feat(umind): que el cliente conecte su propia cuenta de IA

El modelo soportaba una config de IA por espacio desde hace varias fases, pero
no había forma de cargarla: ni el cliente desde el portal, ni el staff por él.
Quedaba como una columna que solo se podía llenar tocando la base a mano.

Ahora hay una pantalla — "Tu IA", desde la lista de agentes — donde se conecta
una cuenta de OpenAI, Anthropic, Gemini, Groq, DeepSeek, Qwen u Ollama. Con el
botón "Probar", que manda una consulta real: una clave vencida se descubre ahí
y no cuando un cliente escribe y no le contestan.

El aislamiento es la parte delicada, y va en tres capas:

Las configs globales son del staff. Un cliente puede usarlas —le aparecen en el
selector— pero no editarlas ni borrarlas; el acceso corta antes de mirar
permisos, así que ni siquiera se le confirma que existen. Sin eso, cualquiera
podría cambiarle el proveedor de IA a todos los demás o dejarlos sin servicio.

El tenant sale del alcance ya validado, nunca del body. Si viniera del cuerpo
de la petición, bastaría con cambiar el número para colgarle una config a otro
cliente, y con ella una clave que no es suya.

El tenant no se puede mover en una edición, por lo mismo al revés: sería
regalarle la propia.

La clave se guarda cifrada y no vuelve nunca al navegador — ni al dueño. Solo
sus últimos cuatro caracteres, que alcanzan para reconocer cuál cargó.

Borrar está bloqueado si hay agentes usándola: si no, quedarían apuntando a
algo inexistente y cayendo al proveedor global sin que nadie se entere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pkg/services/ia_service.go

@@ -38,3 +38,32 @@ func CompletarTextoIA(servicio, sistema, usuario string) (string, error) {
 	}
 	return texto, nil
 }
+
+// ProbarAiConfig manda una consulta mínima a una configuración concreta y
+// devuelve lo que contestó.
+//
+// A diferencia de CompletarTextoIA, no resuelve la config por módulo: recibe la
+// que hay que probar. Es lo que necesita alguien que acaba de cargar su cuenta
+// y quiere saber si la clave sirve, antes de que lo descubra un cliente real.
+func ProbarAiConfig(cfg *models.AiConfig) (string, error) {
+	if cfg == nil {
+		return "", fmt.Errorf("no hay configuración que probar")
+	}
+	if strings.TrimSpace(cfg.ModelName) == "" {
+		return "", fmt.Errorf("falta el modelo en esta configuración")
+	}
+
+	msg, _, err := callAI(cfg, []agentMessage{
+		{Role: "system", Content: "Respondé con una sola palabra."},
+		{Role: "user", Content: "Decí \"listo\" si me estás leyendo."},
+	}, nil)
+	if err != nil {
+		return "", fmt.Errorf("%s rechazó la consulta: %w", cfg.Provider, err)
+	}
+
+	texto, _ := msg.Content.(string)
+	if strings.TrimSpace(texto) == "" {
+		return "", fmt.Errorf("%s respondió, pero sin texto: revisá el modelo", cfg.Provider)
+	}
+	return strings.TrimSpace(texto), nil
+}