Gobernanza de IA cuando el equipo ya la usa

La primera señal de que una empresa necesita gobernanza de IA rara vez llega en una reunión de tecnología. Aparece cuando alguien resume un contrato en una herramienta pública, prepara una respuesta para un cliente con datos copiados del CRM o sube una hoja de cálculo porque necesita terminar un informe antes de las cinco.

El equipo no suele actuar con mala intención. Está resolviendo trabajo. Encontró una herramienta rápida, disponible y bastante buena para una tarea que antes tomaba una hora. La empresa, mientras tanto, todavía discute si debería "adoptar inteligencia artificial" como si nadie la hubiera adoptado por su cuenta.

Ese desfase cambia el punto de partida. Ya no se trata de aprobar o rechazar una tecnología futura. Hay que descubrir qué está ocurriendo, reducir el riesgo inmediato y ofrecer alternativas que la gente pueda usar sin volver al correo, al copiar y pegar o a cuentas personales.

El primer inventario no debería parecer un interrogatorio

Una circular que prohíbe todas las herramientas puede limpiar el discurso oficial sin cambiar la práctica. Si el trabajo sigue exigiendo resumir cien páginas, responder consultas repetidas o clasificar solicitudes, el equipo buscará otra salida. Tal vez deje de comentarla.

Conviene empezar con preguntas sobre el trabajo, no sobre la culpa. ¿Qué tareas están resolviendo con IA? ¿Qué información introducen? ¿Usan cuentas personales o institucionales? ¿El resultado se revisa antes de llegar a un cliente? ¿Hay áreas donde la herramienta ya influye en precios, evaluaciones, compras o decisiones sobre personas?

Este inventario no necesita capturar cada prompt. Necesita mostrar patrones. Una empresa puede descubrir que la mayor parte del uso está concentrada en redacción, búsqueda y resumen, mientras unos pocos casos mezclan datos sensibles o decisiones de mayor impacto. Tratar ambos grupos como si fueran iguales desperdicia atención y empuja los usos razonables hacia la clandestinidad.

El dato copiado importa más que el nombre de la herramienta

Las listas de aplicaciones permitidas y prohibidas envejecen rápido. Un navegador agrega funciones de IA, una plataforma de oficina incorpora un asistente y un proveedor cambia sus condiciones. La regla útil empieza por la información y la acción.

No es lo mismo pedir ideas para el asunto de un correo que pegar una propuesta con márgenes, datos de contacto y condiciones negociadas. Tampoco es lo mismo resumir una política pública que cargar expedientes internos, historiales médicos, credenciales o información de colaboradores.

La empresa necesita categorías que el equipo entienda durante una jornada normal. Puede autorizar contenido público y material interno de bajo riesgo en herramientas aprobadas, exigir entornos controlados para información confidencial y excluir ciertos datos hasta contar con garantías suficientes. Los controles de seguridad y gobernanza de IA deben seguir el recorrido del dato, no depender de que cada persona recuerde una lista interminable de marcas.

También conviene mirar el resultado. Una entrada aparentemente inocua puede producir una recomendación que termine afectando a un cliente, una contratación o una aprobación. Gobernar IA implica controlar lo que entra, pero también dónde se usa lo que sale.

Hay usos que necesitan una pausa inmediata

No todo hallazgo merece un comité. Algunos sí requieren detenerse mientras se define una alternativa segura. Entre ellos están las credenciales pegadas en una conversación, documentos con datos personales sin autorización, decisiones sensibles tomadas sin revisión y automatizaciones que envían mensajes o modifican registros con accesos demasiado amplios.

La pausa debe ser precisa. "No utilice esta herramienta con expedientes de clientes" es una instrucción accionable. "Queda prohibido todo uso de inteligencia artificial" no distingue riesgo, no explica cómo terminar el trabajo y suele durar hasta la próxima urgencia.

Cuando se detiene un uso, alguien debe hacerse cargo de la necesidad que lo produjo. Si un área subía contratos para encontrar cláusulas porque el repositorio institucional no permite buscar bien, el problema no desaparece al bloquear la aplicación. Queda pendiente una solución de IA aplicada con fuentes y permisos aprobados, o quizá una mejora documental más sencilla.

La alternativa aprobada tiene que competir con el atajo

Una política fracasa si la opción segura requiere abrir un ticket, esperar tres días y explicar la misma necesidad a varias personas. La herramienta informal ganó porque estaba a un clic. La alternativa institucional no necesita copiar cada función, pero sí debe resolver los trabajos frecuentes con una fricción razonable.

Eso puede significar cuentas empresariales con configuración controlada, un asistente conectado a documentos autorizados, plantillas para tareas comunes o un flujo donde la IA prepara el trabajo y una persona lo aprueba. En otros casos, la respuesta correcta será una automatización de procesos sin IA: campos obligatorios, reglas conocidas, asignación y trazabilidad.

La adopción mejora cuando el equipo entiende qué problema resuelve cada opción. Para redactar material genérico puede usar una herramienta aprobada. Para consultar políticas internas, debe entrar al asistente institucional. Para procesar datos sensibles, usa el flujo definido o no usa IA. Para decisiones que afectan dinero, derechos o compromisos, conserva revisión humana.

Esa claridad vale más que una biblioteca de prohibiciones que nadie puede aplicar sin llamar a tecnología.

La revisión humana necesita nombre y momento

Muchas políticas se conforman con decir que "el contenido generado por IA debe revisarse". La frase suena prudente, pero deja abiertas dos preguntas: quién revisa y qué debe comprobar.

Un borrador de correo puede revisarlo quien lo envía. Una interpretación contractual necesita a la persona responsable del criterio legal o comercial. Una clasificación de solicitudes puede admitir muestreo si el impacto es bajo y existe una ruta para corregir errores. Una recomendación sobre acceso, crédito, salud, contratación o personal exige controles más estrictos.

El momento también importa. Revisar después de que el sistema envió el mensaje o cambió el CRM sirve para investigar, no para prevenir. Si la acción es difícil de revertir, la aprobación debe ocurrir antes. Cuando el riesgo es menor, puede bastar una bitácora, revisión periódica y capacidad de corregir.

La gobernanza deja de ser abstracta cuando cada caso tiene un responsable, una evidencia mínima y una frontera de autonomía comprensible.

Las cuentas personales crean una deuda silenciosa

El uso espontáneo suele empezar con cuentas personales porque no hay otra cosa disponible. Con el tiempo, allí quedan conversaciones, archivos, instrucciones y una forma de trabajar que la empresa no puede administrar. Si la persona cambia de cargo o sale de la organización, parte de ese contexto se va con ella.

Migrar a cuentas institucionales no resuelve por sí solo la gobernanza, pero permite manejar altas y bajas, configurar accesos y separar trabajo de uso personal. También facilita saber qué servicios se pagan, quién los administra y cómo retirar una herramienta sin perder activos importantes.

La misma lógica aplica a asistentes y automatizaciones creados por proveedores. Las credenciales, fuentes, flujos y registros deberían quedar bajo control de la empresa. La comodidad de una demostración no compensa una dependencia que nadie sabe desmontar seis meses después.

La capacitación debe usar escenas reconocibles

Una presentación sobre sesgo, privacidad y alucinaciones puede ser correcta y aun así no cambiar una sola decisión el lunes. El equipo necesita practicar con situaciones que reconoce: un cliente envía un documento, un jefe pide un resumen urgente, una persona quiere traducir una base de datos o alguien propone que el asistente responda automáticamente.

En cada escena, la pregunta no es "¿la IA es buena o mala?". Es qué dato entra, qué fuente gobierna, quién verá el resultado, qué error sería costoso y quién conserva la decisión. Esas preguntas se recuerdan mejor porque acompañan el trabajo real.

Los responsables también necesitan una ruta para consultar casos nuevos sin esperar una revisión trimestral. Una política útil admite que aparecerán usos no previstos. Define quién puede evaluarlos y en cuánto tiempo debería responder.

Los incidentes pequeños muestran dónde falta diseño

Si alguien cargó por error un documento en un servicio no autorizado, ocultarlo impide aprender. Conviene tener un canal sencillo para reportar qué ocurrió, qué información estuvo involucrada, qué resultado produjo la herramienta y si el contenido fue compartido o usado después.

No todos los incidentes tendrán la misma consecuencia. Lo importante es poder contener el caso, documentar la decisión y corregir la causa. Tal vez faltaba capacitación. Tal vez la herramienta aprobada no resolvía la tarea. Tal vez el permiso era demasiado amplio o el proceso obligaba a copiar información entre sistemas.

Una revisión mensual de estos casos ofrece una lectura más honesta que preguntar cuántas licencias de IA compró la empresa. Muestra dónde el uso está creciendo, qué controles se evaden y qué necesidad operativa todavía no tiene respuesta.

Gobernar empieza por hacer visible lo que ya ocurre

La empresa no recuperará control fingiendo que la IA empieza el día en que se aprueba una estrategia. Empieza reconociendo el trabajo que el equipo ya está haciendo, separando experimentos razonables de usos peligrosos y diseñando una ruta segura para las tareas que tienen valor.

Un primer ciclo puede ser corto: inventariar usos por área, detener los casos de mayor riesgo, definir reglas provisionales sobre datos y revisión, habilitar una alternativa para dos o tres tareas frecuentes y volver a observar. Las reglas definitivas llegarán con mejor evidencia.

Ese enfoque no elimina la responsabilidad. La vuelve practicable. En lugar de perseguir herramientas una por una, la organización aprende a decidir qué información puede circular, qué acciones necesitan aprobación y qué debe quedar registrado.

Si el equipo ya usa IA y nadie puede describir dónde, con qué datos o para qué decisiones, un diagnóstico de uso y riesgo puede convertir esa práctica dispersa en un primer mapa de gobernanza, sin detener el trabajo útil ni normalizar los atajos peligrosos.