Qué pide realmente la ficha
La ficha está en Google Workspace Marketplace con el nombre Grok, publicada por SpaceXAI y actualizada por última vez el 21 de julio de 2026. No cuesta nada, ha superado las seis mil instalaciones y funciona dentro de Docs, Sheets y Slides. Instalarlo cuesta aproximadamente el mismo esfuerzo que añadir una extensión del navegador, y no deja rastro en ningún sistema que vigile su departamento financiero.
Los permisos son la parte que conviene leer despacio. La ficha pide ver, editar, crear y eliminar todos los documentos de Google Docs, y hacer lo mismo con todas las presentaciones de Google Slides. También pide ver y gestionar las hojas de cálculo donde está instalado, conectarse a servicios externos, mostrar y ejecutar contenido web de terceros en los cuadros de texto y en las barras laterales, y leer la dirección de correo principal de la cuenta. La palabra que hace el trabajo es todos. Esto no es acceso al documento abierto en pantalla. Es acceso al patrimonio documental que esa cuenta alcanza, que en una empresa normal incluye cada archivo que alguien haya compartido alguna vez con esa persona.
La decisión de proveedor la toma quien pulsa Instalar
Por qué importa: la elección de qué compañía de inteligencia artificial procesa sus documentos comerciales la toma ahora quien pulsa Instalar, y no alguien que haya leído un contrato. El departamento de compras se construyó para interceptar proveedores que entran por la puerta principal, con factura, cuestionario de seguridad y firma. El mercado de complementos es una puerta lateral que siempre estuvo abierta, y un modelo de frontera acaba de cruzarla.
El control existe. En la consola de administración de Google el camino va de Menú a Aplicaciones, después aplicaciones de Google Workspace Marketplace, después lista de aplicaciones, después configuración de instalación de usuarios, y ofrece tres estados: los usuarios pueden instalar cualquier aplicación, solo las permitidas, o ninguna. Esa es toda la decisión, y la mayoría de las organizaciones nunca ha abierto la página para comprobar cuál de los tres está funcionando.
La lista de permitidos tiene una trampa que corta en las dos direcciones. La propia documentación de Google señala que la lista afecta a los usuarios que tienen Gestionar el acceso a las aplicaciones fijado en permitir solo aplicaciones autorizadas, de modo que una lista montada mientras la opción sigue en cualquier aplicación es puramente decorativa. Esa misma documentación es tajante en el sentido contrario: los usuarios pierden el acceso a una aplicación cuando usted la retira de la lista, aunque la sigan teniendo instalada. La revocación es real y alcanza instalaciones que usted nunca aprobó.
Outlook usa otra escalera
La misma compañía distribuyó un complemento de Grok para Outlook a través de Microsoft Marketplace, con la misma lógica: mercado normal, instalación normal, ningún acuerdo corporativo por el camino. Microsoft gobierna los complementos de correo con cuatro niveles de permiso acumulativos en lugar de una lista de ámbitos. Se llaman restricted, read item, read/write item y read/write mailbox, y cada nivel contiene a los anteriores.
El escalón más alto merece un minuto de su atención. Microsoft describe read/write mailbox como el permiso que autoriza a un complemento a leer y escribir todas las propiedades de cualquier elemento del buzón, a crear, leer y escribir cualquier carpeta o elemento, y a enviar un elemento desde ese buzón. El envío es la línea en la que hay que detenerse, porque un complemento con ese nivel no lee su correo, participa en él. Microsoft también indica dónde mirar: los permisos solicitados aparecen en la ficha del mercado antes de instalar, y los permisos exigidos por los complementos ya instalados se ven en el Centro de administración de Exchange. Compruebe el nivel que su organización ha concedido de verdad en lugar de suponerlo, porque solo ahí la respuesta es fiable.
Su contrato de encargado no llega hasta aquí
Según el RGPD su empresa es la responsable del tratamiento de los datos personales que viven en esos documentos y buzones, es decir nombres de clientes, expedientes de personal, precios, todo lo que una empresa en marcha pone por escrito. Cualquier tercero que trate esos datos por cuenta de usted necesita un contrato de encargado del tratamiento conforme al artículo 28. No es un trámite que el departamento jurídico pueda arreglar después; es el instrumento que fija qué puede hacer el encargado con los datos y qué ocurre con ellos al terminar.
Los contratos que ya tiene firmados cubren a Google y a Microsoft. No se extienden a un proveedor independiente que opera su propio servicio bajo sus propias condiciones, y la ficha del mercado lo dice sin rodeos: la política de privacidad y las condiciones de servicio remiten ambas al dominio del proveedor, no a su contrato de Workspace. En España la Agencia Española de Protección de Datos trata la diligencia del responsable sobre sus encargados como una obligación viva y no como un archivo que se rellena, y una empresa cuyo personal ha instalado un complemento de inteligencia artificial sobre todo su fondo documental ha incorporado un encargado que nunca ha evaluado.
El precio de cero euros es justamente lo que esquiva el procedimiento entero. No se factura nada, así que no se emite pedido, así que no se cruza ningún umbral de aprobación en euros, así que la revisión de proveedores que una licencia de pago habría disparado de forma automática no llega a ejecutarse. Software gratuito no significa libre de obligaciones, y la herramienta más barata de su parque puede llevar dentro el acceso más amplio a sus datos.
La opción que conviene revisar antes del viernes
Empiece por el inventario y no por la política. Abra la consola de administración, lea la lista de aplicaciones del mercado que sus usuarios ya han instalado y anote cuál de los tres estados de instalación tiene activo. Si es cualquier aplicación, no ha elegido una política de proveedores, ha elegido no tener ninguna. Después haga lo equivalente en el Centro de administración de Exchange con los complementos de Outlook y lea el nivel de permiso que declara cada uno. Cuente con las 24 horas de las que avisa Google al cambiar la opción, y precisamente por eso esto pertenece a un jueves tranquilo y no al centro de un incidente.
La lección de fondo sobrevive a este complemento concreto. El mercado de aplicaciones es hoy un canal de compras, y es el único de su empresa sin paso de aprobación, sin factura y sin revisión de la contraparte. Trate una petición de instalación que reclama todos los documentos igual que trataría a un proveedor que pide una copia del servidor de archivos, porque funcionalmente es la misma petición. El problema no es el complemento, es que nadie tuvo que preguntarle.
Leer a continuación: Rote todos los secretos que Grok Build haya visto alguna vez | El fabricante del modelo demandó antes de la ley
