feat(umind): que el cliente conecte su propia cuenta de IA

El modelo soportaba una config de IA por espacio desde hace varias fases, pero
no había forma de cargarla: ni el cliente desde el portal, ni el staff por él.
Quedaba como una columna que solo se podía llenar tocando la base a mano.

Ahora hay una pantalla — "Tu IA", desde la lista de agentes — donde se conecta
una cuenta de OpenAI, Anthropic, Gemini, Groq, DeepSeek, Qwen u Ollama. Con el
botón "Probar", que manda una consulta real: una clave vencida se descubre ahí
y no cuando un cliente escribe y no le contestan.

El aislamiento es la parte delicada, y va en tres capas:

Las configs globales son del staff. Un cliente puede usarlas —le aparecen en el
selector— pero no editarlas ni borrarlas; el acceso corta antes de mirar
permisos, así que ni siquiera se le confirma que existen. Sin eso, cualquiera
podría cambiarle el proveedor de IA a todos los demás o dejarlos sin servicio.

El tenant sale del alcance ya validado, nunca del body. Si viniera del cuerpo
de la petición, bastaría con cambiar el número para colgarle una config a otro
cliente, y con ella una clave que no es suya.

El tenant no se puede mover en una edición, por lo mismo al revés: sería
regalarle la propia.

La clave se guarda cifrada y no vuelve nunca al navegador — ni al dueño. Solo
sus últimos cuatro caracteres, que alcanzan para reconocer cuál cargó.

Borrar está bloqueado si hay agentes usándola: si no, quedarían apuntando a
algo inexistente y cayendo al proveedor global sin que nadie se entere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pkg/models/ai_config.go

@@ -156,6 +156,27 @@ func GetAiConfigSelectPorTenants(tenantIDs []uint) ([]AiConfig, error) {
 	return items, nil
 }
 
+// GetAiConfigsPorTenant lista las configs que cargó un cliente para su espacio.
+// No incluye las globales del staff a propósito: el cliente las puede usar,
+// pero no administrarlas, y mezclarlas acá invitaría a intentarlo.
+func GetAiConfigsPorTenant(tenantID uint) ([]AiConfig, error) {
+	var items []AiConfig
+	err := app.Http.Database.DB.
+		Where("tenant_id = ?", tenantID).
+		Order("nombre ASC").Find(&items).Error
+	return items, err
+}
+
+// ContarAgentesConAiConfig dice cuántos agentes dependen de una config. Sin
+// esto, borrarla los dejaría apuntando a algo inexistente y cayendo al
+// proveedor global sin que nadie se entere.
+func ContarAgentesConAiConfig(aiConfigID uint) (int64, error) {
+	var n int64
+	err := app.Http.Database.DB.Model(&UmindAgente{}).
+		Where("ai_config_id = ?", aiConfigID).Count(&n).Error
+	return n, err
+}
+
 // QuitarAgenteBotSalvo deja como cerebro del agente solo a la config indicada.
 // GetAgenteBotAiConfig hace First() sobre es_agente_bot: con dos marcadas, cuál
 // gana depende del orden de la tabla, que no es una forma de elegir nada.