EL USO DE HERRAMIENTAS DE IA POR FUERA DE LOS CONTROLES CORPORATIVOS PLANTEA NUEVOS DESAFÍOS PARA LAS EMPRESAS. IDENTIFICAR ESTAS PRÁCTICAS Y ESTABLECER REGLAS CLARAS PERMITE IMPULSAR LA PRODUCTIVIDAD SIN DESCUIDAR LA SEGURIDAD NI LA GESTIÓN DE RIESGOS.
Dentro de las organizaciones avanza la inteligencia artificial, muchas veces por fuera de los mecanismos formales de supervición. Identificar sus usos, proteger las información y establecer reglas claras será clave para aprovechar sus beneficios sin sumar riesgos al negocio.
Mientras el Directorio define estrategias y las áreas de control elaboran políticas, los equipos redactan, analizan datos o generan código con herramientas que quizá nunca fueron evaluadas.
Esta situación refleja una tensión cada vez más visible en las organizaciones: la innovación avanza a mayor velocidad que los mecanismos de control. El desafío no consiste en frenar su desarrollo, sino en evitar que las ganancias de productividad de hoy se conviertan en problemas para el negocio mañana.
En encuentros y reuniones ejecutivas, una de las preocupaciones recurrentes es la distancia entre el ritmo de la innovación y la capacidad de control de las organizaciones. El desafío consiste en acompañar esa evolución sin que las mejoras de productividad actuales deriven en contingencias futuras.
El uso de IA que escapa a los controles
Se conoce como Shadow AI a la utilización de herramientas o servicios de inteligencia artificial sin que la organización tenga conocimiento de ese uso o haya establecido los procesos necesarios para autorizarlo, evaluarlo y supervisarlo. Generalmente nace de una intención legítima: resolver un problema con mayor rapidez.
El riesgo aumenta cuando los colaboradores recurren a plataformas externas para trabajar con información corporativa sin verificar las condiciones de seguridad de esos servicios. En la IA generativa, el contenido que se incorpora en cada consulta puede abrir una vía de exposición que escapa a los mecanismos habituales de supervisión.
Así, un contrato, datos personales, código fuente o propiedad intelectual pueden quedar expuestos al incorporarse a una herramienta externa. No hace falta instalar software ni iniciar un proyecto. Para la Tecnología, quizá nada ocurrió. Para la organización, pudo haber ocurrido mucho.
El punto central desde la mirada de la gestión de riesgo es si la empresa sabe qué herramientas utilizan, para qué, con qué información y qué decisiones apoyan con sus resultados.
El impacto en el negocio
Reducir Shadow AI a un problema de ciberseguridad impide dimensionar todas sus implicancias para el negocio. Exponer información en una herramienta no evaluada puede provocar reclamos, incumplimientos contractuales, costos de investigación, incidentes de privacidad, daño reputacional y pérdida de negocios.
También crea un riesgo de terceros. Una empresa puede evaluar formalmente a sus proveedores y permitir, al mismo tiempo, que plataformas de IA procesen información sin due diligence. Puede desconocer dónde se alojan los datos, cuánto se conservan, qué subprocesadores intervienen o si el contenido se utiliza para entrenar modelos.
El Directorio debe conocer la exposición material: casos críticos, información involucrada, impacto económico y responsables. La gobernanza de la IA implica establecer quién toma las decisiones, cómo se protege la información de terceros y qué responsabilidades corresponden a cada actor.
Cómo avanzar hacia una adopción responsable
Impedir el acceso a estas aplicaciones no necesariamente elimina su utilización. El uso puede desplazarse hacia cuentas personales o aplicaciones menos visibles. Por eso, estas prácticas también pueden funcionar como un indicador de dificultades operativas o de herramientas corporativas que no alcanzan a cubrir las necesidades de los equipos.
La transformación hacia Trusted AI requiere conocer primero qué soluciones se utilizan, quiénes las proveen y para qué actividades se aplican. A partir de ese relevamiento, la empresa puede establecer prioridades y definir controles proporcionales a los riesgos de cada caso. No merece el mismo tratamiento generar una imagen de marketing que analizar información financiera, historias clínicas, decisiones crediticias o código fuente.
Las políticas deben acompañarse con formación, responsabilidades claras y controles tecnológicos como clasificación de información, gestión de identidades, monitoreo y DLP (Data Loss Prevention, por sus siglas en inglés). Pero ninguna tecnología compensará una pregunta sin responder: ¿sabemos cuáles son nuestros datos críticos, dónde están y quién puede utilizarlos?
Un marco para integrar la IA a la gestión
Para estructurar la gestión de la inteligencia artificial e incorporarla a los procesos formales de la organización, la ISO/IEC 42001 ofrece lineamientos. Su valor no se limita a una eventual certificación ni representa por sí mismo una obligación legal. Este marco permite definir responsabilidades, evaluar riesgos e impactos y establecer mecanismos de control, seguimiento y mejora continua para administrar el uso de esta tecnología.
La nueva ecuación empresarial combina innovación, productividad, gobierno, seguridad y cumplimiento. Priorizar solo el control puede inhibir la adopción; priorizar solo la velocidad puede acumular riesgos cuyo costo aparecerá más adelante.
La gestión de la inteligencia artificial exige encontrar un punto de equilibrio entre la capacidad de innovar, las mejoras de productividad y las obligaciones de seguridad y cumplimiento. Priorizar solo el control puede inhibir la adopción; priorizar solo la velocidad puede acumular riesgos cuyo costo aparecerá más adelante.
La IA ya está ingresando a la empresa, y la ventaja competitiva estará en lograr que entre por la puerta del gobierno corporativo y no por la sombra, utilizándola con inteligencia organizacional.
Por Fabián Descalzo, Socio de Ciberseguridad y Gobierno Tecnológico, BDO en Argentina
