WordPress no ha incorporado un asistente autónomo capaz de gestionar una web por su cuenta. Está preparando una base común para conectar proveedores de inteligencia artificial, registrar acciones disponibles y permitir que otras herramientas las usen con permisos definidos.
Para una pequeña empresa, lo importante no es saber qué significan Abilities API, Connectors o MCP. La decisión práctica es: ¿puedes probar una función sencilla con control interno o necesitas ayuda profesional para evitar problemas con datos, costes en tokens, permisos y mantenimiento?
Este análisis parte de una entrevista a Jonathan Bossenger, Developer Advocate en Automattic, la compañía que se encuentra detrás de WordPress. Jonathan actúa como puente entre una empresa de tecnología y la comunidad de programadores que empleamos el popular CMS en el día a día.
Qué ha cambiado realmente en WordPress
Hasta ahora, cada plugin podía integrar un proveedor de IA a su manera. Eso obligaba a configurar credenciales en varios sitios y hacía más difícil saber qué servicio usaba cada función.
WordPress está incorporando componentes comunes para reducir esa fragmentación. No todos tienen el mismo grado de madurez ni forman parte del núcleo.
| Componente | Explicación empresarial | Estado |
|---|---|---|
| Abilities API | Define qué acciones puede ejecutar WordPress y qué permisos necesita cada una. | Disponible en WordPress Core desde 6.9. |
| AI Client | Permite que un plugin solicite texto, imágenes u otros resultados sin depender del código de un único proveedor. | Incluido en WordPress 7.0. |
| Connectors API | Centraliza la conexión con servicios externos y la configuración de sus credenciales. | Incluida en WordPress 7.0. |
| MCP Adapter | Permite que algunos agentes externos descubran y ejecuten acciones autorizadas de WordPress. | Proyecto oficial separado de Core. |
| Plugin AI | Sirve para probar funciones editoriales, conectores y controles antes de que algunas ideas puedan consolidarse. | Plugin experimental. |
En la entrevista a Jonathan Bossenger se insiste en que el propietario conserva la decisión inicial. Tiene que instalar un conector, configurar un proveedor y activar una función concreta. Aun así, ese consentimiento inicial no aclara por sí solo qué datos se enviarán, cuánto puede costar el uso ni qué pasará si una acción falla.
Tres ejemplos para pequeños negocios de Asturias
Estos casos son ejemplos didácticos y sirven para ver cómo cambia el nivel de riesgo según la tarea.
| Negocio | Prueba razonable | Cuándo aumenta la complejidad |
|---|---|---|
| Casa rural en Cangas de Onís | Generar borradores de respuestas sobre horarios, servicios o normas y revisarlos antes de enviarlos. | Cuando el sistema consulta disponibilidad, modifica reservas o accede a datos personales de huéspedes. |
| Sidrería de Gijón | Proponer textos para explicar el menú, adaptar una publicación o preparar preguntas frecuentes. | Cuando responde automáticamente sobre alérgenos, confirma mesas o cambia información publicada sin supervisión. |
| Tienda online de productos asturianos | Preparar descripciones de producto a partir de fichas revisadas por una persona. | Cuando el agente modifica precios, stock, pedidos, datos de clientes o condiciones de envío. |
En los tres casos, la IA puede ayudar con una tarea limitada. La complejidad aparece cuando deja de proponer y empieza a decidir, consultar datos privados, publicar o cambiar información operativa.
Los cinco controles que una empresa debe revisar
1. Qué datos salen de WordPress
Una petición a un modelo puede incluir textos, imágenes, datos de formularios o información interna. Antes de activar una función conviene identificar exactamente qué contenido recibe el proveedor y quitar todo lo que no haga falta.
Una prueba editorial con textos públicos no tiene el mismo riesgo que un asistente conectado con reservas, pedidos o datos de clientes.
2. Qué puede hacer cada usuario, plugin o agente
Abilities API permite asociar permisos a cada acción. Es útil, pero depende de cómo se programe la integración. Una acción de lectura no debería usar una cuenta con permisos para administrar toda la web.
El criterio es el mínimo privilegio. Cada herramienta debe tener solo las capacidades necesarias para su tarea.
3. Cómo se protegen las claves y el gasto
Connectors API puede obtener claves desde variables de entorno, constantes PHP o la base de datos. La documentación oficial indica que las claves guardadas en la base de datos se ocultan en la interfaz, pero no se cifran por defecto en WordPress Core.
Además de proteger la credencial, conviene usar una clave separada para cada entorno o finalidad y aplicar límites de consumo en el proveedor. Una automatización defectuosa también puede generar costes de tokens aunque no haya ningún ataque.
4. Qué ocurre cuando la respuesta es incorrecta
Los modelos pueden dar información incompleta o equivocada. La integración debe decidir qué resultados requieren revisión humana y qué acciones pueden revertirse.
Una sugerencia de título se puede descartar. Un cambio de stock o una confirmación de reserva necesita controles mucho más estrictos.
5. Quién mantendrá la integración
Los modelos, los precios, los conectores y los plugins pueden cambiar. Una demostración inicial no garantiza que el sistema siga funcionando con el mismo coste en tokens o calidad meses después.
Antes de ponerlo en marcha conviene asignar una persona responsable de revisar errores, consumo, actualizaciones y permisos.
Qué puedes probar internamente y cuándo pedir ayuda
| Puedes plantear una prueba interna cuando | Conviene solicitar ayuda profesional cuando |
|---|---|
| La tarea solo genera borradores. | La IA publica, borra o modifica datos. |
| Se utilizan contenidos públicos o ficticios. | Intervienen clientes, pedidos, reservas o información interna. |
| Una persona revisa siempre el resultado. | El proceso debe ejecutarse sin supervisión inmediata. |
| La prueba se realiza en entorno de pruebas. | Debe integrarse con WooCommerce, CRM, facturación u otros sistemas. |
| La clave tiene un límite de consumo pequeño. | El coste puede crecer o afectar a varias aplicaciones. |
| El fallo solo obliga a repetir la tarea. | Un fallo puede afectar a ventas, atención al cliente o reputación. |
También conviene pedir ayuda cuando no está claro qué componente se necesita. Una función editorial puede resolverse mediante AI Client y un conector sin exponer WordPress a un agente mediante MCP. Añadir más infraestructura de la necesaria aumenta el mantenimiento y la superficie de riesgo.
En proyectos desarrollados para cliente final y para otras agencias, es habitual heredar integraciones con poca documentación. Con IA también hay que registrar qué proveedor se usa, qué datos recibe, qué permisos tiene y cómo se limita el consumo.
Cómo empezar sin convertir una prueba en un proyecto descontrolado
- Define una tarea concreta. Por ejemplo, preparar borradores de preguntas frecuentes, no «automatizar la atención al cliente».
- Elige datos no sensibles. Usa información pública o ficticia durante la primera prueba.
- Limita la capacidad. Empieza con propuestas que una persona tenga que aprobar.
- Separa la credencial. Crea una clave específica con un presupuesto reducido.
- Prueba en entorno de pruebas. Comprueba errores, tiempos, consumo y compatibilidad antes de tocar producción.
- Decide cómo medir. Valora tiempo de revisión, calidad, coste y mantenimiento, no solo la rapidez de generación.
Si la prueba funciona, el siguiente paso no siempre es automatizarla por completo. A veces basta con mantener la IA como asistente y dejar la decisión final en manos de una persona.
La decisión no es instalar IA, sino controlar el proceso
La nueva arquitectura de WordPress facilita que plugins y agentes usen proveedores de IA mediante componentes comunes. Puede reducir integraciones duplicadas, pero no resuelve por sí sola los permisos, los datos, los costes ni la recuperación ante errores.
Una pequeña empresa puede probar internamente funciones editoriales limitadas, reversibles y supervisadas. Cuando la IA accede a información privada, modifica operaciones o se conecta con varios sistemas, la ayuda profesional deja de ser un complemento y pasa a formar parte del control del riesgo.
Si necesitas valorar un caso concreto, podemos revisar el proceso dentro de un proyecto de inteligencia artificial aplicada. Cuando la integración afecta a credenciales, usuarios o configuración, también debe contemplarse la protección y recuperación de WordPress.
La reunión debe servir para delimitar la tarea, los datos, las dependencias y el mantenimiento antes de preparar un presupuesto.
