3 riesgos de usar inteligencia artificial sin una política
interna en las empresas

La inteligencia artificial ya forma parte de las actividades cotidianas de numerosas empresas, incluso, cuando estas no autorizaron formalmente su uso. Lo que ocasiona que los trabajadores puedan recurrir a modelos gratuitos para redactar documentos, analizar información o generar código sin conocer los riesgos de compartir datos corporativos.

De acuerdo con el ESET Report, señala que 39.7% de las empresas promueven estas tecnologías bajo marcos internos, mientas 39.2% deja la decisión en manos de cada empleados porque no cuenta con una política definida. Otro 17.8% limita su uso a determinados casos y solamente 3.4% mantiene una prohibición total.

Es en ese sentido, que las políticas internas deben establecer qué plataformas están autorizadas, qué información no debe compartirse y quién será responsable de revisar los resultados. El objetivo no es impedir el uso de la tecnología, sino establecer controles acordes con la seguridad y privacidad cada organización.

ÚNETE A IDC en nuestro canal de Whatsapp

3 riesgos de usar IA sin lineamientos internos

La falta de una política puede provocar que los trabajadores adopten distintos criterios frente a situaciones similares. Entre los principales riesgos se encuentran:

1. Exposición de información sensible

Los empleados pueden ingresar en plataformas públicas datos de clientes, documentos internos, información financiera, código fuente, estrategias comerciales o propiedad intelectual.

Aunque la divulgación sea accidental, la empresa pierde control sobre la información proporcionada y desconoce cómo será almacenada o tratada por el proveedor tecnológico. Una política debe clasificar los datos y señalar cuáles pueden utilizarse en herramientas de IA y cuáles deben permanecer restringidos.

2. Uso de herramientas no autorizadas

El denominado Shadow AI ocurre cuando el personal utiliza plataformas o cuentas personales sin conocimiento ni autorización de la empresa. Esto impide identificar qué aplicaciones procesan la información corporativa y si cuentan con medidas suficientes de seguridad y privacidad.

Una prohibición absoluta tampoco garantiza que los trabajadores dejen de utilizarlas. Una alternativa es definir servicios autorizados, establecer controles de acceso y proporcionar herramientas empresariales para realizar las tareas que ya requieren asistencia de IA.

3. Sesgos en información y toma de decisiones

Las respuestas generadas pueden contener errores, información desactualizada, interpretaciones incorrectas o contenido que no corresponda con las necesidades del negocio.

Incorporarlas sin revisión en contratos, reportes, decisiones financieras, códigos informáticos o comunicaciones con clientes puede generar consecuencias operativas y de cumplimiento. Por ello, las personas deben conservar la responsabilidad de validar cualquier resultado, especialmente cuando intervenga en procesos críticos.

Accede a herramientas premium y lleva tu actualización profesional al siguiente nivel. [Conoce todo lo que incluye nuestra membresía y únete hoy].

¿Qué debe incluir una política empresarial de IA?

Los lineamientos deben identificar las herramientas permitidas, los usos autorizados y la información que no puede ingresarse. También necesitan asignar responsabilidades a cada persona o área de trabajo, establecer mecanismos de revisión y definir cómo se atenderán posibles incidentes.

Esta regulación interna puede acompañarse de capacitación sobre protección de datos, validación de contenidos y limitaciones de los sistemas automatizados. De esta manera, los trabajadores conocen tanto las oportunidades como las consecuencias de utilizar de forma incorrecta los modelos de inteligencia artificial o aquellos que no fueron autorizados.

Para construir una política interna equilibrada, las empresas pueden apoyarse en diferentes referentes internacionales. El NIST AI Risk Management Framework plantea prácticas para identificar, evaluar, administrar y monitorear riesgos asociados con la IA.

La ISO/IEC 23894 ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA. Mientras la ISO/IEC 42001 establece requisitos para implementar un sistema de gestión, asignar responsabilidades, documentar procesos y promover la mejora continua.

También se encuentran el NIST Cybersecurity Framework 2.0 y la Ley de Inteligencia Artificial de la Unión Europea. Esta última clasifica los sistemas por nivel de riesgo y puede alcanzar a empresas extranjeras que comercialicen productos o servicios basados en IA en el mercado europeo.

Es así que las organizaciones necesitan encontrar un equilibrio entre reglas demasiado restrictivas que pueden incentivar el uso oculto, mientras políticas ambiguas aumentan la posibilidad de compartir información o emplear resultados sin validación.