Inteligencia artificial en empresas: de la prohibición a políticas de uso responsable

La irrupción de la IA generativa como ChatGPT en noviembre de 2022 generó una reacción inmediata en las empresas: muchas optaron por restricciones o prohibiciones totales para evitar fugas de información sensible. Ese enfoque inicial ya quedó atrás. Hoy el foco está en crear políticas de uso que permitan aprovechar estas herramientas sin exponer datos corporativos.

Según el ESET Security Report 2026, solo el 3,4% de las organizaciones mantiene una prohibición absoluta. El 39,7% promueve el uso bajo marcos internos, mientras que el 39,2% todavía no tiene una política definida y deja la decisión en manos de cada empleado. El resto limita su aplicación a casos específicos. Esta evolución refleja que bloquear la IA ya no es viable ni deseable.

El fenómeno conocido como Shadow AI —el uso no autorizado de herramientas de inteligencia artificial— se convirtió en el principal dolor de cabeza para los equipos de seguridad. Empleados que cargan código fuente, datos de clientes o documentos internos en versiones públicas de ChatGPT generan riesgos reales. El caso de Samsung, donde ingenieros compartieron información confidencial, fue uno de los primeros ejemplos que alertaron a las organizaciones.

Walmart representa el cambio de paradigma: pasó de imponer restricciones estrictas a implementar su propia solución de IA con monitoreo, reglas claras y herramientas controladas. Otros gigantes tecnológicos respondieron con versiones empresariales. ChatGPT Enterprise, Microsoft 365 Copilot y Gemini for Google Workspace incorporan controles de privacidad, no usan los datos para entrenar modelos y ofrecen garantías de cumplimiento normativo.

Las políticas de uso aceptable de IA suelen cubrir varios puntos clave. Primero, clasificación de datos: qué información puede ingresarse (datos públicos, no confidenciales) y qué queda estrictamente prohibido (propiedad intelectual, información de clientes, código fuente o datos financieros). Segundo, herramientas autorizadas: se priorizan las versiones empresariales sobre cuentas personales o servicios gratuitos sin controles.

Otro aspecto central es el principio de supervisión humana. Ninguna política responsable permite que el output de una IA se use sin validación. Los empleados siguen siendo responsables del contenido generado, especialmente cuando se trata de decisiones de negocio, comunicaciones externas o código que se integra a sistemas productivos.

A nivel regulatorio, existen marcos que ayudan a las empresas a madurar su gobernanza. El NIST AI Risk Management Framework (publicado en 2023) ofrece una metodología para identificar, evaluar y mitigar riesgos a lo largo del ciclo de vida de los sistemas de IA. La norma ISO/IEC 42001 establece requisitos para un Sistema de Gestión de Inteligencia Artificial (AIMS), incluyendo políticas, responsabilidades y mejora continua.

En Europa, el AI Act es el primer reglamento integral que clasifica los sistemas según su nivel de riesgo y establece obligaciones para proveedores y usuarios. Aunque su aplicación es obligatoria en la UE, impacta a cualquier empresa que ofrezca servicios allí. Por su parte, el marco NIST Cybersecurity Framework (con sus funciones Govern, Identify, Protect, Detect, Respond y Recover) sigue siendo referencia para integrar la IA en estrategias generales de ciberseguridad.

Los sectores muestran madurez diferente. En banca, casi la mitad de las entidades ya promueve el uso bajo normativas internas estrictas. En educación, más del 58% opera sin reglas claras. Esta disparidad genera brechas que los atacantes pueden explotar.

El principal desafío no es escribir la política, sino lograr que se cumpla. Si la herramienta corporativa es más lenta o restrictiva que la versión pública, los empleados tenderán a saltarse las reglas. Por eso las organizaciones complementan las políticas con capacitaciones, concientización y alternativas que sean tanto seguras como prácticas. El objetivo es que la opción segura sea también la más conveniente.

Las empresas que aún no definieron lineamientos claros corren riesgos concretos: pérdida de visibilidad sobre cómo se usa la IA, exposición de datos sensibles, inconsistencias entre áreas y dificultades para demostrar controles ante auditorías o incidentes. Casi cuatro de cada diez organizaciones están en esta situación según el reporte de ESET.

Incorporar la IA de forma gobernada ya no es opcional. Al igual que ocurrió antes con el cloud, los dispositivos móviles o el trabajo remoto, las políticas de seguridad deben evolucionar para incluirla. El 3,4% que todavía la prohíbe por completo es una minoría cada vez más pequeña. La pregunta dejó de ser si usarla o no, para convertirse en cómo usarla de manera responsable y productiva.