MCP para base de datos: analítica segura y de solo lectura en lenguaje natural

La mayoría de las empresas tienen una o dos personas capaces de responder preguntas a partir de la base de datos. Todos los demás esperan. Un director comercial quiere los ingresos del último trimestre por región. Un responsable de operaciones quiere los pedidos retrasados por almacén. Cada solicitud se pone a la cola y las preguntas sencillas tardan días.

El coste son decisiones más lentas y la costumbre silenciosa de suponer. La gente deja de preguntar porque la respuesta llega demasiado tarde para servir de algo. Mientras tanto, el analista dedica la semana a pequeñas consultas en lugar del trabajo de fondo para el que fue contratado.

Qué hace

MCP (Model Context Protocol) es un estándar abierto presentado por Anthropic. Permite que asistentes de IA como Claude, y otros clientes compatibles, se conecten a herramientas y datos mediante pequeños programas llamados servidores MCP. La compatibilidad varía según el cliente de IA, así que consulte la documentación actual de cada cliente antes de planificar un despliegue.

Un servidor MCP para bases de datos permite que un responsable haga una pregunta en lenguaje natural. La respuesta procede de Postgres, MySQL, SQL Server o una base de datos similar. El asistente elige una herramienta, el servidor ejecuta una consulta segura y el resultado vuelve con la consulta visible para poder comprobarla. Algunas preguntas habituales:

• "¿Cuáles fueron los ingresos por región el último trimestre, comparados con el trimestre anterior?"
• "¿Qué productos tuvieron más devoluciones de lo habitual este mes?"
• "¿Cuántos pedidos salieron con retraso de cada almacén la semana pasada?"

La palabra clave es seguro. El diseño que se describe a continuación mantiene al asistente en solo lectura, lejos de los datos personales y sin capacidad para ralentizar la producción.

Herramientas predefinidas frente a SQL libre

Hay dos formas de dar a un asistente acceso a sus datos. Cada una conviene a un público distinto.

Herramientas predefinidas

Cada herramienta ejecuta una consulta fija y revisada con unos pocos parámetros, como un rango de fechas y una región. Las respuestas son rápidas y coherentes. El modelo no puede escribir un join erróneo, porque nunca escribe SQL. Esto conviene a los responsables y a la mayor parte del personal.

SQL libre con salvaguardas

El modelo escribe una consulta y el servidor la comprueba antes de ejecutarla. Debe ser un único SELECT sobre vistas aprobadas, al que se añade un límite de filas. Esto permite atender preguntas inesperadas, pero las respuestas requieren más comprobación. Conviene a analistas capaces de leer la consulta y detectar errores.

La mayoría de los equipos empiezan con herramientas predefinidas para las preguntas principales. Añaden SQL con salvaguardas más adelante, para un grupo reducido, si hay demanda.

Cómo funciona, paso a paso

1. Usar una réplica de lectura. Las consultas se ejecutan sobre una copia de la base de datos, no sobre la principal. Una consulta pesada no puede afectar a los clientes.
2. Crear vistas seleccionadas. Construimos vistas con nombres claros, como sales_by_region_monthly, en lugar de exponer tablas en bruto. Las vistas ocultan los joins y las columnas internas.
3. Dejar fuera los datos personales. Por defecto, las vistas excluyen nombres, correos, números de teléfono y campos similares. Los datos agregados responden de todos modos a la mayoría de las preguntas de negocio.
4. Crear un usuario de solo lectura. El servidor se conecta con un usuario de base de datos que solo puede hacer consultas sobre las vistas seleccionadas.
5. Ofrecer dos tipos de herramientas. Las herramientas predefinidas responden a las preguntas habituales con consultas fijas. Una herramienta de SQL con salvaguardas, si la desea, solo acepta sentencias SELECT únicas sobre vistas aprobadas.
6. Aplicar límites. Cada consulta tiene un límite de filas y un tiempo máximo. Los resultados se resumen antes de devolverse al asistente.
7. Registrar cada consulta. Registramos el usuario, la pregunta, el SQL ejecutado, el tiempo empleado y el número de filas.
8. Probar con respuestas conocidas. Antes del despliegue, comprobamos el asistente con preguntas cuya respuesta correcta ya se conoce.

Herramientas que utilizamos

• SDK de MCP para Python o TypeScript.
• Python con FastAPI y controladores de base de datos estándar para Postgres, MySQL y SQL Server.
• Un analizador de SQL para comprobar que las consultas con salvaguardas son sentencias únicas de solo lectura sobre vistas permitidas.
• Su base de datos actual y sus funciones nativas de réplica de lectura o replicación.
• Registro estructurado en su plataforma de registros actual, para que las consultas puedan buscarse y auditarse.

Las funciones de las bases de datos y de los clientes de IA cambian. Consulte la documentación actual del proveedor de su base de datos y de su cliente sobre réplicas, permisos y compatibilidad con MCP.

Qué necesita para empezar

• Un administrador de bases de datos que pueda crear una réplica de lectura, vistas y un usuario restringido.
• Una veintena de preguntas reales que la gente hace hoy, con respuestas conocidas para las pruebas.
• Un breve diccionario de datos, aunque sea informal, que explique qué significan las tablas y columnas clave.
• Una decisión sobre qué datos son sensibles y deben quedar fuera de todas las vistas.
• Un cliente de IA acordado que admita MCP para sus usuarios.

Alcance y plazos habituales

Como estimación, una primera versión de solo lectura suele llevar de una a tres semanas. Eso incluye unas pocas vistas seleccionadas y herramientas predefinidas. El rango depende de lo ordenado que esté su esquema y de si ya existe una réplica de lectura. Los esquemas desordenados llevan más tiempo porque las vistas hacen la limpieza. Una herramienta de SQL libre con salvaguardas, si se necesita, suele llegar cuando las vistas seleccionadas han demostrado ser fiables.

Riesgos y cómo los gestionamos

Respuestas erróneas con aparente seguridad

Un asistente puede malinterpretar una columna y dar una cifra plausible pero errónea. Las vistas seleccionadas con nombres claros lo reducen. El asistente muestra la consulta que ejecutó y probamos frente a respuestas conocidas antes del lanzamiento.

Exposición de datos personales o sensibles

El usuario de base de datos restringido solo puede leer vistas aprobadas. Los campos personales se excluyen a nivel de vista, así que ningún prompt puede llegar a ellos.

Consultas lentas o costosas

La réplica, los límites de filas y los tiempos máximos protegen la producción. Vigilamos el registro de consultas en busca de patrones que requieran una nueva vista o un índice.

Inyección de prompts e inyección SQL

El texto almacenado en la base de datos puede contener instrucciones dirigidas al asistente. El servidor solo ejecuta sentencias de solo lectura validadas, y las respuestas de las herramientas se tratan como datos. Consulte nuestra lista de verificación de seguridad para servidores MCP para ver la lista completa.

Cuándo no conviene construirlo

Si su herramienta de BI ya ofrece una función de lenguaje natural que cubre sus preguntas y permisos, utilícela. Si cada lunes se necesitan las mismas cinco cifras, un informe programado es más barato y predecible. Nuestra guía sobre informes automáticos de KPI en Slack y Telegram trata esa vía. Y si sus datos necesitan una limpieza a fondo antes de que nadie pueda fiarse de ellos, resuelva eso primero. Un asistente hace que los datos malos sean más accesibles, no más correctos.

Si sus preguntas están en documentos y no en tablas, un sistema de recuperación encaja mejor. Consulte un asistente de conocimiento interno para Slack y Teams. Si también necesita respuestas de API y de sistemas de negocio más antiguos, lea MCP para API internas y sistemas ERP.

Cómo puede ayudar UnlockLive

UnlockLive IT es una agencia de software con sede en Toronto y su propio equipo de ingeniería. Desarrollamos estas integraciones para empresas de Estados Unidos, Canadá, el Reino Unido y Australia. Nuestro servicio de desarrollo de servidores MCP abarca el alcance, el modelo de amenazas, la construcción, el despliegue y el mantenimiento continuo. Como el acceso a la base de datos es delicado, nuestro equipo de ciberseguridad puede revisar los permisos, el registro y el modelo de amenazas antes del despliegue.

Si desea una segunda opinión sobre el alcance o el riesgo, reserve una llamada gratuita de 30 minutos. Traiga una o dos preguntas que su equipo se plantee cada semana y le diremos con honestidad si un servidor MCP es la herramienta adecuada.