Gestión del ciclo de vida de los usuarios

Usa esta guía para dar a los empleados el acceso que necesitan al espacio de trabajo de ChatGPT cuando se incorporan, actualizarlo cuando cambian sus responsabilidades y retirarlo cuando dejan la organización. El proceso también abarca las licencias del espacio de trabajo, los roles asignados por grupo, los tokens de acceso de Codex y los sistemas conectados que tienen sus propios controles de acceso.

El inicio de sesión único (SSO) verifica la identidad del empleado. El aprovisionamiento lo incorpora a un espacio de trabajo. Ninguna de estas acciones determina por sí sola la licencia del empleado, sus permisos para usar funciones, la política de ejecución local que se le aplica ni su acceso a un sistema externo.

Gestiona el acceso de los empleados en tres momentos de su ciclo de vida:

• Incorporación: concede acceso al espacio de trabajo y asigna los grupos, los roles y la licencia correspondientes.
• Cambio de equipo: actualiza los grupos del empleado y quita únicamente los roles directos que ya no correspondan.
• Salida: retira el acceso al espacio de trabajo, revoca los tokens y revisa los sistemas conectados.

Verifica los requisitos previos y asigna responsables

Antes de incorporar a los empleados, identifica quién controla cada parte del ciclo de vida:

Confirma el espacio de trabajo de destino, verifica el dominio de correo electrónico de la organización cuando sea necesario e identifica a un propietario del espacio de trabajo que pueda habilitar la sincronización del directorio. Luego comprueba qué controles admite el plan del espacio de trabajo:

SCIM es la sigla de System for Cross-domain Identity Management (sistema de gestión de identidades entre dominios). Un espacio de trabajo Business puede admitir tokens de acceso de Codex sin admitir SCIM, mientras que un espacio de trabajo Edu puede admitir SCIM sin ofrecer tokens de acceso de Codex ni licencias solo para Codex. Aplica únicamente los controles disponibles en tu espacio de trabajo.

Un espacio de trabajo Business puede conservar y agregar licencias solo para Codex únicamente si ya tenía una licencia de Codex antes del 24 de junio de 2026 o si en esa fecha tenía una invitación pendiente para una licencia de Codex que cumpliera los requisitos. Los espacios de trabajo Business nuevos y aquellos sin una licencia o invitación que cumpla los requisitos no pueden agregar su primera licencia solo para Codex. Consulta Gestión del ciclo de vida y la migración de espacios de trabajo en ChatGPT Business.

Si el espacio de trabajo admite más de un tipo de licencia, revisa el tipo predeterminado en Configuración del espacio de trabajo > Identidad y acceso antes de habilitar el aprovisionamiento automático. Los usuarios aprovisionados mediante SCIM reciben esa licencia predeterminada. La licencia determina a qué interfaces del producto pueden acceder. Un rol personalizado no puede conceder acceso a interfaces que la licencia no incluya.

En Permisos y roles, revisa los controles de acceso local, tokens de acceso, vigencia de las credenciales y dispositivos remotos. Algunos espacios de trabajo agrupan el acceso local en Codex y Work en modo local, con el control Permitir que los miembros usen Codex y Work de forma local. Otros separan Codex en modo local, con el control Permitir que los miembros usen Codex de forma local, de Work en modo local, con el control Usar Work de forma local. Cuando los controles están separados, habilitar el acceso a uno de los productos no concede acceso al otro. Los controles de tokens aparecen en la sección de acceso local o en una sección independiente de Tokens de acceso. Esta configuración es independiente de la pertenencia a grupos y de los tipos de licencia asignados.

El siguiente ejemplo muestra los controles combinados de Codex y Work en modo local y una sección independiente de Tokens de acceso:

Para conocer los requisitos previos vigentes y las configuraciones de identidad compatibles, consulta Identidad y aprovisionamiento y Gestión de miembros, tipos de licencia, roles y acceso.

Elige cómo se incorporan los empleados al espacio de trabajo

Elige un método principal de aprovisionamiento para cada conjunto de usuarios:

Usa invitaciones manuales para los usuarios que no se gestionan mediante la sincronización del directorio. Usa SCIM cuando el proveedor de identidad deba determinar la pertenencia al espacio de trabajo a medida que los empleados se incorporan, cambian de equipo o dejan la organización.

No habilites la creación automática de cuentas y SCIM a la vez. Es posible que SCIM no gestione a los usuarios incorporados mediante la creación automática de cuentas. En ese caso, quitarlos de un grupo del proveedor de identidad podría no retirarles el acceso al espacio de trabajo. Consulta las preguntas frecuentes sobre la integración de SCIM para obtener orientación actualizada.

SCIM puede conectarse a un solo espacio de trabajo de ChatGPT o al tenant de una organización, según la configuración de identidad aprobada. Especifica cada asignación de espacio de trabajo y de producto. Una conexión de directorio compartida no concede ni retira automáticamente el acceso en todos los espacios de trabajo u organizaciones de la Plataforma API.

Conecta un grupo de aprovisionamiento al espacio de trabajo correcto

Configura la conexión antes de dar de alta a los empleados. El propietario del espacio de trabajo y el administrador de identidades tienen responsabilidades distintas:

1. Pide al propietario que seleccione el espacio de trabajo de ChatGPT previsto y revise Configuración del espacio de trabajo > Grupos. Registra los nombres y miembros de los grupos existentes, sus asignaciones de roles personalizados y cómo se comparten los proyectos o GPT pertinentes.
2. Pide al administrador de identidades que identifique el grupo exacto del proveedor de identidad que se va a sincronizar. Compara su nombre y sus miembros con los de cada grupo existente en el espacio de trabajo.
3. Si un grupo que se va a sincronizar tiene el mismo nombre que un grupo existente en el espacio de trabajo, resuelve la coincidencia o cambia el nombre del grupo en conflicto antes de habilitar la sincronización. Pide al propietario del espacio de trabajo que apruebe la lista de miembros, los roles heredados y la configuración de uso compartido resultantes. Si se mantiene la coincidencia, SCIM pasa a gestionar el grupo existente y el proveedor de identidad pasa a controlar quién pertenece a él.
4. Selecciona los grupos que vas a aprovisionar y registra el espacio de trabajo de destino, los miembros previstos y los roles asignados a cada grupo.
5. Pide al propietario del espacio de trabajo que abra Configuración del espacio de trabajo > Identidad y acceso y seleccione Habilitar la sincronización del directorio. Si aparecen las opciones de aprovisionamiento, pídele que elija Usar SCIM solo para este espacio de trabajo para aprovisionar usuarios en ese espacio, o Mantener la opción de ampliar la sincronización a otros productos si se aprobó el aprovisionamiento a nivel del tenant. Si SCIM ya está activo a nivel del tenant, gestiona la conexión existente en lugar de crear una segunda conexión para el espacio de trabajo.
6. Pide al administrador de identidades que complete la conexión con el proveedor de identidad, seleccione la aplicación de ChatGPT y asigne el grupo aprobado para dar de alta a sus miembros en el espacio de trabajo previsto.
7. En Configuración del espacio de trabajo > Grupos, confirma que el grupo seleccionado muestre la insignia de SCIM. Verifica el nombre del grupo, los miembros sincronizados y el espacio de trabajo de destino antes de usar el grupo para conceder acceso.
8. Pide al propietario del espacio de trabajo que abra Permisos y roles > Roles personalizados, cree o seleccione el rol aprobado y lo asigne al grupo sincronizado. La configuración de roles está disponible en la web y requiere permisos de propietario del espacio de trabajo.
9. Revisa los permisos efectivos del grupo y el tipo de licencia predeterminado del espacio de trabajo antes de dar de alta a los empleados.

El administrador del proveedor de identidad controla las asignaciones a aplicaciones y la pertenencia a grupos. El propietario del espacio de trabajo controla la sincronización del directorio y la asignación de roles en el espacio de trabajo. Consulta las preguntas frecuentes sobre la integración de SCIM y Configuración del control de acceso basado en roles para conocer los pasos vigentes y la disponibilidad según el proveedor.

Da de alta a un empleado nuevo

Para dar de alta a un empleado gestionado mediante SCIM:

1. Confirma el espacio de trabajo previsto, la dirección de correo electrónico verificada, el tipo de licencia predeterminado y el grupo del proveedor de identidad.
2. En el proveedor de identidad, asigna al empleado a la aplicación de ChatGPT o al grupo que concede acceso.
3. Espera a que termine la sincronización del directorio. Si el empleado no aparece, comprueba el estado actual de la sincronización en el proveedor de identidad.
4. En Configuración del espacio de trabajo > Miembros, verifica el correo electrónico del empleado, su pertenencia al espacio de trabajo o su invitación pendiente, el tipo de licencia y la insignia de SCIM.
5. En Configuración del espacio de trabajo > Grupos, confirma que el empleado pertenezca al grupo sincronizado previsto. Pide al propietario del espacio de trabajo que verifique el rol personalizado asignado a ese grupo.
6. Pide a un empleado representativo que inicie sesión en el espacio de trabajo correcto y compruebe que puede acceder a las interfaces del producto, las funciones y los sistemas conectados que necesita.
7. Sigue el proceso aprobado por tu organización para registrar quién es el responsable del acceso y dejar constancia de que la verificación se completó correctamente.

Si agregas a un empleado manualmente, envía la invitación desde la administración de miembros del espacio de trabajo. Luego realiza las mismas comprobaciones de licencia, grupo, rol e inicio de sesión.

Un grupo sirve para organizar a los miembros, pero por sí solo no concede acceso a todas las funciones. Para conocer el procedimiento vigente de asignación de roles, consulta Roles y permisos del espacio de trabajo y Configuración del control de acceso basado en roles.

Actualiza el acceso cuando un empleado cambia de equipo

Cuando un empleado cambia de equipo, puede conservar el acceso que le concedían sus grupos o roles anteriores. Actualiza la pertenencia a grupos en el sistema que la gestiona antes de verificar el nuevo nivel de acceso:

1. Identifica el nuevo equipo del empleado, el espacio de trabajo y la licencia que necesita, los permisos aprobados para usar funciones y el grupo de destino.
2. Si el empleado debe permanecer en el espacio de trabajo durante todo el cambio, agrégalo al grupo de destino aprobado antes de quitarlo de su grupo anterior. Si SCIM gestiona la pertenencia a grupos, actualízala en el proveedor de identidad. Si se gestiona manualmente, actualízala desde la administración del espacio de trabajo.
3. Confirma que el grupo de destino ya tenga asignado el rol aprobado. Conserva los roles asignados a los grupos compartidos para que los demás miembros mantengan su acceso aprobado.
4. Pide a un propietario del espacio de trabajo que modifique el rol asignado a un grupo solo después de aprobar por separado un cambio de política para todo el grupo y revisar cómo afecta a cada miembro.
5. Pide a un propietario del espacio de trabajo que abra el perfil del empleado, revise Roles directos y quite los roles directos que ya no correspondan.
6. Revisa los permisos efectivos del empleado teniendo en cuenta todos los roles asignados directamente y a través de grupos antes de aprobar el cambio de equipo.
7. Si el espacio de trabajo admite más de un tipo de licencia, pide a un propietario que abra Configuración del espacio de trabajo > Miembros > Cambiar tipo de licencia y revise a qué productos debe tener acceso el empleado.
8. Antes de convertir una licencia de ChatGPT en una licencia solo para Codex, confirma que corresponda retirarle al empleado el acceso a los chats, las memorias, los proyectos y otras funciones de ChatGPT. Los datos se conservan y vuelven a estar disponibles si al empleado se le asigna de nuevo una licencia de ChatGPT.
9. Una vez que se completen la sincronización y la actualización de permisos, verifica tanto las acciones que ahora están permitidas como las que deberían haber dejado de estar disponibles.

Si el empleado es responsable de un flujo de trabajo automatizado, revisa si debes transferir su token de Codex, la entrada del gestor de secretos o la autorización del servicio conectado a otro responsable aprobado. Al quitarle al empleado el permiso para usar Codex de forma local, sus tokens de Codex se suspenden, pero no se revocan. Si se restablece el permiso, esos tokens se reactivan. Revoca las credenciales que deban perder el acceso de forma permanente.

Da de baja a un empleado que deja la organización

Empieza por el sistema que controla la pertenencia del empleado al espacio de trabajo:

1. Determina si SCIM gestiona al empleado o si un administrador lo agregó manualmente.
2. Si SCIM gestiona al empleado, retira su asignación a la aplicación de ChatGPT y quítalo de todos los grupos de aprovisionamiento del proveedor de identidad que le concedan acceso. No elimines los grupos compartidos.
3. Si SCIM no gestiona al empleado, pide a un propietario o administrador del espacio de trabajo que quite al miembro desde Configuración del espacio de trabajo > Miembros.
4. Confirma que el miembro ya no aparezca en el espacio de trabajo previsto. Si SCIM gestiona el acceso, verifica que la sincronización haya terminado y que ninguna otra asignación del proveedor de identidad pueda reincorporar al empleado.
5. Registra la baja y asigna un responsable para revisar los tokens, los sistemas conectados y los datos conservados.

No te limites a quitar al empleado del espacio de trabajo si el proveedor de identidad todavía lo asigna a un grupo gestionado por SCIM. Una sincronización posterior puede volver a incorporarlo al espacio de trabajo.

Revoca los tokens de acceso de Codex y transfiere las automatizaciones

Cuando quites a una persona del espacio de trabajo, revisa también de manera explícita las credenciales que usan las automatizaciones de confianza. Aplica este procedimiento únicamente si el espacio de trabajo admite los tokens de acceso de Codex y los tiene habilitados.

Al quitar el permiso para usar Codex de forma local, los tokens existentes se suspenden, pero no se revocan. Esos tokens pueden volver a funcionar si un propietario del espacio de trabajo restablece el permiso. Revoca explícitamente las credenciales que deban perder el acceso de forma permanente.

La página Tokens de acceso muestra quién creó cada token y cuál es su estado. Usa Revocar para retirar el acceso que conceden los tokens activos:

1. Pide a un propietario o administrador del espacio de trabajo que abra Tokens de acceso.
2. Identifica los tokens que creó el empleado que deja la organización y los flujos de trabajo que los usan.
3. Elige la identidad de reemplazo. Para un flujo de trabajo de larga duración que se ejecuta sin intervención humana en un plan de pago por uso elegible, usa una cuenta de servicio dedicada y aprobada. En los demás casos, identifica a una persona activa y aprobada para hacerse cargo del flujo de trabajo. Pide a un propietario del espacio de trabajo que le conceda permiso para crear tokens de acceso si lo necesita y que confirme que tiene permiso para usar Codex de forma local.
4. Crea el token de reemplazo. Un operador autorizado de la cuenta de servicio puede crear un token desde la página de detalles de la cuenta. Si el reemplazo es un token personal, pide al nuevo responsable del flujo de trabajo que cree un token para su propia identidad del espacio de trabajo de ChatGPT. Si en el cuadro de diálogo aparece Alcances, selecciona Codex. Selecciona otros alcances solo si el flujo de trabajo los requiere. Si el cuadro de diálogo no incluye Alcances, se crea un token solo para Codex. Un administrador no puede crear un token personal en nombre de otro usuario.
5. Actualiza el secreto almacenado del flujo de trabajo y verifica que el flujo se ejecute correctamente con el token de reemplazo.
6. Pide al propietario o administrador del espacio de trabajo que revoque los tokens del empleado que deja la organización y todas las credenciales que se hayan reemplazado.
7. Confirma que los tokens revocados ya no permitan iniciar nuevas ejecuciones autenticadas.

Cuando el nuevo responsable aprobado cree un token, pídele que use un nombre que describa el flujo de trabajo y elija el período de vigencia más corto que permita la política de tu organización. Si aparece Alcances, pídele que seleccione Codex y evite conceder permisos que el flujo de trabajo no necesite. El siguiente ejemplo muestra la interfaz con selección de alcances:

Los propietarios y administradores del espacio de trabajo pueden revocar cualquier token de su espacio. Un miembro con permiso para usar tokens de acceso solo puede revocar los que haya creado. Para consultar los permisos vigentes y los pasos para rotar los tokens, visita Tokens de acceso.

Revisa los sistemas conectados y los datos conservados

Si el miembro usó el acceso a la computadora local con Work en la nube, incluye el permiso Permitir el acceso a la computadora local y las computadoras conectadas en la revisión de la baja. Comprueba las asignaciones de espacios de trabajo y roles, así como el acceso en cada sistema conectado.

Desactivar el acceso a la computadora local interrumpe los turnos en curso del modo Work. Revisa por separado la pertenencia al espacio de trabajo, las credenciales vinculadas a los sistemas conectados y los datos almacenados.

Después de revocar el acceso, revisa por separado estos tres aspectos:

• Tareas activas. Verifica qué ocurre con las tareas que ya estaban en ejecución. Para cada tarea que pueda seguir activa, sigue los procedimientos confirmados del modo Work para la gestión de incidentes y la revocación de acceso.

• Dispositivos conectados. Verifica si los dispositivos que se habían conectado aún pueden acceder al modo Work.

• Datos almacenados. Comprueba por separado la retención y la eliminación de conversaciones. El hecho de retirar el acceso no implica por sí solo que se hayan eliminado los datos almacenados.

El aprovisionamiento del espacio de trabajo no gestiona todas las autorizaciones. Pide al responsable de cada servicio que revise el acceso a los siguientes recursos:

• Repositorios de código fuente y cuentas de GitHub conectadas.
• Google Drive, Slack y otras aplicaciones conectadas.
• Complementos instalados, habilidades incluidas y funciones disponibles mediante conectores.
• Entornos alojados de Codex, automatizaciones compartidas y secretos almacenados.
• Dispositivos administrados, credenciales almacenadas localmente y sesiones remotas compatibles.
• Organizaciones independientes de la Plataforma API, sus proyectos y sus claves de API.

Aplica los controles propios de cada sistema. No des por hecho que un cambio en un grupo del espacio de trabajo o en SCIM actualiza los permisos en todos los sistemas. Consulta Roles y permisos del espacio de trabajo para conocer el modelo completo de límites de autorización y Controles de complementos para revisar la disponibilidad de los complementos, las habilidades incluidas y los permisos de las aplicaciones conectadas.

Retirar el acceso al espacio de trabajo es distinto de eliminar contenido. Cuando un miembro deja el espacio de trabajo, este transfiere automáticamente la propiedad de sus proyectos y GPT personalizados a un propietario del espacio de trabajo. Esos elementos no se marcan para su eliminación. Si el miembro se reincorpora, recupera la propiedad.

En los espacios de trabajo Enterprise y Edu, los chats, los archivos y los documentos de canvas se rigen por la política de retención configurada para el espacio de trabajo. Los espacios de trabajo Business conservan los chats, los archivos y los documentos de canvas de forma indefinida. Los espacios de trabajo Healthcare también ofrecen controles de retención de datos. Revisa la configuración aplicable al espacio de trabajo y la guía de ChatGPT para el sector salud.

Reasignar un proyecto o un GPT no transfiere las conversaciones ni los archivos privados del antiguo miembro. El cambio de propietario tampoco permite que el propietario del espacio de trabajo vea ese contenido privado. Consulta Baja de miembros del espacio de trabajo y retención de datos para conocer el comportamiento actual de cada plan.

Si necesitas documentar el cambio por motivos de seguridad o cumplimiento, registra en el sistema aprobado el espacio de trabajo afectado, el empleado, la asignación en el proveedor de identidad, la hora en que se completó el cambio, el responsable de aprobarlo y la verificación de la revocación de tokens. Inicia sesión y confirma qué registros están disponibles, qué permisos tiene el administrador y qué retención se aplica en la referencia de la API de administración. Los alcances de cumplimiento sensibles pueden requerir la intervención de un propietario del espacio de trabajo. Para obtener una descripción general del producto, consulta API de Cumplimiento y eventos de auditoría. No deduzcas de esta guía qué eventos se registran, qué campos incluyen ni cuáles son sus períodos de retención.

Soluciona problemas de acceso faltante o inesperado

La mayoría de los proveedores de identidad se sincronizan cada 30 a 40 minutos, aunque algunos aplican las actualizaciones de inmediato. Los cambios en los roles personalizados pueden tardar unos cinco minutos en aparecer. No puedes forzar una sincronización de SCIM. Si una actualización se retrasa, no quites al miembro del espacio de trabajo para volver a crearlo.

Si la retirada del acceso o la actualización de un grupo sigue pendiente una vez transcurrido el plazo previsto por el proveedor, pide al administrador de identidades que reúna estos datos:

• El espacio de trabajo afectado y la dirección de correo electrónico del empleado.
• El proveedor de identidad, la asignación a la aplicación y el grupo de aprovisionamiento.
• El cambio que se intentó realizar, su marca de tiempo y el último estado de sincronización.
• Los roles directos, los roles asignados por grupo o los tokens que aún deban revisarse.

Comunícate con el equipo de soporte de OpenAI a través del Centro de ayuda y proporciona esos datos. Si un empleado conserva el acceso después de dejar la organización, trata el caso como una excepción de seguridad y sigue el proceso de escalamiento de incidentes de tu organización.

Para conocer la configuración y el comportamiento de la sincronización según el proveedor, consulta las preguntas frecuentes actualizadas sobre la integración de SCIM. Para resolver errores de inicio de sesión e identidad, consulta Solución de problemas de autenticación.

Verifica el ciclo de vida completo del empleado

Usa un empleado de prueba representativo para verificar las tres transiciones antes de ampliar la implementación:

Registra quién aprobó cada cambio, qué verificaste y quién se encargará de resolver las excepciones de acceso pendientes. Programa revisiones periódicas de acceso según las políticas de identidad y seguridad de tu organización.

Documentación relacionada

• Guía de implementación para administradores
• Grupos y aprovisionamiento
• Roles y permisos del espacio de trabajo
• Controles de complementos
• Tokens de acceso
• Cuentas de servicio
• Autenticación
• Configuración administrada
• API de Cumplimiento y eventos de auditoría