Abrir una herramienta de inteligencia artificial, escribir una pregunta y recibir una respuesta en segundos se ha vuelto algo cotidiano. En el trabajo puede servir para resumir un documento, preparar una presentación, revisar un texto o encontrar nuevas ideas.
Pero hay una pregunta que no siempre aparece antes de presionar “Enviar”: ¿qué información de la empresa estamos colocando dentro de estas herramientas?
El problema no necesariamente está en utilizar inteligencia artificial, sino en hacerlo sin reglas claras.
De acuerdo con el último ESET Security Report, el 39,2% de las organizaciones todavía deja el uso de herramientas de inteligencia artificial en manos de cada empleado, sin una política definida. Al mismo tiempo, el 39,7% ya promueve su utilización bajo normas internas, el 17,8% la limita a determinados casos y apenas un 3,4% mantiene una prohibición total.
Las cifras muestran un cambio importante: para las empresas, la discusión ya no parece ser simplemente si permitir o prohibir la inteligencia artificial, sino cómo utilizarla sin poner en riesgo información sensible.
“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo”, explica Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
Cuando copiar y pegar puede convertirse en un problema
Imaginemos una situación cotidiana: un empleado necesita resumir rápidamente un documento y decide utilizar una IA. Copia el contenido, lo pega en la plataforma y obtiene su resumen.
La tarea está resuelta. Pero ¿qué ocurriría si ese documento contenía información de clientes, datos financieros, código fuente, propiedad intelectual o información interna de la compañía?
Precisamente por situaciones como esta, muchas organizaciones están estableciendo reglas sobre qué información puede introducirse en herramientas de IA y qué datos no deberían compartirse.
El desafío aumenta cuando cada trabajador toma sus propias decisiones. Una persona puede utilizar una herramienta autorizada por la compañía, mientras otra recurre a una cuenta personal o a un servicio público sin conocer cómo se tratará la información que comparte.
Según explica ESET, aunque estas acciones no tengan una intención maliciosa, la ausencia de reglas puede hacer que las empresas pierdan visibilidad sobre cómo sus colaboradores están utilizando la inteligencia artificial.
Prohibir la IA tampoco parece ser la solución
Bloquear completamente estas herramientas puede parecer el camino más sencillo, pero no necesariamente evita su utilización.
Aquí aparece un fenómeno denominado Shadow AI: empleados que utilizan herramientas de inteligencia artificial que no fueron aprobadas por su organización.
Por esta razón, algunas empresas están optando por un camino diferente: permitir herramientas específicas, establecer qué información puede utilizarse y ofrecer versiones empresariales con mayores controles sobre los datos.
También hay otro punto importante: la IA no reemplaza la responsabilidad de quien la utiliza.
Las políticas empresariales comienzan a incorporar el principio de supervisión humana. En términos sencillos, significa que una respuesta generada por inteligencia artificial no debería asumirse automáticamente como correcta. Las personas siguen siendo responsables de revisar y validar la información, especialmente cuando interviene en decisiones importantes o procesos críticos.
No todas las empresas están avanzando al mismo ritmo
El panorama también cambia dependiendo del sector. Según el ESET Security Report, en Educación, el 58,8% de las instituciones no cuenta con ningún tipo de regla sobre inteligencia artificial. En el sector bancario ocurre algo diferente: el 47,6% de las entidades fomenta su utilización, pero bajo normas internas estrictas.
Mientras algunas organizaciones todavía analizan qué hacer, otras ya comenzaron a establecer herramientas autorizadas, clasificar qué información puede compartirse y capacitar a sus trabajadores.
De “no uses IA” a “úsala, pero con reglas”
Actualmente existen estándares y marcos internacionales como NIST AI RMF, ISO/IEC 23894, ISO/IEC 42001 y el AI Act de la Unión Europea, que ofrecen lineamientos para identificar y gestionar los riesgos asociados con la inteligencia artificial.
Aunque algunos de estos nombres puedan parecer lejanos para el usuario común, todos apuntan hacia una idea mucho más sencilla: la inteligencia artificial puede utilizarse, pero su implementación necesita responsabilidades, límites y controles claros.
Para ESET, el reto está precisamente en encontrar ese equilibrio. Una política demasiado restrictiva puede provocar que los empleados busquen alternativas por su cuenta, mientras que reglas demasiado abiertas pueden facilitar que información sensible termine donde no debería.
Por ello, la compañía recomienda acompañar las políticas internas con capacitación, concientización y herramientas corporativas que permitan aprovechar la inteligencia artificial de manera segura sin sacrificar productividad.
