fix(umind): la config de IA de un cliente podía atender tareas del sistema

Auditando el aislamiento apareció el agujero al revés del que se buscaba: no
un cliente leyendo datos de otro, sino la cuenta de IA de un cliente pagando
trabajo nuestro.

GetAiConfigForService recorre las configs activas y devuelve la primera sin
módulo asignado. Las configs de cliente no llevan módulo — ninguna lo lleva, es
parte del diseño — así que caían justo en ese fallback. Con un cliente que
hubiera conectado su cuenta, su clave terminaba clasificando correos de
soporte, importando plantillas o atendiendo la vCard. Ninguno de los dos se
enteraba: la respuesta llegaba igual y la factura le llegaba a él.

Todos los resolvedores globales filtran ahora tenant_id IS NULL. Un test lo
verifica sobre el código de cada uno, porque son consultas a base y acá no hay
una.

El de embeddings además no podía ser de cliente por otra razón: los vectores de
todos los agentes tienen que salir del mismo modelo o la similitud coseno entre
ellos no significa nada. Un cliente con su propio modelo de embeddings rompía
su propia búsqueda sin un solo error visible.

Del alcance entre clientes, que era lo que se auditaba: los 39 handlers de
uMind validan, y el CRUD de espacios y planes ni siquiera se monta en las rutas
del portal. Lo que faltaba era prueba: UmindScopeDe distingue "staff" de
"cliente sin espacios" por nil contra slice vacío, y esa diferencia no tenía
un solo test. Ahora la cubre uno que además falla si se invierte el fail-closed
de una ruta sin scope — probado inyectando las dos fugas.

Y dos cosas que quedaban colgando:

En /app/ai-config toda config de cliente se mostraba como "Global", que es
justo lo que no es. Ahora dice de qué espacio es, por nombre.

El consumo de una cuenta propia se registraba con el costo del plan. Se sigue
midiendo —el cliente quiere ver cuánto usa su asistente— pero con costo cero y
marcado como cuenta propia: cobrarlo también sería cobrar dos veces lo mismo.
En la pantalla de consumo aparece "va por tu cuenta de IA" en vez de un "$0"
que parecería un error. El OCR y la transcripción siguen costando: son
servicios nuestros, los use quien los use.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pkg/models/umind_uso.go

@@ -33,6 +33,11 @@ type UmindUso struct {
 	Moneda   string  `json:"moneda" gorm:"column:moneda;size:3"`
 	// FacturadoAt null = pendiente de cobrar en el próximo ciclo.
 	FacturadoAt *time.Time `json:"facturado_at" gorm:"column:facturado_at;index"`
+	// CuentaPropia marca el consumo que salió por la cuenta de IA del propio
+	// cliente. Se sigue midiendo —quiere ver cuánto usa su asistente— pero con
+	// costo cero: ya se lo factura su proveedor, y cobrárselo también sería
+	// cobrar dos veces por lo mismo.
+	CuentaPropia bool `json:"cuenta_propia" gorm:"column:cuenta_propia;default:false;index"`
 }
 
 func (UmindUso) TableName() string { return "umind_uso" }
@@ -55,12 +60,22 @@ func RegistrarUsoUmind(agenteID uint, tipo string, cantidad float64, unidad stri
 	if plan != nil {
 		moneda = plan.Moneda
 	}
-	costo := costoDeUso(plan, tipo, cantidad)
+
+	// Si el agente corre sobre la cuenta de IA del propio cliente, el consumo
+	// se registra igual pero no se le cobra: su proveedor ya se lo factura.
+	// Solo aplica a los tokens de IA — el OCR y la transcripción son nuestros
+	// servicios, los use quien los use.
+	propia := tipo == UsoTipoIA && agenteUsaCuentaPropia(agente)
+
+	costo := 0.0
+	if !propia {
+		costo = costoDeUso(plan, tipo, cantidad)
+	}
 
 	uso := &UmindUso{
 		TenantID: agente.TenantID, AgenteID: agenteID,
 		Tipo: tipo, Cantidad: cantidad, Unidad: unidad,
-		Costo: costo, Moneda: moneda,
+		Costo: costo, Moneda: moneda, CuentaPropia: propia,
 	}
 	if err := app.Http.Database.DB.Create(uso).Error; err != nil {
 		log.Printf("[UMIND_USO] no se pudo registrar consumo del agente %d (%s %.2f %s): %v", agenteID, tipo, cantidad, unidad, err)
@@ -204,3 +219,16 @@ func MarcarUsoFacturadoPorCliente(clienteID uint) {
 		log.Printf("[UMIND_USO] no se pudo marcar como facturado el consumo del cliente %d: %v", clienteID, err)
 	}
 }
+
+// agenteUsaCuentaPropia dice si el agente apunta a una config de IA cargada por
+// el cliente (con tenant), en vez de a una nuestra.
+func agenteUsaCuentaPropia(agente *UmindAgente) bool {
+	if agente == nil || agente.AiConfigID == nil {
+		return false
+	}
+	var cfg AiConfig
+	if err := GetAiConfigByID(*agente.AiConfigID, &cfg); err != nil {
+		return false
+	}
+	return cfg.TenantID != nil
+}