Conectar un agente de IA a Pennylane y Qonto: lo que permiten sus API

En resumen

• Pennylane y Qonto tienen cada uno una API documentada. Un agente de IA puede conectarse, a través de estas interfaces oficiales, a ambos programas para preparar los justificantes, la conciliación bancaria y los recordatorios de pago.
• En Qonto, una integración creada para clientes pasa por OAuth 2.0. En Pennylane, apuntamos a la V2; el acceso de un proveedor de servicios queda por confirmar con el editor.
• Nuestra regla: el agente lee y prepara, su equipo valida. Solo gana autonomía con su acuerdo por escrito y nunca recibe el derecho de hacer una transferencia.

¿Lleva su contabilidad en Pennylane y su banco es Qonto? Ambos programas se abren a otros programas mediante una API. Una API es una puerta de entrada oficial: un programa le pide datos, o deposita en ella una acción, con una autorización. Un agente de IA puede, por tanto, conectarse. Queda por saber cómo, con qué derechos y dónde están los límites.

Volvimos a leer la documentación oficial el 13 de octubre de 2026. Lo que no dice se señala como tal.

Lo que queremos automatizar: justificantes, conciliación, recordatorios

Tomemos un escenario tipo: una pyme de 30 empleados, la contabilidad en Pennylane, el banco en Qonto. Cada mes, alguien persigue los justificantes, concilia las operaciones bancarias y reclama el pago a los clientes que se retrasan.

Un agente de Documentos contables podrá:

• recuperar las facturas de proveedores, en Pennylane o en el buzón de correo para las que aún llegan así, y extraer el proveedor, la fecha y los importes sin IVA, IVA e IVA incluido;
• proponer la conciliación bancaria, es decir, vincular cada operación bancaria con su factura;
• listar las operaciones sin justificante antes de fin de mes.

Un agente de Recordatorios preparará los correos de recordatorio de las facturas impagadas. En ambos casos, el agente prepara y una persona valida. Se detendrá en cuanto un documento sea ilegible, se sospeche un duplicado o un proveedor sea desconocido.

Una palabra sobre la factura electrónica en Francia. La reforma es efectiva desde el 1 de septiembre de 2026. Desde esa fecha, todas las empresas deben poder recibir facturas electrónicas. Una pyme como la de nuestro ejemplo tiene hasta el 1 de septiembre de 2027 para emitirlas. Estas facturas pasan por una plataforma homologada por la administración. Hasta entonces, estas empresas aún pueden enviar sus facturas directamente a sus clientes. En qué forma exactamente: a comprobar con su asesor contable. El agente no sustituirá a la plataforma homologada: trabajará a su lado, sin romper la cadena legal.

Pennylane: API V2, autenticación, límites conocidos

La versión. Pennylane presenta la V2 como «la versión estable oficial». La V1 está declarada obsoleta desde julio de 2025, y los usuarios tenían hasta finales de 2025 para migrar. Una conexión nueva apunta, por tanto, a la V2.

La autenticación. Existen dos vías.

• El token de empresa: una clave secreta creada en los ajustes de Pennylane, que se muestra una sola vez. Hace falta un plan Essential o superior y acceso de administrador. Se elige «solo lectura» o «lectura y escritura», y después una duración: 1, 6 o 12 meses, o ilimitada.
• La aplicación OAuth 2.0. OAuth 2.0 es un protocolo de autorización: usted concede un acceso limitado a una aplicación sin confiarle su contraseña. La aplicación se registra ante el equipo de Alianzas de Pennylane. El token de acceso, la clave temporal que recibe la aplicación, caduca a las 24 horas.

Las condiciones de uso de la API datan de enero de 2024. Llaman «socio de API» a un tercero al que Pennylane autoriza a desarrollar integraciones. Según estas condiciones, el identificador OAuth sirve para llamar a la API, y Pennylane lo concede a su discreción. También reservan el acceso a la API a los usuarios autorizados y a los socios de API, obligados a la confidencialidad. El caso de un proveedor de servicios que utilizara el token de su cliente no se trata con claridad: plantearemos la pregunta por escrito a Pennylane antes de cualquier conexión.

Los permisos. Cada acceso, token o aplicación, lleva permisos por tipo de dato, llamados «scopes». Cada uno existe en dos versiones: :readonly para solo lectura, :all para leer, escribir y, según la regla general de la página, borrar. No existe un nivel «escribir sin borrar». Según la página de referencia, transactions:readonly basta para leer las operaciones bancarias. En cambio, registrar una conciliación en Pennylane requiere supplier_invoices:all. Las mismas páginas citan todavía el antiguo permiso ledger: lo probaremos en el entorno de pruebas antes de redactar la ficha de funciones del agente.

Los límites conocidos.

• 25 solicitudes cada 5 segundos por token. Una solicitud es una llamada del programa a la API. Más allá, la API responde con un error 429 («demasiadas solicitudes») e indica cuántos segundos hay que esperar.
• Los webhooks, esos mensajes que Pennylane envía cuando cambia un dato, están en beta, es decir, todavía en fase de pruebas. Mientras tanto, Pennylane aconseja apoyarse en los puntos de acceso que listan los cambios. Un punto de acceso es una dirección concreta de la API, dedicada a un tipo de dato.
• Un entorno de pruebas se crea desde la cuenta de la empresa: se prueba sin tocar los datos reales.

Qonto: clave de API u OAuth, y por qué usaremos OAuth

La API Business de Qonto acepta dos modos de autenticación: la clave de API y OAuth 2.0.

La clave de API es para los clientes de Qonto que automatizan su propia empresa. Las pautas para desarrolladores la consideran más sencilla. Remiten a OAuth 2.0 en cuanto hacen falta acciones sensibles o se quiere limitar los permisos a una lista precisa.

Para una integración creada para sus clientes, Qonto remite al flujo OAuth 2.0. Es nuestra elección: incluso cuando el agente funcione en sus servidores, seremos nosotros quienes lo construyamos y lo conectemos. OAuth también permite darle una lista cerrada de permisos.

Conviene saberlo: la clave de API ya abre muchas cosas. Permite, por ejemplo, crear una transferencia entre dos cuentas de la misma empresa. La creación de una transferencia SEPA, las transferencias internacionales y las acciones sobre las tarjetas solo se abren con OAuth, y solo con el permiso correspondiente.

Un punto que conviene conocer: con OAuth, leer las operaciones bancarias requiere el permiso organization.read. Qonto lo clasifica como «sensible»: da acceso al saldo, al IBAN, a las transacciones, a la organización y al equipo. Para una aplicación que se conecta a las cuentas de sus clientes, este permiso pasa por una validación de Qonto antes de la puesta en producción. Qonto aconseja solicitar solo los permisos útiles. Si el agente solo necesita los PDF de las facturas de proveedores o de clientes, basta con attachment.read, sin organization.read.

Límites publicados: 1000 solicitudes por 10 segundos y 10 000 por 10 minutos, por dirección IP, es decir, por dirección de red de la máquina que llama a la API. Los enlaces de descarga de los archivos adjuntos caducan a los 30 minutos. Un entorno de pruebas está abierto a los inscritos en el portal para desarrolladores.

El acceso mínimo: solo lectura al principio, ninguna transferencia por parte del agente

Nuestra regla es sencilla: el agente recibe lo mínimo.

• Solo lectura por defecto. En Pennylane: transactions:readonly, supplier_invoices:readonly, customer_invoices:readonly. En Qonto: organization.read, attachment.read o client_invoices.read, según la necesidad real escrita en la ficha de funciones del agente.
• Escritura solo si usted la pide, sobre un único tipo de dato. Ejemplo: adjuntar un justificante a una operación de Qonto (attachment.write). Otro ejemplo: registrar en Pennylane una conciliación validada, con supplier_invoices:all. Este permiso también puede dar derecho a borrar facturas de proveedores: se lo diremos antes de solicitarlo.
• Ningún permiso de pago, de transferencia o de tarjeta: ni payment.write, ni internal_transfer.write, ni international_transfer.write, ni card.write. Sin ellos, el agente no tiene la llave para hacer una transferencia, ni siquiera por error.

Al principio, cada escritura pasa por su validación. Un agente solo gana autonomía a partir de mediciones (tasa de acuerdo, errores) y con su acuerdo por escrito. Los pagos quedan fuera de su alcance.

La conciliación seguirá el mismo principio. El agente leerá sus operaciones y sus facturas, y después propondrá las coincidencias en una pantalla de validación prevista a tal efecto. Su equipo confirmará o corregirá. Cada acción quedará anotada en un registro: lo que el agente leyó, lo que propuso, quién validó y cuándo.

Versiones congeladas y cambios de API: evitar el fallo silencioso

Una API evoluciona. El verdadero riesgo no es la avería franca, que se ve enseguida. Es el fallo silencioso: un dato que deja de llegar sin que nadie se dé cuenta.

Pennylane ofrece un ejemplo reciente. Su guía de cambios de 2026 sustituye el antiguo permiso ledger por permisos más precisos. También cambia la forma de dividir en páginas algunas listas. El calendario: prueba posible desde el 14 de enero de 2026, nuevo comportamiento por defecto el 8 de abril, sin vuelta atrás posible el 1 de julio de 2026.

Pennylane promete un correo al menos un mes antes de declarar obsoleta una versión. Cada respuesta de la API lleva además una cabecera, una información técnica adjunta a la respuesta: Api-Version-Expires-At indica la fecha de fin de una versión antigua. Sin embargo, sus condiciones de uso se reservan el derecho de modificar la API «con o sin preaviso» (traducción nuestra).

En Qonto, un cambio incompatible da lugar a una nueva versión de la API. Dentro de una misma versión, Qonto puede añadir campos o puntos de acceso en cualquier momento. Qonto no publica un plazo de preaviso antes de retirar una versión.

Nuestro método prevé tres salvaguardas:

• Cada agente desplegado tendrá un número de versión, y sus conectores también. Un conector es la parte del programa que habla con la API de un software. Una actualización pasará por una breve serie de pruebas en el entorno de pruebas.
• El conector vigilará las señales de alerta: la cabecera de fin de versión de Pennylane, errores 429 repetidos, una respuesta vacía donde espera datos.
• En caso de duda, el agente se detendrá y lo señalará él mismo: se abrirá un ticket en nuestra herramienta de soporte, y usted lo seguirá en su futuro espacio de cliente.

¿Utiliza otro software?

El método sigue siendo el mismo: leer la documentación oficial, anotar la versión, la autenticación y los límites, y decir lo que no está verificado. Holded y Exact Online pasarán por este mismo repaso antes de las versiones española y belga de este artículo. Mientras sus API no estén verificadas en la fuente, no prometemos nada sobre estos conectores.

Para ir más allá

• Los agentes de Documentos contables y de Recordatorios y facturas: Nuestros agentes de IA
• Los niveles de autonomía, del agente que observa al agente autónomo supervisado: Nuestro método
• Las alertas y los tickets que los agentes abrirán ellos mismos: Supervisión
• Dónde se tratan sus datos: Datos y seguridad
• Hacer balance de sus herramientas y sus API: la auditoría, 490 € sin IVA, deducida del presupuesto de puesta en marcha si lo firma en un plazo de 30 días