Uso seguro de IA: gobierna lo que tu equipo ya está usando
Tu equipo ya usa IA. La pregunta no es si permitirlo, sino con qué herramientas, con qué datos y con qué supervisión. Ponemos orden: descubrimos qué se está usando, definimos las reglas y formamos a las personas que las tienen que aplicar.
El problema no es la IA: es que nadie sabe qué está saliendo de la empresa
La adopción de IA en las empresas no ha seguido el camino habitual de compra, evaluación y despliegue: ha entrado por abajo, persona a persona, desde cuentas personales y sin pasar por IT. El resultado es que casi ninguna organización puede responder hoy a tres preguntas básicas: qué herramientas de IA se están usando, qué información se ha pegado en ellas y quién revisa lo que producen antes de que llegue a un cliente. Prohibirlo no funciona —desplaza el uso al móvil personal, donde ya no hay ninguna visibilidad— y no hacer nada tampoco: cada semana que pasa sale más información sin registro. Lo que funciona es gobernarlo: descubrir el uso real, dar alternativas aprobadas cómodas y dejar por escrito qué datos no salen nunca.
Qué incluye el servicio
- Descubrimiento de shadow AI: qué herramientas de IA se usan realmente en la organización y desde dónde
- Revisión de aplicaciones y agentes de IA conectados al tenant de Google Workspace o Microsoft 365 y de sus permisos
- Clasificación de datos por nivel y mapeo a qué herramienta puede tratar cada nivel
- Redacción de la política de uso de IA, adaptada a los flujos de trabajo reales del equipo
- Definición del proceso de aprobación de herramientas nuevas, con plazos de respuesta
- Formación a empleados sobre uso seguro de asistentes de IA, con ejemplos del propio negocio
- Sesión específica para dirección sobre riesgo, responsabilidad y supervisión humana
- Revisión de la configuración de retención y entrenamiento en las herramientas ya contratadas
Cómo lo abordamos
- Descubrimiento: Inventariamos el uso real combinando registros de red, aplicaciones OAuth conectadas, extensiones desplegadas, gasto en suscripciones y una encuesta anónima al equipo.
- Clasificación de riesgo por caso de uso: Agrupamos lo encontrado por para qué se usa, no por herramienta. Un mismo asistente es riesgo mínimo redactando correos y alto cribando currículums.
- Alternativas aprobadas: Para los casos legítimos más frecuentes proponemos una opción corporativa al menos igual de cómoda. Sin sustituto, el uso vuelve a la cuenta personal.
- Política y proceso: Redactamos la política de uso de IA con las herramientas aprobadas, los datos que no salen nunca y quién aprueba qué, en un documento que la gente lee.
- Formación y despliegue: Formamos al equipo con ejemplos reales del negocio y dejamos material de onboarding para las nuevas incorporaciones. La política sin formación no cambia comportamientos.
Qué recibes
- Inventario del uso de IA en la organización, con nivel de riesgo por herramienta y caso de uso
- Informe de exposición: qué tipo de información ha podido salir y por qué vía
- Política de uso de IA lista para aprobar y publicar, adaptada a tu clasificación de información
- Matriz de datos permitidos por herramienta, en una página, para consulta diaria del equipo
- Sesión de formación para empleados: qué se puede y qué no se puede pegar en un asistente de IA
- Sesión para dirección sobre responsabilidad, supervisión humana y encaje normativo
- Material de onboarding reutilizable para nuevas incorporaciones
Cuándo tiene sentido este servicio
- Empresas donde el equipo ya usa IA a diario y no existe ninguna norma escrita al respecto
- Organizaciones que han desplegado Microsoft 365 Copilot o Gemini y quieren controlar qué expone a cada usuario
- Despachos, consultoras y empresas con obligaciones de confidencialidad contractual con sus clientes
- Empresas que necesitan poder enumerar sus sistemas de IA ante una auditoría de ENS o ISO 27001
- Direcciones que se plantean prohibir la IA y quieren evaluar antes qué se perdería y qué se ganaría
- Equipos que han tenido ya un susto: un dato sensible pegado en un chat público
Preguntas frecuentes sobre uso seguro de IA
¿Esto me sirve para cumplir el AI Act?
Es su prerrequisito operativo, no la adecuación legal completa. Sin saber qué sistemas de IA usa tu organización y para qué, no puedes clasificarlos por nivel de riesgo ni demostrar supervisión humana ante nadie. Este servicio te da ese inventario y ese control. La adecuación formal al reglamento —clasificación, rol de proveedor o deployer, documentación técnica— es nuestro servicio de consultoría AI Act, y se apoya en el trabajo que se hace aquí.
¿Cuánto tarda y qué implicación pide a mi equipo?
El diagnóstico y la política están en unas tres semanas para una organización de tamaño medio. La carga para tu equipo se concentra en el descubrimiento: accesos de solo lectura para revisar aplicaciones conectadas, y unos minutos de cada persona para la encuesta anónima. La formación son sesiones de entre 45 y 90 minutos según el perfil.
¿Vais a prohibirnos las herramientas que ya usamos?
No es el objetivo. En la mayoría de casos el resultado es lo contrario: se aprueban formalmente las herramientas que ya se usaban, se corrigen sus ajustes de retención y entrenamiento, y se acota únicamente el tipo de dato que no debe entrar. Prohibir sin ofrecer alternativa desplaza el uso al móvil personal y empeora la visibilidad.
¿Sirve si somos una empresa pequeña sin equipo de IT?
Sí, y suele ser más rápido. En una organización pequeña el inventario se cierra en días y la política cabe en una página. Lo que no cambia con el tamaño es el riesgo: pegar un contrato de cliente en un chatbot público tiene el mismo impacto en una empresa de ocho personas que en una de ochocientas.
¿En qué se diferencia esto de auditar la seguridad de nuestro propio sistema de IA?
Son cosas distintas. Este servicio gobierna el uso de herramientas de IA de terceros por parte de tu equipo. Si lo que tienes es un producto propio con un modelo, un chatbot de cara al cliente o un pipeline RAG, lo que necesitas es un pentesting de inteligencia artificial, que ataca ese sistema para encontrar sus vulnerabilidades. Muchas empresas acaban necesitando ambos, pero resuelven problemas diferentes.