IA en el trabajo: 7 reglas de gobernanza que toda empresa necesita antes de desplegar Copilot

Microsoft Copilot está ahora incluido en muchas suscripciones de Microsoft 365. Google Gemini se está activando en los entornos de Google Workspace. ChatGPT Enterprise está en fase de prueba en despachos de abogados, asesores financieros y consultas médicas de todo el mundo. La IA está entrando en las operaciones empresariales más rápido de lo que se están estableciendo los marcos de gobernanza.

Esto no es un problema tecnológico. Es un problema de gobernanza de datos — y las autoridades de protección de datos en Europa, el Reino Unido y el Golfo están comenzando a investigarlo seriamente.

Regla 1: Conoce qué herramientas de IA están activas en tu organización

Antes de poder gobernar la IA, necesitas inventariarla. La mayoría de las organizaciones descubren que tienen más herramientas de IA en uso activo de las que pensaban — porque los empleados adoptaron versiones gratuitas o de prueba mucho antes de que IT aprobara nada.

Tu inventario de IA debe cubrir: cada herramienta que cualquier empleado use para procesar información relativa a clientes o a las operaciones del negocio. Esto incluye Microsoft Copilot, Google Gemini, ChatGPT y sus variantes, funciones de IA integradas en herramientas de gestión de proyectos, resumen automático en clientes de correo y cualquier asistente de programación con IA.

Regla 2: Clasifica qué puede y qué no puede ver la IA

No toda la información empresarial debe ser accesible para las herramientas de IA. El marco de gobernanza debe definir qué categorías de datos pueden procesar las herramientas de IA, cuáles requieren revisión humana antes de la intervención de IA, y cuáles están completamente fuera del límite.

Una clasificación funcional:

• Permitido para IA: procedimientos internos, documentos de acceso público, órdenes del día de reuniones sin contenido confidencial
• Revisado por IA: correspondencia con clientes, borradores de contratos, resúmenes financieros — la IA puede ayudar pero un humano debe revisar el resultado antes de usarlo
• Restringido para IA: datos de salud, comunicaciones protegidas por privilegio legal, datos financieros no públicos, contraseñas y credenciales

Regla 3: Establece la residencia de datos para el procesamiento de IA

Cuando tu herramienta de IA procesa un documento, ¿dónde ocurre ese procesamiento? Para Microsoft Copilot, ocurre dentro del límite de tu tenant de Microsoft 365, pero el modelo es operado por Microsoft en sus centros de datos. Para ChatGPT, los datos se envían a los servidores de OpenAI.

Las empresas que manejan datos personales bajo el RGPD deben poder documentar dónde ocurre el procesamiento de IA y con qué base legal. Revisa el Acuerdo de Procesamiento de Datos de tu herramienta de IA antes de desplegarla en flujos de trabajo que toquen datos personales.

Regla 4: Crea una política de uso aceptable de IA

Una política de uso aceptable para herramientas de IA debe cubrir:

• Qué herramientas están aprobadas para qué propósitos
• Qué categorías de información pueden introducir los empleados en herramientas de IA
• Qué nunca debe introducirse en ninguna herramienta de IA (contraseñas, PII de clientes, contenido legal privilegiado)
• Qué revisión se requiere antes de que el contenido generado por IA se use externamente
• Cómo reportar incidentes donde se usó IA de manera inapropiada

La política debe ser breve, en lenguaje sencillo y firmada por cada empleado que use herramientas de IA.

Regla 5: Documenta las decisiones asistidas por IA

Cuando la IA asiste en una decisión empresarial material, esa asistencia debe documentarse: qué herramienta de IA se usó, qué entradas se proporcionaron, cuál fue el resultado de la IA y qué decisión humana se tomó basándose en él.

Esta obligación de documentación existe porque los reguladores en servicios financieros, sanidad y el sector legal están comenzando a exigirla explícitamente.

Regla 6: Forma al personal antes del despliegue, no después

La formación sobre herramientas de IA debe preceder al despliegue. Los puntos específicos de formación que importan para el cumplimiento:

• No introduzcas nombres de clientes, referencias de casos o información identificativa en herramientas de IA de consumo
• El contenido generado por IA relacionado con clientes o asuntos regulados debe ser revisado por una persona cualificada antes de su uso
• Si una herramienta de IA produce un resultado inesperado o preocupante, repórtalo — no lo elimines simplemente

Regla 7: Construye el registro de auditoría

La pregunta que harán los reguladores después de un incidente relacionado con IA no es “¿tienes una política de IA?”. Es “¿puedes mostrarme qué ocurrió?”. Eso requiere un registro de auditoría: un registro de qué herramientas de IA se usaron, cuándo, por quién, con qué datos y con qué resultado.

La mayoría de las empresas que han desplegado Copilot u otras herramientas de IA lo han hecho sin completar ninguno de estos siete pasos. El marco de gobernanza anterior es alcanzable en semanas, no meses, para una empresa de cualquier tamaño.