La factura de IA que nadie mira: cómo gobernar el gasto en OpenAI, Anthropic, Copilot y Cursor

Hace dos años, el gasto en IA de una empresa era una tarjeta de crédito con una suscripción a ChatGPT. Hoy son varias claves de API en producción, un proyecto de OpenAI por cada equipo, asientos de GitHub Copilot y de Cursor, y desarrolladores que pagan su propio plan de Claude o de ChatGPT y lo pasan como gasto. Cada pieza factura por su lado, en su consola y con su ciclo. En este artículo te contamos cómo juntarlo todo en AAA Sentinel, paso a paso y con un ejemplo completo.

Por qué la IA se ha convertido en la nueva factura descontrolada

La factura de IA tiene los mismos defectos que tenía la factura cloud hace diez años, y alguno más:

• Se paga por uso y sin tope por defecto: un bucle mal escrito o un agente que reintenta sin fin puede gastar en un día lo que antes se gastaba en un mes.
• Está repartida entre proveedores que no se hablan: OpenAI, Anthropic, GitHub y Cursor tienen cada uno su consola, su forma de agrupar y su propio concepto de presupuesto.
• Una parte no pasa por ninguna consola de la empresa: las suscripciones individuales de cada persona sólo aparecen en las notas de gastos.
• Las palancas de ahorro son técnicas y poco conocidas: la caché de prompt, la API de lotes o elegir un modelo más pequeño ahorran mucho, pero sólo si alguien mira los datos de consumo.

Qué ganas con ello

Con el gasto de IA conectado y vigilado, cambian varias cosas:

• Ves el gasto de todos los proveedores en un solo sitio, separando lo que el proveedor ya ha facturado de lo que todavía es una estimación.
• Sabes qué proyecto o workspace gasta, no sólo cuánto gasta la organización.
• Recibes recomendaciones concretas de eficiencia, con el ahorro máximo que pueden dar a tarifa de lista.
• Te enteras antes de agotar un límite de gasto, no cuando el proveedor empieza a rechazar peticiones en producción.
• Tienes inventariadas las cuentas individuales de tu equipo y su precio de lista.

Cómo lo resuelve AAA Sentinel

Todo vive en Conexiones → «Conexiones de IA» y se apoya en estas piezas:

• Conexiones de organización: una credencial de administración por proveedor, con la que la plataforma lee cada día el consumo y el coste facturado.
• Conexiones individuales: la cuenta de una persona (su email, su plan y su día de renovación), sin guardar ninguna clave.
• Reglas de IA: cada conexión se evalúa contra un conjunto de reglas de eficiencia, gobierno y anomalía que generan hallazgos con su ahorro máximo.
• Alertas: los picos de gasto y los límites a punto de agotarse salen por los mismos canales que las alertas de tus nubes.
• Agente: en Business, con una clave de escritura aparte, el agente puede proponer límites, alertas o revocaciones, siempre con aprobación humana.
• Agente de uso: un CLI para el portátil que informa del uso de las cuentas individuales de Cursor, Claude Code, Copilot y Codex.

Caso práctico: ACME y su gasto de IA

ACME es una empresa ficticia con plan Business. Tiene dos proyectos en OpenAI, un workspace en Anthropic y seis desarrolladores con suscripciones propias. Este fue su gasto de septiembre, que usaremos en el resto del artículo:

Paso 1: conectar OpenAI y Anthropic con una Admin API Key

Ve a «Conexiones de IA» y pulsa «Conectar proveedor de IA». El asistente tiene cuatro pantallas:

• Elige el proveedor: OpenAI o Anthropic.
• En «¿Organización o individual?», elige «Organización».
• «Paso 1 — Crea una clave de solo lectura»: el enlace te lleva a la página de claves de administración del proveedor. En OpenAI es una Admin API Key de la organización; en Anthropic, una Admin Key de la consola. Una clave de API normal, de las que se usan para llamar al modelo, no sirve. Cuando la tengas, pulsa «Ya tengo la clave».
• «Paso 2 — Conecta la clave»: rellena «Nombre de la conexión» (por ejemplo, OpenAI Producción), pega la clave en «Clave de API (solo lectura)» y, si quieres, el «ID de organización», que es opcional en estos dos proveedores. Pulsa «Conectar».

Paso 2: Copilot, Cursor y OpenRouter (Business)

Las conexiones de organización de estos tres proveedores piden el plan Business, porque las reglas que evalúan son de gobierno. Cada uno pide una credencial distinta:

• GitHub Copilot: un token de acceso personal clásico con el permiso manage_billing:copilot o read:org, creado por un propietario de la organización. El «ID de organización» es obligatorio: es el login de la organización en GitHub.
• Cursor: una clave de API de administrador del panel de Cursor, con el scope admin:*, creada por un administrador del equipo.
• OpenRouter: una Management API Key, distinta de las claves de inferencia. En lugar del ID de organización pide el «ID del workspace», que es obligatorio: es el workspace cuyo presupuesto se va a leer y, si activas la escritura, ajustar.

Paso 3: las cuentas individuales

Para los planes personales de tu equipo, elige «Individual» en el segundo paso del asistente. No se pide ninguna clave: sólo «Email del titular», «Plan del proveedor», «Día de renovación» (del 1 al 28) y, si gestionas clientes, a quién pertenece. La plataforma guarda el «Precio de lista» del plan según su catálogo y lo suma al inventario.

• En la ficha de una cuenta individual, «Uso declarado» permite anotar el porcentaje del cupo consumido en cada periodo de renovación. Es la forma más sencilla de saber si un plan caro se aprovecha.
• En la lista de «Conexiones de IA», el bloque «Personas» junta las conexiones individuales del mismo correo.
• La plataforma avisa si la misma persona tiene dos conexiones individuales del mismo proveedor, o si también aparece en la conexión de organización: es el síntoma típico de pagar dos veces por lo mismo.

Paso 4: leer la ficha de una conexión

Al abrir una conexión de organización encontrarás:

• «Coste facturado» y «Coste estimado», siempre por separado: el primero es el importe que el proveedor ya ha confirmado; el segundo, una estimación propia de lo que todavía no ha facturado. Nunca se suman en una misma cifra.
• «Evolución diaria»: el gasto día a día en el «Periodo» que elijas. Es donde se ve un pico antes de que llegue a la factura.
• «Desglose»: el gasto por asignación, que en OpenAI es el proyecto y en Anthropic el workspace. Es lo que te dice quién gasta.
• «Escritura del agente»: el lugar donde activar, o revocar, la clave de escritura del Paso 7.

Paso 5: qué detectan las reglas de eficiencia (Pro)

Las reglas de eficiencia leen los tokens por modelo dentro de cada proyecto o workspace. Estas son, con sus umbrales reales:

• AI-001, caché poco aprovechada (OpenAI y Anthropic): hay escrituras en caché, pero menos del 20 % de la entrada se sirve desde ella, con al menos 100.000 tokens de entrada.
• AI-002, candidato a la API de lotes (OpenAI y Anthropic): al menos 2 millones de tokens durante 7 días o más en el nivel de servicio estándar. La API de lotes factura en torno a la mitad.
• AI-003, ventana de contexto sobredimensionada (sólo Anthropic): consumo en la ventana de 200.000 a 1 millón de tokens con salidas inferiores al 2 % de la entrada.
• AI-004, modelo caro para una tarea sencilla (OpenAI, Anthropic, Cursor y OpenRouter): un modelo de gama alta cuya salida no llega al 10 % de la entrada.
• AI-005, escritura de caché sin amortizar (OpenAI y Anthropic): al menos 50.000 tokens escritos en caché y menos de una lectura por cada token escrito.

Las reglas de gobierno y anomalía (Business)

En Business se añaden reglas que no buscan eficiencia, sino que falte una salvaguarda o que algo se dispare:

• AI-010 y AI-011: hay gasto real, unos 10 USD/mes o más extrapolados desde al menos 7 días, sin ningún límite duro (AI-010) o sin ninguna alerta de gasto (AI-011).
• AI-012: una clave de API de OpenAI, Anthropic u OpenRouter sin actividad en 30 días o más.
• AI-013, AI-014 y AI-015 (Cursor): gasto de personas dadas de baja del equipo; usuarios sin límite mensual con al menos 10 USD de consumo por uso en el ciclo y por encima de la media del equipo; y gasto en el grupo «Unassigned», sin grupo de facturación.
• AI-016 y AI-017 (Copilot): un presupuesto de Copilot no detiene el cargo de las licencias de asiento; y asientos sin actividad en 30 días o más (la fecha depende de la telemetría del IDE, así que es un indicio, no una certeza).
• AI-020: un día cuyo gasto triplica la media de los días anteriores, con al menos 7 días de base; desde seis veces la media, con severidad alta.
• AI-021 (Cursor): los agentes automáticos se llevan el 15 % o más del gasto del equipo y al menos 50 USD/mes.
• AI-022: el gasto del periodo del límite (el mes, o en OpenRouter también la semana o el último día completo) ya está al 80 % o lo ha agotado, o la proyección a fin de mes lo supera.

Paso 6: que te avise antes de agotar el límite

AAA Sentinel no inventa un presupuesto propio para la IA: lee el límite que ya tienes configurado en el proveedor (el límite de un proyecto o de la organización en OpenAI, el presupuesto de Copilot o el del workspace en OpenRouter) y lo compara cada día con el gasto del mes. En OpenRouter, que admite a la vez un presupuesto diario, semanal y mensual, compara cada uno con el gasto de su propio periodo (el último día completo, desde el lunes o desde el día 1, en UTC); el presupuesto total no se mide. La regla AI-022 dispara en tres casos: el gasto ya está al 80 % del límite; tras al menos 5 días con datos, la proyección a fin de mes lo supera; o el límite está agotado, que sube a severidad alta porque el proveedor puede estar rechazando peticiones (salvo el diario de OpenRouter, que se mide con el día ya cerrado).

• El aviso llega como alerta de presupuesto de IA por los canales configurados en Alertas → «Canales de alerta» (email, Slack, Microsoft Teams o webhook), con el interruptor «Picos de gasto» activado, el mismo que gobierna los picos de AI-020.
• En ACME, etl-resumenes tiene un límite de 1.300 USD en OpenAI. El 10 de octubre lleva 520 USD: a ese ritmo cerrará el mes en 520 ÷ 10 × 31 = 1.612 USD, por encima del límite. La alerta llega ese día, con tres semanas de margen.

Paso 7: que el agente actúe por ti (Business)

La clave de lectura nunca sirve para cambiar nada. Si quieres que el agente pueda corregir, en la ficha de la conexión, en «Escritura del agente», pega una segunda clave con permisos de escritura y pulsa «Activar escritura». Se puede revocar en cualquier momento sin afectar a la recopilación. Estas son las acciones que existen hoy por proveedor:

• Todas las acciones de IA requieren aprobación humana: ninguna se ejecuta en piloto automático. Tras aprobarlas hay un periodo de gracia antes de ejecutarlas, por ejemplo 24 horas para el límite de un proyecto de OpenAI, 48 para el de toda la organización o para revocar un asiento de Copilot y 72 para revocar una clave.
• Revocar una clave en OpenAI u OpenRouter es irreversible, y el agente no revoca claves con menos de 30 días de antigüedad.
• En ACME, AI-010 sobre soporte-bot lleva a que el agente proponga un límite para ese proyecto; un aprobador indica la cifra, aprueba y, pasadas 24 horas, el límite queda puesto en OpenAI.

Paso 8: el agente de uso en el portátil

Las cuentas individuales no tienen API de consumo. Para saber cuánto se usan, AAA Sentinel ofrece un CLI que lee la actividad local de Cursor, Claude Code, Copilot y Codex. La guía completa está en Developer → «Agente de uso». En la ficha de una conexión individual de Cursor, Anthropic, Copilot u OpenAI, pulsa «Dar de alta»: el token se muestra una sola vez. Después, en el portátil de esa persona:

npm install -g @aaa-sentinel/ai-usage

sentinel-usage login < token.txt

Get-Content -Raw -Encoding utf8 token.txt | sentinel-usage login

sentinel-usage status
sentinel-usage logout

• El token entra por la entrada estándar, nunca como argumento, para que no quede en el historial del shell. login deja programado el informe al iniciar sesión y cada hora.
• Sólo sube el día, el modelo y los contadores (turnos, tokens o peticiones). No salen el prompt, el código, la conversación ni la ruta del transcript.
• Copilot se lee a través de gh y da peticiones premium por modelo, sin tokens. Codex sólo se lee cuando el login es la suscripción de ChatGPT: si usa una API key, ese gasto es de la conexión de organización.
• Esas cifras no se convierten a dólares ni se suman a lo facturado o estimado: sirven para saber si un plan se aprovecha.

Qué no hace todavía

Para que sepas qué esperar:

• No hay un presupuesto de IA definido dentro de AAA Sentinel: las alertas de presupuesto comparan con el límite configurado en el proveedor.
• En Anthropic, el agente no puede crear alertas ni límites de gasto, porque su Admin API no lo permite fuera de Claude Enterprise. AI-010 y AI-011 se quedan en guía manual.
• La conexión individual de OpenRouter todavía no se puede dar de alta.
• El ahorro de las reglas de eficiencia es un techo a tarifa de lista: el real puede ser menor, y sin un techo garantizado la regla avisa sin cifra.
• El uso que informa el CLI no tiene importe: Copilot no da tokens y Cursor sólo da contadores si su hook los trae.

Checklist para empezar

Con esto en marcha, la factura de IA deja de ser una sorpresa de fin de mes:

• Plan Pro para OpenAI o Anthropic; Business para Copilot, Cursor u OpenRouter, para las reglas de gobierno y para el agente.
• Una Admin API Key por proveedor, conectada desde «Conexiones de IA».
• Las cuentas individuales de tu equipo dadas de alta, con su plan y su día de renovación.
• Un límite de gasto configurado en cada proveedor que lo admita, y el interruptor «Picos de gasto» activo en «Canales de alerta».
• La «Escritura del agente» activada sólo en las conexiones donde quieras que el agente proponga cambios.
• El agente de uso instalado en los portátiles con planes caros.