Inteligencia artificial en las empresas: del bloqueo a la creación de políticas de uso

- Un estudio de ESET revela que casi el 40% de las organizaciones ya promueve el uso de inteligencia artificial bajo marcos internos, mientras otro 39,2% todavía deja la decisión en manos de cada trabajador.

La inteligencia artificial dejó de ser una tecnología experimental para convertirse en una herramienta cada vez más presente en las empresas. Este cambio también está modificando las políticas de ciberseguridad corporativa, que ahora enfrentan un nuevo desafío: permitir el uso de IA sin poner en riesgo la información, la privacidad y la seguridad de las organizaciones.

De acuerdo con datos del último ESET Security Report, el 39,7% de las empresas promueve el uso de inteligencia artificial bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado, sin contar con una política definida.

En tanto, un 17,8% limita el uso de estas herramientas a determinados casos y solo un 3,4% mantiene una prohibición total.

De prohibir a gobernar el uso de IA

Según explica Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, las organizaciones han comenzado a asumir que la inteligencia artificial llegó para quedarse.

?El verdadero desafío ya no era impedir su uso, sino gestionarlo?, señaló el especialista.

Esta transformación también ha sido acompañada por los principales proveedores tecnológicos, que han desarrollado versiones empresariales de sus asistentes de IA con mayores controles de seguridad, privacidad y cumplimiento.

Entre ellas se encuentran ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace.

Durante 2024 y 2025, las empresas comenzaron a avanzar en políticas internas relacionadas con la clasificación de datos, definición de herramientas autorizadas, capacitación de trabajadores e integración de asistentes de inteligencia artificial en distintos procesos.

Sectores avanzan a diferentes velocidades

El nivel de regulación también presenta diferencias dependiendo de la actividad económica.

De acuerdo con el reporte de ESET, el sector de Educación presenta uno de los niveles más altos de desregulación: un 58,8% de las instituciones consultadas no cuenta con ningún tipo de regla respecto del uso de IA.

En el sector financiero, en cambio, el escenario es diferente. El 47,6% de las entidades bancarias fomenta el uso de inteligencia artificial, pero bajo estrictas normativas internas.

Para ESET, uno de los principales riesgos aparece cuando las organizaciones no establecen reglas claras.

En estos casos, cada trabajador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información corporativa sin conocer los riesgos o incorporar contenido generado por IA en procesos relevantes sin una adecuada validación.

¿Qué buscan proteger las políticas de IA?

Uno de los principales objetivos es proteger la información sensible.

Las empresas buscan evitar que datos de clientes, propiedad intelectual, códigos fuente, documentos internos o información financiera sean ingresados accidentalmente en plataformas públicas de inteligencia artificial.

Otro desafío es el denominado Shadow AI, concepto utilizado para describir el uso de herramientas de inteligencia artificial sin autorización o supervisión de la organización.

La estrategia no necesariamente consiste en prohibirlas, sino en ofrecer alternativas corporativas aprobadas, establecer reglas claras y determinar qué herramientas pueden utilizar los trabajadores.

También adquiere relevancia la supervisión humana. Las políticas de IA buscan establecer que las personas continúan siendo responsables de revisar y validar los contenidos generados por estas herramientas, especialmente cuando intervienen en decisiones empresariales o procesos críticos.

Estándares internacionales

Actualmente existen diferentes marcos y estándares que pueden servir de orientación a las organizaciones para implementar una utilización más segura y responsable de la inteligencia artificial.

Entre ellos se encuentran:

- NIST AI RMF, marco desarrollado para identificar, evaluar y gestionar riesgos asociados a la IA.
- ISO/IEC 23894, enfocada en la gestión de riesgos relacionados con sistemas de inteligencia artificial.
- ISO/IEC 42001, estándar internacional para implementar un sistema de gestión de inteligencia artificial.
- EU AI Act, marco regulatorio de la Unión Europea que establece obligaciones según los niveles de riesgo de los sistemas de IA.
- NIST Cybersecurity Framework 2.0, utilizado ampliamente para la gestión de riesgos de ciberseguridad.

Estos instrumentos permiten a las organizaciones avanzar hacia políticas que definan responsabilidades, controles, evaluación de riesgos y mecanismos de supervisión.

El desafío: seguridad y productividad

Desde ESET advierten que el desafío está en encontrar un equilibrio.

Una política excesivamente restrictiva puede llevar a los trabajadores a utilizar herramientas no autorizadas, mientras que reglas demasiado permisivas o ambiguas pueden aumentar el riesgo de filtración de información, dependencia excesiva de las respuestas generadas por IA o utilización de plataformas sin controles adecuados.

Por ello, la recomendación apunta a complementar las políticas con capacitación, programas de concientización y herramientas corporativas seguras.

?La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo?, explicó Micucci.

La inteligencia artificial comienza así a ocupar un lugar permanente dentro de la agenda de ciberseguridad empresarial, al mismo nivel que otros desafíos que anteriormente transformaron las políticas corporativas, como los dispositivos móviles, el trabajo remoto y los servicios en la nube.