La inteligencia artificial ya no es una tecnología que las empresas estén simplemente valorando para el futuro.

En muchas organizaciones ya se utiliza para redactar textos, resumir documentos, traducir contenidos,
preparar propuestas, analizar información, generar imágenes, automatizar tareas o atender consultas.

A veces su implantación ha sido planificada por la dirección.

Otras veces, simplemente ha empezado a utilizarla una persona del equipo porque le permite hacer su trabajo de forma más rápida.

Y aquí aparece una cuestión que conviene plantearse:

¿Sabes realmente cómo se está utilizando la inteligencia artificial en tu empresa?

No se trata de prohibir la IA. Tampoco de asumir que utilizarla implica automáticamente un problema legal.

Se trata de conocer qué está ocurriendo y establecer criterios para utilizar esta tecnología de forma responsable.

La IA puede entrar en una empresa antes que su política de IA

Durante años, las empresas han trabajado para ordenar sus procesos de protección de datos:
políticas de privacidad, contratos, consentimientos, medidas de seguridad, gestión documental,
derechos de los interesados…

Pero la inteligencia artificial ha introducido una nueva dimensión.

Un empleado puede utilizar una herramienta de IA para resumir un documento.

Otro puede emplearla para preparar una presentación.

Otro puede introducir información de un cliente para obtener una respuesta más rápida.

Y otro puede estar utilizando una herramienta de IA integrada en un programa que la empresa ya utiliza.

Todos estos casos son diferentes.

Y no todos tienen necesariamente las mismas implicaciones.

El primer paso, por tanto, no es preguntarse si hay que prohibir la IA.

El primer paso es saber dónde está.

Shadow AI: cuando la tecnología crece más rápido que la organización

Se habla de Shadow AI para describir aquellos usos de herramientas de inteligencia
artificial que se producen sin que estén formalmente identificados, aprobados o supervisados por la organización.

El concepto no significa, por sí mismo, que exista una infracción.

Pero sí pone de manifiesto una cuestión de gestión:

No puedes establecer criterios sobre aquello que no sabes que existe.

Por eso, una organización debería intentar responder preguntas relativamente sencillas:

• ¿Qué herramientas de IA utiliza nuestro equipo?
• ¿Para qué se utilizan?
• ¿Quién las utiliza?
• ¿Qué tipo de información se introduce?
• ¿Se introducen datos personales?
• ¿Se introduce información confidencial?
• ¿Qué proveedores intervienen?
• ¿Existe algún criterio interno de utilización?
• ¿Hay supervisión humana?
• ¿Se ha informado o formado al personal?
• ¿Existe documentación sobre los usos relevantes?

Estas preguntas no pretenden convertir a cada empresa en un laboratorio jurídico de inteligencia artificial.

Pretenden conseguir algo mucho más práctico:

tener una visión real de cómo se está utilizando la IA.

RGPD e IA: relacionados, pero no son lo mismo

Una de las dudas más habituales es:

“Si ya cumplimos con el RGPD, ¿qué tenemos que hacer ahora con la IA?”

El RGPD continúa siendo fundamental cuando el tratamiento de inteligencia artificial implica datos personales.

Pero la gestión responsable de la IA puede plantear además otras cuestiones:
elección de herramientas, proveedores, información confidencial, supervisión humana,
transparencia, documentación, criterios internos, formación y gobernanza.

Por eso, RGPD e IA no deberían plantearse como dos mundos separados.

El enfoque práctico consiste en analizar qué hace realmente la empresa con la tecnología
y qué normativa resulta aplicable en cada caso.

El AI Act ya forma parte del presente

La Ley de Inteligencia Artificial de la Unión Europea no es únicamente una norma para el futuro.

Su aplicación es progresiva y, a fecha de septiembre de 2026, ya existen obligaciones aplicables
y mecanismos de supervisión en funcionamiento.

El marco europeo utiliza un enfoque basado en el riesgo, por lo que las obligaciones dependen,
entre otros factores, del sistema y del uso concreto que se haga de él.

También son relevantes las obligaciones relacionadas con la alfabetización en materia de IA,
así como determinadas obligaciones de transparencia que ya resultan aplicables.

Esto no significa que todas las empresas tengan que aplicar las mismas medidas.

Por eso es importante evitar dos extremos:

• “No tenemos que hacer nada porque solo usamos IA para tareas sencillas.”
• “Tenemos que implantar un sistema complejo de gobernanza porque utilizamos IA.”

La respuesta depende de la realidad de cada organización.

Gobernar la IA no significa prohibirla

Una política interna que diga simplemente “no utilizar herramientas de IA” puede parecer una solución sencilla.

Pero una prohibición no necesariamente responde a lo que está ocurriendo.

Si el equipo necesita determinadas herramientas para trabajar, puede buscar alternativas por su cuenta.

Por eso, en muchos casos tiene más sentido establecer criterios claros de utilización.

Por ejemplo:

• qué herramientas están autorizadas;
• para qué usos pueden utilizarse;
• qué información no debe introducirse;
• cuándo es necesaria una revisión humana;
• quién puede aprobar determinados usos;
• cómo se documentan los usos relevantes;
• cuándo debe revisarse una herramienta o proceso.

El objetivo no es frenar la innovación.

Es conseguir que la innovación pueda producirse dentro de un marco conocido.

Tecnología para detectar. Personas para decidir.

La inteligencia artificial también puede ayudar a las propias empresas a gestionar mejor sus riesgos.

Los agentes y herramientas digitales permiten automatizar determinadas tareas de detección inicial,
revisión y clasificación.

Esto puede aportar velocidad y facilitar la identificación temprana de determinados puntos que merecen atención.

Pero detectar no es lo mismo que decidir.

Una herramienta puede señalar un posible riesgo.

La valoración de ese riesgo requiere contexto.

Y las decisiones que afectan a la organización deben incorporar criterios profesionales,
jurídicos y de negocio.

Por eso, un enfoque responsable combina:

automatización + supervisión humana + trazabilidad + criterio profesional.

¿Por dónde debería empezar una empresa?

No es necesario comenzar implantando un sistema complejo.

Una aproximación práctica puede desarrollarse en cinco pasos.

1. Identificar

Hacer un inventario inicial de las herramientas y usos de IA existentes.

2. Clasificar

Distinguir entre usos sencillos, usos que manejan información relevante y escenarios
que requieren una revisión más profunda.

3. Establecer criterios

Definir qué puede hacerse, con qué herramientas y bajo qué condiciones.

4. Documentar y formar

Dejar constancia de los criterios relevantes y ayudar a las personas que utilizan IA
a comprender sus responsabilidades.

5. Revisar

La IA evoluciona rápidamente.

Una herramienta puede cambiar sus funcionalidades, aparecer un nuevo proveedor
o incorporarse un nuevo uso dentro de la empresa.

Por eso, la gobernanza no debería entenderse como un documento que se redacta una vez y se guarda.

Debe poder evolucionar con la tecnología.

La pregunta que toda empresa debería poder responder

No hace falta que una empresa tenga todas las respuestas hoy.

Pero sí debería poder empezar a responder una pregunta:

“¿Qué herramientas de inteligencia artificial utiliza nuestra organización,
para qué las utiliza y con qué información?”

Si la respuesta es clara, existe una base sobre la que trabajar.

Si la respuesta es “no lo sabemos”, probablemente el primer paso sea precisamente identificar la situación.

Porque antes de establecer una política, hay que conocer la realidad.

Y antes de recomendar medidas, hay que evaluar el contexto.

TConfiance · Ingeniería de Confianza Digital
RGPD · Cumplimiento digital · Auditorías web · Gobernanza de IA · AI Act