Inteligencia Artificial en el entorno corporativo: La transición inevitable de bloquear a gestionar
La IA dejó de ser una tecnología experimental o una amenaza que la directiva de una empresa puede simplemente bloquear en el firewall de la oficina. Años atrás, las políticas de ciberseguridad corporativa se limitaban a reglas claras sobre contraseñas complejas, uso de memorias USB, accesos remotos y prevención de phishing. Sin embargo, el estallido de las herramientas generativas cambió las reglas del juego. Hoy, la firma de seguridad informática ESET analiza cómo las organizaciones han tenido que evolucionar a pasos agigantados: el verdadero desafío ya no es impedir que los empleados usen estos asistentes, sino establecer políticas claras para aprovechar su potencial sin comprometer la información confidencial ni la estabilidad del negocio.
El panorama en Latinoamérica: Entre la regulación interna y el riesgo del Shadow AI
Los datos del más reciente ESET Security Report revelan una radiografía contundente sobre cómo están actuando los centros de trabajo. El 39.7% de las empresas fomenta el uso de estas plataformas bajo marcos de trabajo internos, mientras que un preocupante 39.2% todavía deja la decisión final en manos de cada colaborador sin una regla definida. Por otro lado, un 17.8% limita su uso únicamente a casos específicos y solo un marginal 3.4% mantiene una prohibición absoluta.
Esta falta de lineamientos en casi cuatro de cada diez empresas abre la puerta al peligroso fenómeno del Shadow AI. Cuando una compañía prohíbe o ignora el uso de asistentes inteligentes, los empleados no dejan de usarlos; simplemente recurren a sus cuentas personales en servicios públicos desde sus dispositivos móviles. Al subir código fuente, estados financieros, bases de datos de clientes o contratos confidenciales a motores de IA sin controles de privacidad, la empresa pierde completamente el rastro y la propiedad de sus datos. Por esta razón, proveedores clave adaptaron sus ofertas lanzando versiones empresariales con blindaje de privacidad, tales como ChatGPT Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace.
Disparidad por industrias: El contraste entre la Banca y el sector Educativo
La adopción de políticas internas varía drásticamente según el giro del negocio. De acuerdo con ESET, el sector educativo se posiciona como el más desregulado, donde el 58.8% de las instituciones no cuenta con ningún tipo de norma sobre el uso de la tecnología generativa. En el extremo opuesto se encuentra el sector financiero: un 47.6% de las entidades bancarias promueve activamente el uso de estas herramientas, pero lo hace bajo estrictas normativas internas que dictan exactamente qué datos se pueden procesar y cuáles bajo ninguna circunstancia pueden tocar la nube.
Para resolver este descontrol, las políticas corporativas modernas se están estructurando bajo tres pilares fundamentales:
-
Protección de datos sensibles: Restricciones explícitas sobre propiedad intelectual, información de clientes y código fuente.
-
Reducción de plataformas no autorizadas: Migración hacia modelos propios o licencias corporativas que garanticen que la información no alimente modelos públicos de entrenamiento.
-
Supervisión humana obligatoria: El principio de que cualquier reporte, gráfico o decisión derivada de una IA debe ser validado y firmado por un profesional responsable.
Estándares globales e internacionales: Los marcos que guían la gobernanza tecnológica
Afortunadamente, las empresas ya no tienen que inventar el hilo negro al redactar sus reglamentos. Existen marcos internacionales que sirven como mapa de ruta para una adopción segura y responsable:
-
NIST AI RMF: Marco de trabajo estadounidense para identificar, evaluar y monitorear riesgos tecnológicos.
-
ISO/IEC 42001: El primer estándar internacional diseñado para implementar un Sistema de Gestión de Inteligencia Artificial (AIMS).
-
ISO/IEC 23894: Enfocado exclusivamente en la gestión y análisis de riesgos derivados de la IA.
-
EU AI Act: La primera regulación integral aprobada en Europa que clasifica el software según su nivel de riesgo y que impacta a cualquier empresa global que opere en ese mercado.
-
NIST CSF 2.0: Estructura clásica de ciberseguridad que integra la función de gobernanza tecnológica.
Nuestra opinión…
Restringir las herramientas por miedo paraliza la innovación, pero dejarlas a libre albedrío es una ruleta rusa de fugas de información. Como señala ESET, la clave del éxito para los departamentos de TI no es emitir un veto administrativo, sino brindar alternativas corporativas seguras, capacitar constantemente al personal y aceptar que la gobernanza de la inteligencia artificial ya es tan prioritaria como el antivirus o la política de contraseñas.
