En mi día a día, he perdido la cuenta de las veces que me hacen la misma pregunta: "Alejandro, estamos pensando en utilizar [aquí, querido lector, pon la herramienta de IA de turno que más rabia te dé]. ¿Qué te parece?".
Y lo entiendo. Si diriges una empresa, quieres que tu equipo aproveche la IA, gane tiempo y trabaje mejor. Pero también quieres tener la tranquilidad de que los datos de tus clientes y de tu negocio están protegidos. Preguntas, comparas, eliges una herramienta y sigues con las otras mil cosas que tienes encima de la mesa.
El problema es que, antes de hablar de esa herramienta, hay una pregunta mucho más importante: "¿Y estás seguro de que es la única IA que se está utilizando en tu empresa?".
Vamos con un ejemplo inventado. Aunque, si eres CEO, puede que algo te suene.
Pepe dirige una empresa de servicios. Después de informarse y revisar las condiciones, decide implantar Microsoft Copilot en su entorno corporativo de Microsoft 365. Ya trabajan ahí, tienen sus datos y permisos organizados y les parece una buena forma de empezar.
Pepe se queda tranquilo. Un asunto menos.
Pero tenemos a Paco, el director financiero. Paco ha probado otra IA que, según él, "funciona muchísimo mejor". Así que abre una cuenta personal y empieza a subir cada mes las cuentas de pérdidas y ganancias, previsiones, presupuestos y documentos de clientes para preparar sus informes.
Y aquí está la gracia: Paco no pretende hacer nada malo. Solo quiere hacer su trabajo más rápido. El problema es que nadie sabe qué herramienta está utilizando, qué condiciones ha aceptado ni dónde acaba toda esa información. Pepe, desde luego, no tiene ni idea.
Pero hay algo todavía más delicado. Todo lo que Paco sube puede seguir asociado a su cuenta personal, guardado en historiales, archivos o conversaciones durante un tiempo indeterminado, según las condiciones y opciones de conservación de ese servicio. Y si mañana Paco cambia de empresa, puede seguir teniendo acceso a información de su antiguo trabajo, sin que Pepe tenga control real sobre esa cuenta o sobre su borrado.
No hablamos únicamente de seguridad o protección de datos, sino también de saber en qué se está gastando el presupuesto"
Piénsalo un segundo. ¿Permitirías que un compañero se llevase a su casa, en su portátil personal, los balances, los contratos y los datos de tus clientes cuando deja la empresa? Probablemente no. Entonces, ¿por qué nos parece tan normal que esa misma información se quede en su cuenta personal de IA?
Esto tiene nombre: Shadow IT. Y cuando hablamos de herramientas de inteligencia artificial utilizadas al margen del conocimiento o del control de la empresa, Shadow AI.
Y Paco puede ser cualquiera: un comercial preparando una propuesta, recursos humanos revisando currículums o administración resumiendo un contrato. No suelen buscarse problemas. Encuentran algo útil, a dos clics, y lo utilizan.
¿Qué se debe hacer? Para empezar, conocer de verdad lo que ocurre dentro de la empresa. Hablar con los departamentos, entender sus necesidades y descubrir qué herramientas usan ya, no solo las que aparecen en la lista de licencias contratadas. Existen soluciones que permiten dar esa visibilidad. Porque estas decisiones no pueden quedarse únicamente en dirección: hay que bajar a tierra.
Después, definir una política de uso de IA que todo el mundo entienda: qué herramientas se autorizan, para qué pueden utilizarse, qué datos no se deben subir, cuándo hace falta autorización y qué hacer si hay dudas. Y, por supuesto, formar al personal con ejemplos reales de su día a día. Una política que nadie conoce es poco más que otro PDF guardado en una carpeta.
Esto no es solo una recomendación de sentido común. El artículo 4 del Reglamento Europeo de IA (Reglamento (UE) 2024/1689) exige a quienes proporcionan o utilizan sistemas de IA adoptar medidas para desarrollar los conocimientos y capacidades de las personas que trabajan con ellos. No impone una política escrita universal, pero disponer de reglas claras es una forma lógica de llevar esas medidas a la práctica. Y si tratamos datos personales, los artículos 5.1.f), 24 y 32 del RGPD exigen confidencialidad, responsabilidad y medidas técnicas y organizativas adecuadas.
Por último, hay que conseguir que todo eso se cumpla. Se pueden implantar controles para identificar los servicios utilizados, gestionar los accesos y evitar que información sensible termine en una herramienta no autorizada, esté el trabajador en la oficina, en casa o de viaje. Son tecnologías como CASB, DLP o SASE. Pero la idea, sin siglas, es sencilla: que las reglas no dependan solo de la buena voluntad de Paco.
Y todavía hay otra pregunta que casi nadie hace: ¿para qué se está utilizando realmente la IA que paga la empresa? ¿Para preparar informes, mejorar procesos y atender mejor a los clientes? ¿O para pedir recetas de cocina y resolver asuntos personales?
Porque sí, en las auditorías ya detecan usuarios que consumen tokens de IA para usos personales con cargo a la empresa. Y eso también cuesta dinero. No hablamos únicamente de seguridad o protección de datos, sino también de saber en qué se está gastando el presupuesto.
La IA es una oportunidad enorme y prohibirla sin más no es la solución. Pero contratar una herramienta y pensar que el asunto está controlado tampoco lo es.
Como CEO, no debería preocuparte solo qué IA eliges. Debería preocuparte cuáles se están usando a tus espaldas, qué información se está subiendo y quién está pagando la factura. ¿Sabes de verdad lo que ocurre en tu empresa o, como Pepe, todavía crees que sí?
Alejandro Cano
Director técnico de Legitec
Vicepresidente de AJE Región de Murcia
