Gobernanza de inteligencia artificial en empresas, cómo crear una política de uso segura

Qué es la gobernanza de inteligencia artificial en empresas

Gobernar la IA no significa llenar tu empresa de trámites, significa decidir de antemano quién puede usar cada herramienta y qué información puede meter en ella, así cada uso tiene un dueño que responde por los resultados.

Una política de uso es la pieza más visible de esa gobernanza, aunque solo funciona si la acompañan responsables con nombre y apellido, reglas claras sobre datos y una forma sencilla de revisar lo que la IA produce antes de que llegue a un cliente.

La gobernanza bien hecha acelera en lugar de frenar porque tu equipo deja de preguntarse si algo está permitido.

El tema dejó de ser teórico, según el reporte Cost of a Data Breach 2025 de IBM el 63% de las organizaciones que sufrieron una brecha no tenía una política de gobernanza de IA o todavía la estaba desarrollando.

El riesgo que ya tienes, la IA que tu equipo usa por su cuenta

Antes de preocuparte por proyectos grandes conviene mirar lo que ya pasa en tu oficina, según el Work Trend Index 2024 de Microsoft y LinkedIn el 75% de los trabajadores del conocimiento ya usa IA generativa en su trabajo y el 78% de ellos lleva sus propias herramientas sin esperar a que la empresa se las dé.

A eso se le llama IA en la sombra y el problema casi nunca es mala intención, es un vendedor que pega la lista de precios en un chatbot gratuito para redactar una propuesta o una analista que sube el estado de resultados para que le haga un resumen.

Varias versiones gratuitas de estas herramientas pueden usar lo que escribes para mejorar sus modelos si nadie cambió la configuración, así que la información que sale por ahí queda fuera de tu control.

Le pasó incluso a Samsung, que en 2023 restringió el uso de ChatGPT después de que ingenieros suyos pegaran código fuente interno en la herramienta.

Prohibir todo tampoco resuelve nada porque la gente busca otra manera de usar la IA desde su celular, la salida real es darles herramientas aprobadas y reglas que se entiendan en cinco minutos.

Los cinco pilares de una política de uso de IA

Una política útil cabe en pocas páginas y responde cinco preguntas que tu equipo se hace todos los días:

• Herramientas aprobadas: Una lista corta de plataformas autorizadas con cuentas empresariales donde el proveedor se compromete por contrato a no entrenar sus modelos con tus datos.
• Clasificación de datos: Tres o cuatro niveles que indican qué información puede entrar a la IA sin restricción, cuál necesita anonimizarse y cuál nunca debe salir de tus sistemas.
• Usos permitidos y prohibidos: Ejemplos concretos de tu operación que distinguen tareas de apoyo como redactar un correo o resumir una junta de las decisiones que la IA no puede tomar sola.
• Revisión humana: Todo contenido que llegue a clientes, contratos o autoridades pasa antes por una persona que firma como responsable.
• Dueño y actualización: Una persona o un pequeño comité que aprueba herramientas nuevas, atiende incidentes y revisa la política cada seis meses.

El marco de gestión de riesgos de IA del NIST organiza esto mismo en cuatro funciones que son gobernar, mapear, medir y gestionar, así que no tienes que inventar la estructura desde cero.

Qué datos pueden entrar a una herramienta de IA y cuáles no

La clasificación de datos es donde casi todas las políticas se quedan cortas, así que conviene aterrizarla en ejemplos que cualquiera en tu empresa reconozca.

El último nivel merece atención aparte porque cuando un proveedor de IA procesa datos de tus clientes o empleados a tu nombre funciona como encargado según la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, lo que te obliga a pactar por contrato qué puede hacer con esa información.

En la práctica esto significa que un agente de texto que atiende clientes o consulta expedientes debe vivir en infraestructura que tú controlas y tener permisos por rol y bitácora de cada consulta.

Cómo implementar la política sin frenar a tu equipo

La política que nadie lee no protege nada, así que conviene implementarla por etapas cortas y medibles:

• Inventario: Pregunta sin castigo qué herramientas usa hoy cada área y para qué tareas, porque la foto real siempre es más grande que la oficial.
• Alternativas aprobadas: Sustituye las cuentas personales por versiones empresariales o por soluciones propias antes de prohibir nada.
• Capacitación breve: Una sesión de una hora con ejemplos de tu propio negocio funciona mejor que un manual de cuarenta páginas.
• Controles técnicos: Inicio de sesión único, permisos por rol y registros de uso para que las reglas no dependan solo de la buena voluntad.
• Revisión periódica: Cada trimestre revisa incidentes, herramientas nuevas y casos de uso que propone el equipo.

Consolidar también es gobernar porque cada herramienta que sobra es un lugar más por donde puede salir información, así pasó con Advisia de Nauta, donde una sola plataforma con clasificador aduanal, análisis de glosa y gestión documental sustituyó cinco herramientas dispersas.

Errores comunes que vuelven inútil una política de IA

Estos son los tropiezos que más vemos cuando una empresa intenta ordenar el uso de IA:

• Copiar una plantilla genérica: Una política bajada de internet no menciona tus sistemas ni tus datos sensibles, así que nadie la aplica.
• Dejarla solo en manos de TI: La gobernanza toca operación, legal y dirección, así que necesita dueños de negocio además de perfiles técnicos.
• Prohibir sin ofrecer alternativa: El uso no desaparece, se muda al celular personal y ahí ya no ves nada.
• Olvidar a los proveedores: Tu CRM, tu sistema de nómina y tu software de facturación pueden traer funciones de IA que también deben revisarse.
• No medir nada: Sin un registro de incidentes y herramientas aprobadas es imposible saber si la política funciona.

Ninguno de estos errores exige grandes presupuestos para corregirse, casi todos se resuelven con una conversación honesta entre la dirección y las áreas que realmente usan la IA.

Cuándo conviene pedir ayuda externa

Si tu empresa tiene pocas personas y usa dos o tres herramientas conocidas puedes armar la política internamente con esta guía y revisarla en unos meses.

La ayuda externa tiene sentido cuando quieres pasar del uso individual a agentes conectados a tu CRM o a tu ERP, porque ahí la gobernanza se diseña junto con la arquitectura y corregirla después sale caro.

Una buena consultoría de IA empieza por mapear procesos y datos antes de recomendar cualquier herramienta, si vas a contratar una revisa antes nuestra guía para elegir consultor de IA y llega con las preguntas correctas.

Si tu equipo todavía no usa IA para nada empieza por la política corta y un par de herramientas aprobadas, porque gobernar desde el primer día es mucho más fácil que ordenar el desorden después.

"La IA ya está en tu empresa aunque nadie la haya autorizado, la pregunta es si vas a gobernarla o vas a enterarte de sus riesgos cuando ya sea tarde."