model Context Protocol) es un estándar abierto que permite conectar asistentes y agentes de IA con los sistemas de tu empresa (ERP, CRM, bases de datos, documentos) mediante una interfaz común. En lugar de construir una integración distinta para cada asistente, construyes un servidor MCP una vez y lo reutilizas en todos los clientes compatibles. Bien implementado ahorra meses de integración; mal implementado abre una puerta directa a tus datos.
¿Qué es MCP y quién está detrás?
MCP es un protocolo abierto que estandariza cómo una aplicación de IA descubre y usa datos, herramientas y flujos de trabajo externos. Su propia documentación lo compara con un puerto USB-C: un conector único para que cualquier aplicación de IA compatible se enchufe a cualquier sistema que exponga ese conector.
Anthropic lo presentó como estándar abierto el 25 de noviembre de 2024. El 9 de diciembre de 2025, Anthropic donó MCP a la Agentic AI Foundation (AAIF), un fondo dirigido bajo la Linux Foundation cofundado por Anthropic, Block y OpenAI, con apoyo de Google, Microsoft, AWS, Cloudflare y Bloomberg. Esto importa para una decisión empresarial: MCP ya no depende de un solo proveedor, tiene gobernanza neutral y lo soportan clientes como Claude, ChatGPT, Gemini, Microsoft Copilot, Visual Studio Code y Cursor. Al momento de la donación, Anthropic reportaba más de 10,000 servidores MCP públicos activos.
La especificación se versiona por fecha y sigue evolucionando (la versión vigente al escribir esta guía es la 2026-07-28). Para tu equipo técnico eso significa revisar la versión que soporta cada cliente antes de construir.
Cómo funciona: hosts, clientes, servidores y sus tres primitivas
La arquitectura tiene tres piezas. El host es la aplicación de IA que usa la persona (un asistente de escritorio, un IDE, tu propio chatbot). Dentro del host, un cliente MCP mantiene la conexión con cada servidor MCP, que es el programa que expone un sistema concreto: tu CRM, tu base de datos de inventario o tu repositorio de documentos. Los mensajes viajan en formato JSON-RPC 2.0, ya sea localmente (stdio) o por la red (HTTP).
Un servidor puede ofrecer tres tipos de capacidades:
| Primitiva | Qué es | Ejemplo empresarial |
|---|---|---|
| Tools (herramientas) | Funciones que el modelo puede ejecutar | Consultar el saldo de un cliente, crear un ticket, registrar un pedido |
| Resources (recursos) | Datos y contexto que el modelo o el usuario puede leer | El catálogo de productos, una política interna, el esquema de una base de datos |
| Prompts | Plantillas de instrucciones reutilizables que el usuario elige | "Resumen semanal de cartera vencida", "Análisis de un contrato" |
La diferencia clave para seguridad: las herramientas las decide invocar el modelo, no el usuario. Por eso la especificación recomienda que siempre haya una persona con capacidad de rechazar invocaciones de herramientas.
Por qué le importa a tu empresa
Antes de MCP, conectar un asistente de IA con tus sistemas significaba código a medida para cada combinación de modelo y sistema. Si mañana cambiabas de proveedor de IA, tocaba rehacer integraciones. Con MCP el problema de "N asistentes por M sistemas" se reduce a construir un servidor por sistema.
- Integras una vez, reutilizas muchas: el mismo servidor MCP de tu ERP sirve para el asistente interno, para el IDE de tus desarrolladores y para un agente de atención al cliente.
- Menos dependencia de un proveedor: puedes cambiar de modelo (Claude, GPT, Gemini u open source) sin rehacer la capa de integración. Para elegir modelo, revisa nuestra guía sobre cómo elegir entre Claude, GPT u open source.
- Control centralizado: el servidor MCP es un punto único donde aplicar permisos, registros de auditoría y límites de uso, en lugar de dispersarlos en varias integraciones.
- Ecosistema existente: muchos proveedores de software ya publican servidores MCP oficiales, y existe un registro oficial en registry.modelcontextprotocol.io para descubrirlos.
Casos de uso concretos
MCP es la "tubería" que permite que un agente de IA actúe sobre tus sistemas. Casos donde vemos más valor para empresas medianas:
- Consultas al ERP en lenguaje natural: "¿Qué clientes tienen facturas vencidas a más de 60 días?" contra tu sistema contable, en modo solo lectura.
- Atención al cliente con contexto: un asistente que consulta el estado de un pedido o un reclamo en tu CRM antes de responder por WhatsApp o correo.
- Base de conocimiento interna: exponer manuales, políticas y procedimientos como recursos. Si el volumen de documentos es grande, combínalo con RAG empresarial.
- Operaciones de TI y desarrollo: conectar el repositorio de código, el gestor de tickets y la documentación técnica al asistente de programación.
- Reportes recurrentes: prompts predefinidos que generan el mismo reporte con datos actualizados cada semana.
Para una pyme ecuatoriana, piensa en datos que ya tienes estructurados: cartera, inventario, pedidos, historial de clientes. Un servidor MCP de solo lectura sobre esos datos es un primer proyecto de bajo riesgo y alto valor.
Seguridad en MCP: los riesgos que debes conocer
Conectar un modelo de lenguaje a sistemas reales cambia el perfil de riesgo: el modelo puede ser manipulado por el contenido que lee. La documentación oficial de MCP publica una guía de buenas prácticas de seguridad y la especificación es explícita: las herramientas representan ejecución de código arbitrario y deben tratarse con cautela. Los riesgos principales:
- Envenenamiento de herramientas (tool poisoning): descrito por Invariant Labs en abril de 2025. Un servidor malicioso esconde instrucciones en la descripción de una herramienta; el usuario no las ve, pero el modelo sí, y puede terminar leyendo archivos sensibles y enviándolos fuera. Una variante es el "rug pull": el servidor cambia la descripción de una herramienta después de que la aprobaste.
- Servidores no confiables: un servidor MCP local se ejecuta con los permisos de tu usuario. OWASP documenta un paquete MCP malicioso de correo que copiaba en BCC los emails enviados a un atacante. Trátalos como cualquier dependencia de software: origen verificado, versión fijada y revisión.
- Confused deputy (diputado confundido): un servidor MCP que actúa como intermediario con una API de terceros puede terminar entregando acceso a quien no corresponde si no exige consentimiento por cada cliente. La guía oficial lo marca como obligatorio.
- Reenvío de tokens (token passthrough): un servidor que acepta tokens emitidos para otro servicio y los reenvía rompe la trazabilidad y los controles. La especificación lo prohíbe: un servidor MCP no debe aceptar tokens que no fueron emitidos para él.
- Permisos excesivos: un servidor conectado a la base de datos con credenciales de administrador convierte cualquier manipulación del modelo en un incidente grave.
- Inyección de prompts vía resultados: un ticket, correo o documento leído por una herramienta puede contener instrucciones maliciosas. Lo explicamos a fondo en nuestra guía de prompt injection en agentes de IA.
Controles mínimos que recomendamos: permisos de mínimo privilegio y alcances (scopes) progresivos, autorización basada en OAuth según la especificación, aprobación humana para toda acción de escritura (pagos, envíos, borrados), lista blanca de servidores aprobados, ejecución de servidores locales en entornos aislados, registro de cada invocación y revisión de las descripciones de herramientas antes de aprobarlas y cuando cambien.
¿Construir tu propio servidor MCP o usar uno existente?
| Criterio | Usar servidor existente | Construir servidor propio |
|---|---|---|
| Cuándo conviene | Herramientas SaaS populares con servidor oficial del fabricante | Sistemas internos, ERP a medida, lógica de negocio propia |
| Tiempo | Horas o días de configuración | Semanas, según número de herramientas e integraciones |
| Control de seguridad | Dependes del fabricante; revisa permisos y origen | Total: defines qué expones y con qué permisos |
| Riesgo principal | Servidores de la comunidad sin mantenimiento o maliciosos | Errores propios de autorización y validación |
Regla práctica: usa servidores oficiales del fabricante cuando existan y estén mantenidos; evita servidores de terceros anónimos para sistemas con datos sensibles; construye el tuyo para lo que es único de tu negocio, y en ese caso expón operaciones específicas ("consultar_factura") en lugar de herramientas abiertas ("ejecutar_sql").
Cómo implementar MCP en tu empresa paso a paso
- Elige un caso de uso acotado: una pregunta de negocio frecuente que hoy requiere que alguien saque datos manualmente.
- Inventaria datos y clasifícalos: qué sistemas toca, qué datos personales hay (bajo la LOPDP en Ecuador) y si el proveedor del modelo procesará esos datos.
- Empieza en solo lectura: el primer servidor no debería poder modificar nada.
- Diseña herramientas estrechas: pocas funciones, parámetros validados, resultados limitados (por ejemplo, máximo 50 filas).
- Configura identidad y permisos: cada usuario accede con sus propios permisos, no con una cuenta de servicio con acceso total.
- Agrega aprobación humana antes de pasar a cualquier herramienta de escritura.
- Registra y mide: qué herramienta se invocó, con qué parámetros, quién lo pidió y si la respuesta fue correcta. Para medir calidad, revisa nuestra guía de evaluación de asistentes de IA.
- Haz una prueba de seguridad antes de abrirlo a más usuarios, incluyendo intentos de inyección a través de los datos que lee.
En tiempos realistas, un piloto con uno o dos sistemas en solo lectura encaja en el formato de prototipo sobre datos reales de nuestro servicio de desarrollo con IA: desde USD 4,000 en 2 a 4 semanas. El costo final depende del número de sistemas, de la calidad de sus APIs y de los requisitos de seguridad y auditoría.
Errores comunes
- Instalar servidores MCP de la comunidad en equipos con acceso a datos de producción sin revisar su código ni su origen.
- Usar una cuenta de servicio con privilegios de administrador "para que funcione".
- Exponer una herramienta genérica de SQL o de shell en lugar de operaciones de negocio específicas.
- Activar la aprobación automática de todas las herramientas por comodidad.
- No registrar invocaciones, lo que impide investigar un incidente.
- Asumir que MCP "trae seguridad incluida": el protocolo define mecanismos, pero la implementación es tu responsabilidad.
Preguntas frecuentes
¿MCP es solo para Claude?
No. Anthropic creó MCP, pero en diciembre de 2025 lo donó a la Agentic AI Foundation, bajo la Linux Foundation, cofundada junto con OpenAI y Block. Hoy lo soportan clientes como ChatGPT, Gemini, Microsoft Copilot, Visual Studio Code y Cursor, además de Claude. Un servidor MCP bien construido funciona con cualquier cliente compatible, lo que reduce tu dependencia de un solo proveedor de IA.
¿Cuál es la diferencia entre MCP y una API normal?
Una API es la interfaz de un sistema concreto; MCP es un protocolo estándar para que aplicaciones de IA descubran y usen esas interfaces. Un servidor MCP normalmente envuelve una o varias APIs existentes y las describe de forma que el modelo entiende qué herramientas hay, qué parámetros aceptan y qué devuelven. No reemplaza tus APIs: las hace utilizables por asistentes de IA de forma uniforme.
¿Es seguro conectar MCP a mi ERP o base de datos?
Puede serlo si aplicas controles: acceso de solo lectura al inicio, permisos por usuario, herramientas específicas en lugar de consultas abiertas, aprobación humana para cualquier escritura y registro de todas las invocaciones. El riesgo real no está en el protocolo sino en conectar un modelo manipulable a sistemas con permisos amplios. Una prueba de seguridad antes de producción es recomendable.
¿Cuánto cuesta implementar MCP en una empresa?
Configurar servidores oficiales de herramientas SaaS puede costar poco más que horas de configuración y revisión. Construir un servidor propio sobre un sistema interno es un proyecto de desarrollo: como referencia, un prototipo sobre datos reales parte de USD 4,000 en 2 a 4 semanas. Lo que más mueve el costo es la calidad de las APIs existentes, el número de herramientas y los requisitos de auditoría.
¿Qué datos de mi empresa ve el proveedor del modelo?
Todo lo que una herramienta MCP devuelve entra al contexto del modelo y, si usas un modelo en la nube, lo procesa ese proveedor. Por eso conviene limitar los resultados al mínimo necesario, enmascarar datos personales cuando sea posible y revisar las condiciones de retención del proveedor. En Ecuador, esto forma parte de tus obligaciones bajo la LOPDP como responsable del tratamiento.
Conclusión
MCP se ha convertido en la forma estándar de conectar la IA con los sistemas de una empresa, con gobernanza neutral y soporte amplio. Su valor está en integrar una vez y reutilizar; su riesgo, en darle a un modelo manipulable acceso a datos y acciones reales. Empieza con un caso acotado, en solo lectura, con permisos mínimos y registro completo, y amplía cuando tengas evidencia de que funciona y es seguro.
Si quieres conectar tus sistemas a la IA sin abrir brechas, nuestro servicio de desarrollo con IA diseña e implementa servidores MCP con seguridad desde el inicio. Agenda una consulta gratuita y revisamos tu caso.