Cómo Proteger las Herramientas de IA en el Lugar de Trabajo: Guía Práctica para PYMEs

Una encuesta de 2025 encontró que el 75% de los trabajadores del conocimiento usan herramientas de IA en el trabajo. De ellos, menos de la mitad usan herramientas que su departamento de IT ha revisado o aprobado. El resto usa servicios de IA para consumidores — ChatGPT, Claude, Gemini, Perplexity — y les proporciona cualquier dato que necesiten para completar sus tareas, incluyendo información de clientes, datos financieros y contenido empresarial propietario.

Este no es un riesgo futuro. Está ocurriendo en su organización ahora mismo. La pregunta no es si abordarlo — es cómo abordarlo sin matar la productividad o llevar el uso más a la clandestinidad.

Qué Datos Están Realmente en Riesgo

El riesgo no es que las herramientas de IA sean maliciosas — es que los servicios de IA para consumidores están diseñados para uso individual, no para el manejo de datos empresariales. Cuando su empleado pega un contrato de cliente en ChatGPT para resumirlo, ese texto puede ser retenido por OpenAI para mejorar el modelo a menos que el usuario haya optado por no participar (y la mayoría no lo ha hecho). Cuando pegan proyecciones financieras en una herramienta de IA gratuita, esos números pueden almacenarse en servidores sin ningún acuerdo de procesamiento de datos.

• PII de clientes (nombres, direcciones, información de contacto)
• Datos financieros (cifras de ingresos, precios, proyecciones)
• Documentos legales (contratos, NDAs, materiales de litigios)
• Código propietario y documentación técnica
• Datos de RR.HH. (registros de empleados, compensación, evaluaciones de desempeño)
• Datos regulados (PHI bajo HIPAA, datos de tarjetas de pago bajo PCI DSS)

Obtener Visibilidad: Qué Herramientas de IA se Están Usando

Antes de poder gobernar el uso de herramientas de IA, necesita saber qué se está usando. Varios enfoques proporcionan visibilidad:

• Registros de filtrado DNS — la mayoría de los servicios de IA usan dominios distintos que aparecen en los registros de consultas DNS
• Registros de proxy web o CASB (Agente de Seguridad de Acceso a la Nube) — muestran qué servicios en la nube se están accediendo
• Inventario de extensiones del navegador — muchas herramientas de IA se acceden mediante extensiones del navegador que aparecen en las consolas de gestión de endpoints
• Encuesta a empleados — a veces el enfoque más simple; pregunte qué herramientas están usando las personas y por qué

Construyendo una Política de Uso Aceptable de IA

Una política de uso aceptable de IA no necesita ser extensa, pero debe ser específica. Las políticas genéricas de 'use el buen juicio' no son aplicables. Su política debe abordar:

• Herramientas aprobadas — una lista específica de herramientas que han sido revisadas y aprobadas para uso laboral
• Reglas de clasificación de datos — qué categorías de datos pueden y no pueden compartirse con herramientas de IA (por ejemplo, sin PII de clientes, sin datos regulados, sin información financiera confidencial)
• Casos de uso aprobados — para qué tareas pueden usarse las herramientas de IA (redacción, resumen de información pública, asistencia de codificación) vs. usos prohibidos
• Requisitos de revisión de resultados — el contenido generado por IA debe revisarse antes de usarse en materiales orientados al cliente o documentos legales
• Reporte de incidentes — cómo reportar si un empleado cree que ha compartido datos sensibles con una herramienta de IA no autorizada

Herramientas de IA Sancionadas: Qué Buscar

Al evaluar herramientas de IA para uso empresarial, las preguntas clave sobre el manejo de datos son: ¿El proveedor ofrece un Acuerdo de Procesamiento de Datos (DPA)? ¿Sus datos se usan para entrenar el modelo? ¿Dónde se almacenan los datos y por cuánto tiempo? ¿La herramienta cumple con las regulaciones relevantes (HIPAA, GDPR, SOC 2)? Microsoft 365 Copilot, por ejemplo, opera dentro del límite de su tenant de Microsoft 365 y está cubierto por los compromisos de protección de datos empresariales de Microsoft — una ventaja significativa sobre las herramientas de IA para consumidores.

Controles Técnicos para Aplicar la Política de IA

• Filtrado DNS/web para bloquear servicios de IA no aprobados
• Reglas DLP (Prevención de Pérdida de Datos) para detectar y bloquear datos sensibles que se pegan en formularios web
• Políticas CASB para monitorear y controlar el uso de aplicaciones en la nube
• Gestión de endpoints para bloquear extensiones de navegador no autorizadas
• Microsoft Purview Information Protection para clasificar y proteger documentos sensibles que no pueden compartirse con herramientas de IA