Revisión editorial: 3 de agosto de 2026. Esta guía describe una integración segura entre Microsoft Power Automate y la API de OpenAI. No supone que un flujo sea completamente “sin código” ni que la salida del modelo pueda ejecutarse sin validación.
Power Automate puede recibir un evento, enviar información a la API de OpenAI y usar la respuesta en un proceso de Microsoft 365 o de otro sistema. La parte importante no es solo conectar dos servicios: hay que proteger la clave, limitar los datos, validar la salida, controlar reintentos y pedir aprobación humana antes de una acción con consecuencias.
Arquitectura recomendada: desencadenador autenticado → validación y minimización → llamada a OpenAI → comprobación de esquema y reglas → aprobación humana cuando corresponda → acción externa → registro y gestión de errores.
Qué se integra realmente
Una suscripción a ChatGPT y una cuenta de la plataforma API son servicios distintos. Para un flujo propio se utiliza una credencial de un proyecto de la plataforma de OpenAI y un endpoint de la API, normalmente Responses API para proyectos nuevos. No se automatiza la interfaz web de ChatGPT ni se reutiliza una sesión personal.
Power Automate aporta desencadenadores, acciones, conectores, condiciones, aprobaciones e historial de ejecución. Algunas funciones —como el conector HTTP o Azure Key Vault— pueden requerir licencias premium, permisos de administrador o una configuración adicional. Las políticas de prevención de pérdida de datos pueden permitir, clasificar o bloquear conectores. No intentes eludirlas.
Casos adecuados y casos que necesitan controles adicionales
| Caso | Uso del modelo | Control mínimo |
|---|---|---|
| Clasificar solicitudes | Proponer categoría y prioridad | Lista cerrada y cola de excepciones |
| Resumir un documento | Crear un borrador | Acceso al original y revisión humana |
| Redactar una respuesta | Proponer texto | Aprobación antes de enviar |
| Extraer campos | Devolver datos estructurados | Esquema, tipos y validación de negocio |
| Actualizar un registro sensible | Solo recomendar el cambio | Aprobador autorizado y registro |
| Pago, borrado o decisión regulada | No decidir ni ejecutar | Sistema determinista y proceso formal |
Requisitos antes de crear el flujo
- Entorno de Power Automate, licencia y conectores adecuados.
- Aprobación del administrador para el uso del conector HTTP y servicios externos.
- Política DLP que defina qué datos pueden cruzar cada conector.
- Proyecto de OpenAI separado para desarrollo y producción, con límites de gasto.
- Clave de API con el menor alcance disponible y almacenamiento seguro.
- Propietario del flujo, aprobadores, procedimiento de incidentes y criterio de retención.
- Conjunto de ejemplos de prueba, incluidos errores, entradas maliciosas y datos vacíos.
La documentación inicial vigente de OpenAI es el Developer Quickstart. Comprueba siempre la ruta oficial antes de reutilizar tutoriales o marcadores antiguos.
Diseño del flujo paso a paso
1. Usa un desencadenador autenticado y acotado
Un correo, formulario, elemento de SharePoint o solicitud HTTP puede iniciar el flujo. Limita quién puede activarlo y qué campos acepta. Para un desencadenador HTTP, Microsoft recomienda autenticación con Microsoft Entra ID y controles de red cuando correspondan. Rechaza tamaños, tipos y remitentes no permitidos antes de llamar al modelo.
2. Minimiza y separa datos de instrucciones
Envía solo los campos necesarios. Sustituye identificadores personales por referencias internas cuando sea posible. Trata el texto procedente de correos, archivos o formularios como datos no confiables: podría contener instrucciones destinadas a modificar el comportamiento del modelo. La instrucción del sistema debe indicar el objetivo, el esquema esperado y lo que nunca debe hacer.
3. Protege la clave de OpenAI
No escribas la clave directamente en una acción visible, una expresión, un correo ni un historial. Microsoft recomienda Azure Key Vault o variables de entorno vinculadas a secretos, y activar Secure inputs y Secure outputs para que los valores sensibles no aparezcan en el historial. El conector de Key Vault puede requerir una licencia premium y permisos basados en Microsoft Entra ID.
Secure inputs y Secure outputs reducen la exposición en el historial, pero no reemplazan un almacén de secretos ni el control de acceso al flujo. Usa claves separadas por entorno, rota una clave expuesta y revisa el consumo.
4. Llama a Responses API desde el servidor
Configura una acción HTTP con método POST hacia https://api.openai.com/v1/responses. Añade Content-Type: application/json y el encabezado de autorización recuperado del almacén de secretos. Un cuerpo mínimo puede tener esta forma conceptual:
{
"model": "gpt-5.6-terra",
"input": "Clasifica esta solicitud usando solo las categorías permitidas...",
"max_output_tokens": 300,
"store": false
}No copies un modelo por costumbre. Revisa el catálogo, costo, latencia y calidad con tus pruebas. Define también límites de longitud y tiempo. Si partes de Chat Completions, consulta la guía oficial de migración a Responses API en vez de cambiar únicamente la URL.
5. Exige una salida estructurada y valídala
Para automatización, un párrafo libre es difícil de controlar. Solicita campos como categoria, confianza, resumen y requiere_revision mediante un esquema estricto cuando el modelo y el endpoint lo permitan. Después valida en Power Automate tipos, valores permitidos, longitud y reglas de negocio.
- Una categoría debe pertenecer a una lista cerrada.
- Un importe debe estar dentro de un intervalo esperado y venir del sistema, no del modelo.
- Una dirección de correo debe proceder de un directorio autorizado.
- Una baja confianza debe ir a revisión, no a una acción automática.
- Un campo ausente debe terminar el flujo de forma segura.
6. Inserta una aprobación antes del efecto externo
Para enviar comunicaciones, modificar datos, crear compromisos o actuar sobre una persona, agrega una aprobación. La acción Start and wait for an approval crea la solicitud y espera la respuesta antes de continuar. Muestra al aprobador el borrador, los datos de origen, las incertidumbres y la acción exacta que ocurrirá.
El aprobador debe poder rechazar, corregir o escalar. No uses un botón genérico para agrupar varias acciones irreversibles. Registra quién aprobó, cuándo, qué versión vio y qué cambió después.
7. Ejecuta una acción idempotente y registra el resultado
Asigna un identificador único a la operación y comprueba si ya se completó antes de repetirla. Guarda el estado, no la clave ni datos innecesarios. El registro debe permitir reconstruir el flujo sin almacenar contenido sensible en exceso.
Reintentos, límites y errores
Microsoft permite configurar una política de reintento fija o exponencial por acción. Úsala para fallos transitorios —por ejemplo, límites temporales, tiempo de espera o errores del servidor— con un máximo definido. No repitas de forma ciega errores de autenticación, solicitudes inválidas ni acciones externas que podrían duplicarse.
- Respeta
Retry-Aftercuando el servicio lo proporcione. - Separa la llamada al modelo de la acción que produce el efecto.
- Usa ámbitos con rutas de éxito, error y tiempo de espera.
- Termina el flujo de forma explícita si la validación falla.
- Envía una alerta sin incluir la clave ni el contenido sensible.
- Controla costo, volumen, duración y tasa de fallos.
Privacidad y retención
Los datos enviados por Power Automate a OpenAI salen del entorno de Microsoft y quedan sujetos a la configuración y condiciones de la API. OpenAI indica que los datos de la API no se usan para entrenar modelos por defecto. Los registros de supervisión de abuso pueden conservar contenido hasta 30 días por defecto, salvo excepciones. Responses API también puede almacenar estado de aplicación; revisa store, elegibilidad para controles de retención y las funciones utilizadas.
store: false no significa por sí solo que no exista ninguna retención. Documenta qué envía cada acción, configura DLP, reduce datos y consulta a los responsables de privacidad y seguridad de tu organización.
Pruebas antes de producción
- Entradas correctas, incompletas, muy largas y en varios idiomas.
- Texto con instrucciones maliciosas dentro de un documento.
- Respuesta vacía, categoría desconocida y JSON inválido.
- Error 429, tiempo de espera y caída temporal.
- Rechazo, caducidad y ausencia del aprobador.
- Reintento después de una acción ya realizada.
- Acceso de un usuario sin permiso al historial o a la conexión.
- Rotación de clave y restauración del flujo.
ChatGPT, API y chatgpt-gratis.chat
ChatGPT es el producto oficial de OpenAI; la API es el servicio que consume este flujo; y chatgpt-gratis.chat es una interfaz independiente que también utiliza la API. Una cuenta o plan de uno no concede automáticamente acceso, límites o funciones en los otros.
Si tienes 18 años o más, puedes probar el chat independiente para revisar la redacción de una instrucción ficticia. No introduzcas claves, datos empresariales ni contenido real de clientes.
Preguntas frecuentes
¿La integración es completamente sin código?
No necesariamente. El diseñador es visual, pero HTTP, JSON, esquemas, expresiones, identidad, secretos y errores requieren conocimientos técnicos. El nivel depende del caso y de los conectores.
¿Puedo guardar la clave en una variable del flujo?
No la trates como texto ordinario. Usa un almacén de secretos o una referencia segura, limita permisos y activa Secure inputs y Secure outputs donde corresponda.
¿Una aprobación elimina todos los riesgos?
No. El aprobador necesita contexto, tiempo y autoridad. También hacen falta validación, separación de funciones, registros y controles sobre la acción posterior.
¿Power Automate debe reintentar todos los errores?
No. Reintenta solo fallos transitorios y evita duplicar acciones. Los errores de configuración o validación deben detenerse y corregirse.
Fuentes oficiales
- OpenAI Developer Quickstart.
- Migrar a Responses API.
- Controles de datos de la plataforma OpenAI.
- Prácticas de seguridad para claves de API.
- Microsoft: proteger datos en flujos de nube.
- Microsoft: aprobaciones en Power Automate.
- Microsoft: gestión de errores y reintentos.
- Microsoft: políticas de datos de Power Platform.
Independencia y revisión editorial
Este artículo fue redactado desde cero y revisado por una persona contra documentación oficial de OpenAI y Microsoft. Las herramientas de IA pueden asistir en el borrador, pero no validan la arquitectura ni autorizan un despliegue. La documentación del proveedor y las políticas de tu organización prevalecen.
chatgpt-gratis.chat no está afiliado, patrocinado ni respaldado por OpenAI o Microsoft. Consulta la Política Editorial, la Política de Privacidad y la página de Seguridad.
