Confianza, propiedad y licencias

Confiar en una herramienta que edita tu proyecto se reduce a unas pocas preguntas con respuestas comprobables. ¿De quién es este trabajo y bajo qué licencia? ¿Qué archivos considera suyos la herramienta y cómo los distingue de los tuyos? ¿Qué conserva cuando la actualizas o la quitas? ¿Qué está restringido a propósito? Esta página responde a cada una, con el archivo o el comando que permite comprobarlo.

Quién escribió qué#

BMAD+ lo crea Laurent Rochetta. Es un proyecto comunitario independiente derivado de BMAD-METHOD (MIT) de BMad Code, LLC; no está afiliado a BMad Code, LLC, ni aprobado ni certificado por ella, y BMad, BMad Method y BMad Core son marcas de BMad Code, LLC. La base declarada es BMAD-METHOD v6.6.0. Las inspiraciones y el material adaptado se acreditan donde se usan, y la tabla separa lo que escribió el autor del proyecto de lo que viene de fuera.

El texto completo de las licencias y las notas de revisión están en THIRD-PARTY-LICENSES.md, incluido en el paquete npm y en el repositorio en github.com/lrochetta/BMAD-PLUS ↗, junto a LICENSE (MIT, copyright 2026 Laurent Rochetta). Los avisos describen el material fuente incluido o adaptado; no afirman que cada archivo entregado coincida byte a byte con una revisión del origen.

Qué archivos posee BMAD+ y cómo lo sabe#

Cada archivo que escribe el instalador se registra con su hash SHA-256 en el manifiesto _bmad/.bmad-plus-install.json (un fileInventory). Un archivo es de BMAD+ mientras sus bytes sigan coincidiendo con el hash registrado; cuando lo editas, es tuyo. Los adaptadores se siguen aparte con un hash de su contenido con finales de línea normalizados. Este inventario de propiedad rige tres comportamientos: doctor informa de las diferencias, la actualización conserva los archivos editados y la desinstalación solo quita lo que sigue siendo idéntico byte a byte.

$ npx bmad-plus doctor --json
{
  "schemaVersion": 1,
  "status": "ok",
  "versions": { "installed": "0.23.0", "cli": "0.23.0", "published": null },
  "inventory": { "status": "complete", "trackedFiles": 39 },
# Extracto, reformateado en menos líneas. `published` es siempre null: doctor nunca consulta npm.

Qué se conserva y cuándo#

Qué quita la desinstalación y qué conserva#

La desinstalación solo quita los archivos de los que BMAD+ es propietario: los idénticos byte a byte a lo que entregó, los adaptadores cuyo hash coincide y que llevan la marca de instalación, las habilidades copiadas de un paquete externo como design-skill y el manifiesto. Quita las carpetas vacías que poseía y nunca borra de forma recursiva. Conserva _bmad/config.yaml, la memoria del proyecto, _bmad-output/, los archivos que editaste y los que no conoce. Rechaza las rutas con enlaces y, sin terminal, exige --yes. Con un manifiesto no válido sale con 1. La receta de la 0.23.0 incluía esta comprobación: una nota testigo colocada en .agents/memory/ sobrevivió y las habilidades de diseño copiadas habían desaparecido.

$ New-Item -ItemType Directory -Path .\demo-app\.agents\memory -Force
$ Set-Content -LiteralPath .\demo-app\.agents\memory\context.md -Value 'BMAD+ 0.23.0 memory witness' -Encoding utf8
$ npx bmad-plus uninstall --yes --directory .\demo-app
T   BMAD+ Uninstaller
•  BMAD+ v0.23.0 (installé le 2026-10-18)
•  Packs sélectionnés: core, design
o  ✅ BMAD+ supprimé (106 éléments)
—  La mémoire, les réglages et les fichiers inconnus ou modifiés ont été conservés.
$ Get-Content -LiteralPath .\demo-app\.agents\memory\context.md
BMAD+ 0.23.0 memory witness
$ Test-Path .\demo-app\.agents\skills\design\SKILL.md
False

Lo que se regula o restringe a propósito#

El pack OSINT: conservar y regular#

Investigar a una persona con nombre es tratamiento de datos personales, y perfilar o inferir la personalidad está regulado (artículos 4(4), 22 y 9 del RGPD, y leyes equivalentes como el RGPD británico, la LGPD y la CCPA/CPRA). «Públicamente disponible» no significa que no se apliquen reglas. El proyecto decidió el 2026-07-02 conservar el pack y regularlo en vez de quitarlo. La puerta de la fase menos 1 se aplica a cada vía directa a datos personales (investigación completa, recogida de LinkedIn, Instagram y Facebook, perfil de personalidad, enriquecimiento de contacto): antes de cualquiera, el agente registra una base legal (artículo 6, y una condición del artículo 9(2) para el perfilado de personalidad), un propósito concreto (se rechaza un «encuentra lo que haya» abierto), el responsable, un plazo de conservación y cómo se atienden las solicitudes de acceso y supresión, con la plantilla assets/lawful-basis-record.md. Si no puedes enunciar una base y un propósito, el agente rechaza la operación sobre la persona con nombre y ofrece alternativas no personales: investigación de empresas, productos o mercados, o de una entidad pública. Una búsqueda rápida sobre un alias público, el comando de diagnóstico y las vías de herramientas están exentos.

Cada dossier abre con el aviso «AI-generated OSINT output - may contain errors; not legal advice. The operator is the data controller and is responsible for the lawful basis (GDPR Art. 6/9), platform Terms of Service, and human verification before any decision.» El agente nunca perfila a un particular sin base registrada, califica cada hecho de A a D y gasta como máximo 0,50 dólares sin preguntar. Ninguna clave de proveedor es obligatoria por sí sola: basta una de cualquier proveedor (APIFY_API_TOKEN, Perplexity, Exa, Tavily, Jina y otros), y el pack solo envía consultas a un proveedor una vez definida su clave (ver tratamiento de datos). El aviso legal es osint-agent-package/skills/bmad-osint-investigate/osint/references/gdpr-osint.md en el repositorio.

Otras fronteras deliberadas#

• Shield: cada informe lleva la marca de generado por IA y «Not legal advice». Una afirmación de aseguramiento respaldada significa que una comprobación nombrada pasó, nunca una certificación, y una correlación de controles en una revisión es una invitación a mirar.
• Revisiones y aceptación: una revisión clean significa ningún hallazgo abierto en un ámbito cubierto por completo, no una prueba de que el código sea correcto; la puerta de aceptación dice «human-observed: complete, current and triaged» y no establece que el probador mirara en el lugar correcto.
• Enjambres: las unidades simuladas no son personas; las tasas son un tope máximo; las citas no son testimonios; la generación de medios de pago nunca la cubre un presupuesto.
• Sin runtime de modelo propio (el único programa que puede lanzar es un comando o una ejecución de Codex que declara un plan de Nexus), sin procesos en segundo plano, sin telemetría, sin autoactualización silenciosa, sin corrección automática a partir de una revisión, sin extensión de IDE, sin publicar en forjas. Son fronteras deliberadas, no carencias a la espera de una versión.
• Escrituras fuera del proyecto: la CLI escribe dentro de la carpeta del proyecto; scan escribe fichas de proyecto en el cerebro global, ~/.bmad-plus/brain/, el pack Memory escribe dentro del cerebro que enlazó, y update --latest ejecuta npm exec en una carpeta temporal del sistema. Nunca escribe sin invitación en la organización propia de un cerebro de cartera.

Compruébalo tú mismo#

Ejecuta npx bmad-plus doctor --json y lee _bmad/.bmad-plus-install.json. Dime la versión instalada, los packs y herramientas, cuántos archivos sigue BMAD+, qué archivos difieren de su hash registrado y qué archivos de las carpetas de BMAD+ no posee. Luego dime qué quitaría npx bmad-plus uninstall --yes y qué conservaría. No cambies nada.