Protección para sobrevivir a los ciberataques
Ocurre en muchas empresas: alguien descubre una herramienta que ahorra tiempo, abre una cuenta con el correo corporativo y pega un documento para probarla. Normalmente quiere ahorrar tiempo, pero puede abrir un problema de privacidad, confidencialidad, seguridad o propiedad intelectual.
A este uso fuera del conocimiento o control de la empresa se le suele llamar shadow AI. La empresa necesita un canal para que el empleado consulte y pida la evaluación de una herramienta antes de improvisar.
Puntos principales
- Una herramienta no validada no debe utilizarse con información o fines de empresa.
- El catálogo debe indicar herramienta, uso permitido, datos admitidos y límites.
- La empresa necesita un proceso breve para evaluar nuevas solicitudes.
- El empleado necesita un área responsable y un canal fácil de encontrar.
Por qué aparece la IA en la sombra
La adopción informal suele nacer de una fricción real: una tarea repetitiva, una herramienta corporativa que no cubre la necesidad o un proceso de aprobación demasiado lento. Si la política interna solo dice «no», el equipo puede ocultar el uso en lugar de pedir ayuda.
También influye una falsa sensación de inocuidad. Una interfaz de chat parece menos arriesgada que instalar software, pero puede implicar creación de cuentas, aceptación de términos, transferencias de datos, conservación de conversaciones, entrenamiento, integraciones y acceso a archivos.
Los riesgos que la empresa debe valorar
- Datos personales: base jurídica, transparencia, minimización, encargados, transferencias y ejercicio de derechos.
- Información confidencial: secretos empresariales, precios, estrategia, credenciales, código o documentación de clientes.
- Seguridad: permisos excesivos, complementos, conexiones a correo o almacenamiento y contenido malicioso.
- Propiedad intelectual: condiciones sobre entradas y salidas, materiales protegidos y capacidad real de reutilización.
- Fiabilidad: alucinaciones, sesgos, falta de trazabilidad y resultados difíciles de reproducir.
- AI Act y sector: prácticas prohibidas, usos de alto riesgo, transparencia y obligaciones específicas.
- Continuidad: cambios de precio, funciones, términos, ubicación de datos o desaparición del proveedor.
Una herramienta no validada está estrictamente prohibida.
La regla debe ir acompañada de una lista accesible de alternativas aprobadas y de una vía para solicitar la evaluación de una necesidad nueva.
Qué debe facilitar la empresa al empleado
El empleado no debería tener que interpretar contratos, analizar la arquitectura del proveedor o decidir si un uso entra en una categoría regulada. La organización debe bajar esas decisiones a instrucciones comprensibles.
- 01
Un área responsable del uso de IA y un canal para dudas, solicitudes e incidentes.
- 02
Un listado actualizado de herramientas aprobadas, con protocolos específicos para cada una.
- 03
Reglas claras sobre qué se puede hacer, qué datos se pueden utilizar y qué usos están excluidos.
- 04
Un procedimiento para proponer una herramienta nueva, conocer el estado de la evaluación y recibir una decisión motivada.
- 05
Formación y recordatorios adaptados a los usos reales de cada equipo.
Cómo debe ser el catálogo de herramientas aprobadas
Una lista de nombres no basta. La misma herramienta puede ser adecuada para crear ideas con información pública y no serlo para analizar expedientes de clientes. El catálogo debe describir el contexto de uso aprobado.
- Nombre, versión o plan contratado y proveedor.
- Responsable interno y fecha de última revisión.
- Usuarios o departamentos autorizados.
- Usos permitidos y usos expresamente excluidos.
- Tipos de datos admitidos, condicionados y prohibidos.
- Integraciones, permisos y almacenamiento autorizados.
- Nivel de supervisión humana y evidencias que deben conservarse.
- Canal de soporte, incidencias y solicitud de cambios.
Un flujo sencillo para evaluar una herramienta nueva
- 01
Necesidad: el solicitante explica la tarea, el beneficio y por qué las opciones aprobadas no bastan.
- 02
Datos: identifica qué información entrará, de dónde procede y quién aparece en ella.
- 03
Proveedor: se revisan condiciones, privacidad, seguridad, ubicación, subencargados y cambios relevantes.
- 04
Uso: se valora el papel de la empresa, el nivel de riesgo, las personas afectadas y los controles necesarios.
- 05
Prueba controlada: se ensaya con datos sintéticos o autorizados, criterios de éxito y límites temporales.
- 06
Decisión: aprobar, aprobar con condiciones, pedir más información o rechazar; siempre se documenta.
- 07
Alta y seguimiento: se incorpora al inventario y al catálogo, se comunica el protocolo y se fija una revisión.
Qué hacer si alguien ya ha usado una herramienta no autorizada
La prioridad es contener y entender, no ocultar. El empleado debe dejar de usar la herramienta, no borrar evidencias que puedan ser necesarias y comunicar lo ocurrido por el canal indicado.
La empresa debe determinar qué datos se introdujeron, qué cuenta y configuración se utilizaron, qué salidas se generaron, si hubo conexiones a otros sistemas y qué acciones permite el proveedor. A partir de ahí, privacidad, seguridad, legal y negocio valoran las medidas aplicables.
- Herramienta, plan, cuenta y fechas de uso.
- Prompts, archivos, enlaces, conectores y datos afectados.
- Personas, clientes o terceros potencialmente implicados.
- Resultados utilizados y decisiones que pudieron verse influidas.
- Medidas de contención y necesidad de activar protocolos de brecha o incidente.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.