Edición impresa
¡Manténgase al día!
Reciba las últimas novedades e información directamente en su correo.
Martín Segura Delgado
Auditor Corporativo de Grupo Purdy
mgsegurad@grupopurdy.com
¿Le resultan familiares estos escenarios? Un colaborador de su empresa utiliza una herramienta gratuita de inteligencia artificial para resumir un contrato; otro recurre a ella para redactar un correo dirigido a un cliente y un tercero la emplea para analizar información confidencial de ventas. Son situaciones que podrían estar ocurriendo en su organización sin que nadie lo sepa.
El uso acelerado de la IA ha superado la capacidad de respuesta de la gestión y gobierno corporativo de las organizaciones, tal es así que de acuerdo con el reporte AI Index 2026 de la Universidad de Stanford, se estima que el 88% de las empresas a nivel mundial la utilizan al menos una función de IA en sus procesos, que pueden ir desde el uso de IA generativas hasta de sistemas sofisticados que incluso toman decisiones.
Basta con recorrer cualquier oficina para observar cómo se ha integrado en las tareas cotidianas, desde la redacción de correos electrónicos y el diseño de presentaciones hasta la creación de modelos para el análisis de datos. Sin duda, estas herramientas han generado importantes beneficios al facilitar procesos y mejorar la productividad. Sin embargo, su creciente adopción también plantea desafíos y preocupaciones que las empresas no pueden pasar por alto.
Desde la perspectiva de la gobernanza y la gestión de riesgos, considero que la facilidad de uso de los sistemas de inteligencia artificial plantea nuevos desafíos, como la toma de decisiones sin supervisión, la pérdida de autonomía sobre el conocimiento organizacional, los riesgos para la continuidad del negocio y una mayor exposición de la seguridad de la información.
Los sistemas tradicionales siempre han seguido reglas que alguien escribió y estas eran revisadas, en cambio los sistemas de inteligencia artificial pueden inclusive aprender patrones de los datos y responden con base a ellos. En muchas ocasiones nadie en la empresa podría explicar cómo llegó la IA a ese resultado, adicional a ese escenario se suma la falta de controles: según el Cost of a Data Breach Report 2026 de IBM y el Ponemon Institute, el 92% de las organizaciones que sufrieron un incidente relacionado con IA carecían de controles de acceso adecuados.
Así las cosas, creo que prohibir el uso de la inteligencia artificial en las empresas sería un error, y en la práctica sería imposible. Sin embargo, nos queda de tarea robustecer el gobierno de IA desde la alta dirección, mediante la definición de reglas de diseño y uso, y que estas sean comprensibles para todos los colaboradores.
En este sentido, es indispensable hacernos cuatro preguntas: La primera de ellas ¿de inteligencia artificial estamos utilizando en nuestra organización, y cuál es su propósito? Según el reporte de IBM y de Ponemon Institute, el 43% de los incidentes de seguridad involucra Shadow AI, es decir, herramientas que los colaboradores usan sin que la organización tenga conocimiento.
La segunda pregunta que hay que plantearse es ¿cuál es la información que utilizamos con la IA? Por ejemplo, subir un contrato o una lista de clientes en una aplicación gratuita puede equivaler a entregársela a un tercero, de ahí que las políticas deben establecer con claridad qué datos pueden ingresarse y cuáles no, y de nuevo, garantizar que se comunique de manera clara y efectiva a todos los colaboradores de la empresa.
La penúltima pregunta debe ser ¿cómo estamos usando la IA en nuestra organización? En esa línea, es válido cuestionarse si solo estamos ejecutando tareas simples como redacción de correos o consultas varias, o si la estamos utilizando para el apoyo de la toma de decisiones. Es allí donde debemos conocer que permisos tienen, cuáles son los límites de uso y si estos cuentan con supervisión humana.
Concluimos con la cuarta interrogante: ¿quién rinde cuentas? La recomendación es que cada caso de uso tenga un responsable claramente definido, encargado de medir su desempeño y rendir cuentas sobre los resultados.
La buena noticia es que existen marcos sólidos para el adecuado gobierno y gestión de la inteligencia artificial, como la norma ISO/IEC 42001:2023, sobre sistemas de gestión de IA; la ISO/IEC 23894:2023, que orienta la gestión de riesgos asociados a esta tecnología; y el NIST AI RMF, que ofrece un marco voluntario para gestionar sus riesgos. A estos se suman regulaciones como el AI Act europeo, que establece un marco legal para su uso.
El desafío para cada empresa es adoptar estos referentes, integrarlos y convertirlos en prácticas operativas adaptadas a su contexto. En mi experiencia, he observado que las organizaciones suelen adoptar nuevas tecnologías a partir de proyectos piloto exitosos, lo que lleva a otras áreas a replicarlas sin considerar que los riesgos varían según su aplicación. Por ejemplo, un modelo de IA puede representar un riesgo bajo al resumir actas, pero uno mayor al evaluar créditos o seleccionar candidatos. Por eso, es fundamental evaluar y aprobar cada caso de uso por separado, con un responsable asignado en el área de negocio correspondiente.
La inteligencia artificial ya forma parte del trabajo diario en las empresas y lo seguirá siendo. Nos toca asegurarnos de que su uso tenga reglas claras y responsables definidos, antes de que un incidente nos obligue a hacerlo.
