Gobernanza de IA, la política interna que toda empresa necesita
Qué debe definir una política de uso de inteligencia artificial, cómo escribirla en una página y por qué conviene hacerlo antes de que el uso informal ya esté instalado.
La situación más común hoy no es la ausencia de inteligencia artificial en la empresa: es su presencia sin reglas. Los equipos ya usan herramientas, pegan información en chats que nadie aprobó y toman decisiones con salidas que nadie verificó.
Una política de uso no frena eso. Lo ordena.
Qué tiene que responder la política
No hace falta un documento extenso. Una página bien escrita que responda seis preguntas es más útil que un manual que nadie lee.
1. Qué herramientas están aprobadas. Una lista concreta con nombres, no una descripción abstracta. Si alguien quiere usar otra, que exista un camino simple para pedirla.
2. Qué información se puede cargar y cuál no. Esta es la cláusula más importante. Tres categorías alcanzan: información pública, información interna y confidencial. Para cada una, qué herramientas se pueden usar.
3. Qué decisiones requieren revisión humana. Todo lo que afecte a personas, lo que salga hacia afuera de la organización y lo que tenga impacto económico directo.
4. Qué hay que verificar antes de usar una salida. Datos, citas, números y referencias legales. La regla práctica: si lo vas a firmar con tu nombre, verificalo.
5. Cómo se identifica el contenido generado. Si una comunicación externa, un informe o una pieza de contenido fue generada con asistencia de IA, qué criterio de transparencia aplica.
6. A quién consultar. Un nombre o un canal. Sin eso, la gente decide sola y la política se vuelve decorativa.
La trampa de la política restrictiva
Una política que prohíbe casi todo produce el resultado opuesto al buscado: el uso se vuelve clandestino. La gente sigue usando las herramientas, pero desde dispositivos personales y sin dejar registro, que es exactamente el escenario de mayor riesgo.
Una política efectiva habilita con criterios. Dice claramente qué se puede hacer, da alternativas aprobadas para los casos donde hay restricciones, y reserva las prohibiciones para lo que realmente las amerita.
Los tres riesgos que la política debe cubrir
Confidencialidad. El riesgo más concreto y el más frecuente. Información de clientes, datos de empleados, estrategia, código, contratos. La política debe decir qué herramientas tienen acuerdo de confidencialidad vigente y cuáles no.
Exactitud. Los modelos generan información incorrecta con tono seguro. En contextos legales, financieros, técnicos o médicos, el costo de un error es alto. Acá la política define qué se verifica y quién firma.
Decisiones sobre personas. Selección, evaluación, promoción, acceso a servicios o beneficios. Son los usos regulados en varias jurisdicciones y donde el riesgo legal es real.
Quién debería escribirla
No el área de sistemas en soledad. La combinación que funciona incluye a alguien de legales, alguien de seguridad de la información, alguien de operaciones y alguien que efectivamente use las herramientas todos los días.
La última persona es la más importante y la que más se olvida: sin ella, la política termina prohibiendo prácticas que ya funcionan bien o habilitando cosas que en la práctica nadie necesita.
Mantenerla viva
Una política de IA escrita hace un año y nunca revisada es casi tan riesgosa como no tener ninguna, porque genera falsa sensación de control mientras las herramientas cambian.
Una revisión trimestral breve alcanza: qué herramientas nuevas aparecieron, qué consultas llegaron, qué incidentes hubo, qué hay que ajustar.
El punto de partida más simple
Si hoy no hay nada escrito, un buen primer paso es un documento de una página con tres listas: herramientas aprobadas, información que nunca se carga en ninguna herramienta externa, y usos que requieren aprobación previa. Circularlo, explicarlo en una reunión de quince minutos y dejar abierto un canal de consultas.
Eso cubre la mayor parte del riesgo real, y se puede hacer esta semana.
Preguntas frecuentes
¿Cuándo conviene escribir una política de uso de IA?
Antes de que el uso informal se generalice, que en la práctica es ahora: en la mayoría de las organizaciones los equipos ya usan herramientas de IA sin lineamientos. Una política temprana evita incidentes y da previsibilidad.
¿Qué debe prohibir una política de IA?
Cargar información confidencial o datos personales en herramientas no aprobadas, tomar decisiones sobre personas sin revisión humana, y publicar contenido generado sin verificación. El resto conviene habilitarlo con criterios claros.
¿Hace falta un comité de IA?
En organizaciones medianas y grandes sí, aunque sea pequeño y con reuniones mensuales. Su función no es aprobar cada uso, sino mantener la lista de herramientas permitidas, revisar casos nuevos y responder consultas.