feat(umind): que el cliente conecte su propia cuenta de IA

El modelo soportaba una config de IA por espacio desde hace varias fases, pero
no había forma de cargarla: ni el cliente desde el portal, ni el staff por él.
Quedaba como una columna que solo se podía llenar tocando la base a mano.

Ahora hay una pantalla — "Tu IA", desde la lista de agentes — donde se conecta
una cuenta de OpenAI, Anthropic, Gemini, Groq, DeepSeek, Qwen u Ollama. Con el
botón "Probar", que manda una consulta real: una clave vencida se descubre ahí
y no cuando un cliente escribe y no le contestan.

El aislamiento es la parte delicada, y va en tres capas:

Las configs globales son del staff. Un cliente puede usarlas —le aparecen en el
selector— pero no editarlas ni borrarlas; el acceso corta antes de mirar
permisos, así que ni siquiera se le confirma que existen. Sin eso, cualquiera
podría cambiarle el proveedor de IA a todos los demás o dejarlos sin servicio.

El tenant sale del alcance ya validado, nunca del body. Si viniera del cuerpo
de la petición, bastaría con cambiar el número para colgarle una config a otro
cliente, y con ella una clave que no es suya.

El tenant no se puede mover en una edición, por lo mismo al revés: sería
regalarle la propia.

La clave se guarda cifrada y no vuelve nunca al navegador — ni al dueño. Solo
sus últimos cuatro caracteres, que alcanzan para reconocer cuál cargó.

Borrar está bloqueado si hay agentes usándola: si no, quedarían apuntando a
algo inexistente y cayendo al proveedor global sin que nadie se entere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

orchestrator/src/router.js

@@ -3,6 +3,7 @@ import Home from './views/Home.vue'
 import TenantAgentes from './views/TenantAgentes.vue'
 import AgenteDetail from './views/AgenteDetail.vue'
 import Uso from './views/Uso.vue'
+import AiPropia from './views/AiPropia.vue'
 import { contexto } from './lib/contexto.js'
 
 const router = createRouter({
@@ -11,6 +12,7 @@ const router = createRouter({
     { path: '/', name: 'home', component: Home },
     { path: '/tenants/:id', name: 'tenant-agentes', component: TenantAgentes, props: true },
     { path: '/tenants/:id/uso', name: 'uso', component: Uso, props: true },
+    { path: '/tenants/:id/ia', name: 'ai-propia', component: AiPropia, props: true },
     {
       path: '/tenants/:tenantId/agentes/:agenteId',
       name: 'agente-detail',