Riesgos de Usar ChatGPT y Otras IAs en el Trabajo: Lo que las Empresas Deben Saber

Un empleado, con buenas intenciones y buscando trabajar más rápido, pega el contenido completo de un contrato confidencial en ChatGPT para pedirle que lo resuma. Otro sube una hoja de cálculo con información financiera sensible a una herramienta de IA para que le ayude a generar un análisis. Ninguno de los dos piensa que está haciendo algo peligroso — están usando una herramienta que se ha vuelto tan común como el correo electrónico. Pero cada una de esas acciones puede representar una filtración real de información confidencial, dependiendo de cómo la herramienta específica maneje esos datos.

La adopción de herramientas de IA generativa en el entorno laboral ocurrió con una velocidad que la mayoría de los departamentos de TI y de cumplimiento no pudieron seguir. A diferencia de la adopción tradicional de software empresarial, que generalmente pasa por procesos de evaluación y aprobación formal, muchos empleados simplemente empezaron a usar estas herramientas de forma individual, sin que existiera todavía una política clara sobre qué información es apropiado compartir con ellas.

Uso de la información para entrenar modelos futuros, dependiendo de la configuración específica de privacidad de cada herramienta — información sensible compartida hoy podría, en teoría, influir en respuestas generadas para otros usuarios en el futuro, si la configuración de privacidad no está adecuadamente restringida.

Almacenamiento de conversaciones en servidores de terceros, fuera del control directo de la empresa, sujeto a las políticas de seguridad y retención del proveedor de la herramienta, no a las políticas internas de la organización.

Falta de trazabilidad sobre qué información específica se ha compartido, dado que a diferencia de un documento compartido internamente con control de acceso claro, no existe un registro centralizado fácil de auditar sobre qué empleados compartieron qué información con qué herramientas externas.

Riesgo de cumplimiento normativo, particularmente relevante si la información compartida incluye datos personales protegidos bajo la Ley 1581 de Habeas Data — compartir esos datos con un servicio externo sin las autorizaciones y controles adecuados puede constituir una violación de las obligaciones de protección de datos.

La respuesta instintiva de muchas empresas es prohibir el uso de IA generativa por completo. En la práctica, esta prohibición rara vez se cumple de forma efectiva — los empleados encuentran formas de seguir usando estas herramientas desde dispositivos personales o conexiones no monitoreadas, precisamente el fenómeno que exploramos en nuestra guía sobre Shadow AI. Una prohibición que no se cumple en la práctica no reduce el riesgo real — solo elimina la visibilidad que la empresa tenía sobre ese uso.

Establecer categorías claras de información que nunca debe compartirse con herramientas de IA externas — datos personales de clientes o empleados, información financiera confidencial, propiedad intelectual crítica, y cualquier información sujeta a acuerdos de confidencialidad específicos.

Evaluar y aprobar formalmente herramientas específicas que cumplan estándares de seguridad y privacidad adecuados, en lugar de dejar la decisión completamente a criterio individual de cada empleado.

Capacitar activamente sobre qué es y qué no es apropiado compartir, con ejemplos concretos y realistas, en lugar de una política genérica que los empleados no logran traducir a decisiones prácticas del día a día.

Considerar soluciones empresariales de IA con garantías contractuales de privacidad, donde el proveedor se compromete explícitamente a no usar la información compartida para entrenar modelos ni retenerla más allá de lo necesario, ofreciendo un nivel de control que las versiones de consumidor gratuitas generalmente no garantizan.

Las herramientas de IA generativa ofrecen beneficios reales de productividad que ninguna empresa debería ignorar completamente. El objetivo de una política efectiva no es eliminar ese beneficio, sino canalizarlo de forma que la productividad no venga al costo de una exposición de información que la empresa no puede permitirse.

Empiece por la política: créela en dos minutos con el generador de política de uso de IA y mida qué herramientas ya usa su equipo con el checklist de IA en la sombra. Para el panorama completo, vea los 10 riesgos de la inteligencia artificial para empresas.