La inteligencia artificial ya no es una herramienta experimental para convertirse en un elemento clave en el día a día de las empresas: está presente en en correos electrónicos, sistemas CRM, asistentes de redacción y plataformas colaborativas. Sin embargo, muchas organizaciones siguen tratándola como si fuera un software convencional, sin considerar sus implicaciones estratégicas. El verdadero riesgo noreside en utilizar inteligencia artificial, sino en hacerlo sin un marco de gobernanza claro. Y este desafío no es únicamente técnico: es una cuestión estratégica que debe ser liderada directamente por la Dirección, ya que impacta en la seguridad, el cumplimiento normativo y la reputación corporativa.
La brecha de seguridad no siempre entra en la organización. Muchas veces, sale de ella.
Durante años, la ciberseguridad se ha centrado en ataques externos. Pero el riesgo más frecuente hoy no necesita hackers.
Solo necesita:
- Un empleado.
- Un copiar.
- Un pegar.
- Un “enter” en una herramienta de IA pública.
Cuando un trabajador introduce información interna en un modelo de IA abierto, no está simplemente “consultando una herramienta”. Jurídicamente, está comunicando información a un tercero.
Desde la perspectiva del Reglamento General de Protección de Datos (, esa acción puede implicar:
– Tratamiento de datos personales (art. 4 RGPD).
– Comunicación o cesión de datos a un tercero (arts. 28 y 44 y ss. RGPD).
– Necesidad de base legitimadora (art. 6 RGPD).
– Evaluación de riesgos o incluso una Evaluación de Impacto (art. 35 RGPD).
– Posible obligación de notificar una brecha (arts. 33 y 34 RGPD).
A esto se suma un riesgo adicional: cuando las respuestas generadas por la inteligencia artificial se utilizan para tomar decisiones automatizadas que afectan a personas, entran en juego las garantías del artículo 22 del RGPD, como la supervisión humana y el derecho a no ser objeto de decisiones exclusivamente automatizadas. Por tanto, el riesgo asociado al uso de IA no es hipotético ni lejano: es real, actual y jurídicamente exigible.
El caso Samsung: cuando el “copiar y pegar” se convierte en fuga real
En 2023, empleados de Samsung introdujeron código fuente confidencial en ChatGPT para obtener ayuda en su revisión.
El resultado:
- Exposición de información estratégica.
- Prohibición temporal del uso de IA generativa.
- Revisión interna urgente de políticas.
El nuevo marco europeo: la IA ya es materia de gobierno corporativo
El Reglamento de Inteligencia Artificial, conocido como (AI Act), establece un marco jurídico vinculante para el uso de sistemas de IA en la Unión Europea.
Entre sus elementos clave:
– Enfoque basado en riesgo (art. 6 y ss.).
– Obligaciones específicas para sistemas de alto riesgo.
– Requisitos de supervisión humana (art. 14).
– Obligaciones de gobernanza, gestión de riesgos y documentación técnica.
– Régimen sancionador que puede alcanzar hasta 35 millones de euros o el 7% del volumen de negocio global anual (art. 99).
Aunque muchas obligaciones recaen en proveedores, las organizaciones que implementan o utilizan sistemas de IA no quedan al margen. El AI Act introduce el concepto de “deployer” (usuario profesional del sistema), que también tiene responsabilidades claras.
La IA deja de ser una cuestión operativa para convertirse en una cuestión de cumplimiento normativo y responsabilidad de Dirección.
Gobernanza no es tener una política en la intranet
Muchas empresas ya han redactado una política de uso de IA. Eso es un primer paso. Pero no es gobernanza.
La gobernanza real implica:
– Identificar dónde y cómo se utiliza la IA en la organización.
– Clasificar el nivel de riesgo de cada uso.
– Establecer controles técnicos (DLP, herramientas autorizadas).
– Supervisión continua.
– Formación diferenciada por perfiles de riesgo.
Y aquí está el punto crítico: la formación no puede limitarse a un webinar anual genérico.
Debe ser estructurada, documentada y adaptada a perfiles: Dirección, equipo legal, marketing, IT, operaciones.
Porque, ante un incidente, la pregunta de la autoridad será clara:
“¿Demostró la empresa que su personal sabía qué información podía y no podía introducir en herramientas de IA?”
La ventaja competitiva real en la era de la inteligencia artificial
La organización que liderará en los próximos años no será la que utilice más herramientas de nteligencia artificial, sino la que las integre con criterio, supervisión y coherencia normativa.
La gobernanza de la IA no es un proyecto tecnológico delegable. Es una decisión de gobierno corporativo que afecta directamente en a reputación, responsabilidad, sostenibilidad y valor de marca.
La inteligencia artificialno es el enemigo. El verdadero riesgo es el descontrol.
Si tu organización ya está utilizando inteligencia artificial —aunque sea de forma informal o descentralizada— es el momento de revisar su encaje con el Reglamento General de Protección de Datos (RGPD) y el Reglamento de Inteligencia artificial. No hacerlo implica asumir riesgos legales, operativos y reputacionales crecientes.
Desde nuestro equipo acompañamos a comités de dirección en la implantación de formación ejecutiva en gobernanza de IA, análisis GAP normativo y diseño de modelos internos de control adaptados a cada organización.
Porque la madurez digital no consiste en prohibir el uso de la inteligencia artificial, sino en gobernarla de forma eficaz. Y para lograrlo, contar con una plataforma SaaS de Governance que integre compliance, seguridad de la información y ciberseguridad es la forma más eficiente de pasar del caos manual al control real de la gobernanza.