La inteligencia artificial dejó de ser una tecnología que muchas empresas intentaban mantener al margen y comenzó a convertirse en un componente que requiere reglas, supervisión y criterios de seguridad.
De acuerdo con el último ESET Security Report, el 39,7 % de las empresas promueve el uso de IA bajo marcos internos, mientras que un 39,2 % todavía permite que cada empleado decida cómo utilizar estas herramientas sin una política definida.
El cambio refleja una nueva realidad en las organizaciones: el desafío ya no consiste únicamente en bloquear el acceso a asistentes de inteligencia artificial, sino en establecer mecanismos que permitan aprovechar sus beneficios sin comprometer información sensible, privacidad, procesos críticos o cumplimiento normativo.
Los datos muestran que el 17,8 % de las organizaciones limita el uso de IA a determinados casos, mientras que solo el 3,4 % mantiene una prohibición total.
Entre 2024 y 2025, la conversación empresarial comenzó a desplazarse hacia la creación de políticas internas, clasificación de datos, definición de herramientas autorizadas, capacitación de empleados e incorporación de asistentes de IA a los procesos de negocio.
“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo”, explicó Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
El mercado tecnológico también ha acompañado esta transición con versiones empresariales de asistentes de IA que incorporan controles adicionales de seguridad, privacidad y cumplimiento.
Entre ellas se encuentran ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, diseñadas para ofrecer mayores garantías en el tratamiento de información corporativa.
Aunque la adopción de políticas avanza, casi cuatro de cada diez organizaciones todavía no cuentan con lineamientos definidos. El 39,2 % permite que sus colaboradores decidan individualmente cómo y cuándo utilizar herramientas de IA.
Esta ausencia de reglas no significa necesariamente que una empresa haya optado por permitir o prohibir la inteligencia artificial. El problema radica en la falta de criterios sobre qué aplicaciones están autorizadas, qué información puede compartirse y quién asume la responsabilidad de validar los resultados.
Toma de decisiones
“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación”, señaló Micucci.
La situación puede generar pérdida de visibilidad sobre el uso real de estas tecnologías y favorecer el denominado Shadow AI: la utilización de herramientas de inteligencia artificial que no han sido aprobadas ni supervisadas por la organización.
Uno de los principales objetivos de las nuevas políticas es proteger información sensible.
Las organizaciones pueden establecer restricciones sobre el ingreso de datos de clientes, propiedad intelectual, código fuente, documentos internos o información financiera en plataformas públicas de IA.
Las políticas también pueden definir herramientas empresariales autorizadas, ofrecer alternativas con controles corporativos o, en algunos casos, implementar modelos propios que permitan procesar información dentro de la infraestructura de la organización.
El objetivo es que los empleados no solo conozcan qué está permitido, sino que dispongan de opciones seguras para utilizar estas tecnologías.
Otro principio que comienza a incorporarse es la supervisión humana. Las personas mantienen la responsabilidad de revisar y validar los contenidos generados por sistemas de IA, especialmente cuando estos intervienen en decisiones de negocio o procesos críticos.
Necesidad de establecer controles
La necesidad de establecer estos controles también se refleja en la evolución de los marcos internacionales. Entre las referencias disponibles se encuentran el NIST AI Risk Management Framework, publicado en 2023; las normas ISO/IEC 23894, centrada en la gestión de riesgos de IA, e ISO/IEC 42001, orientada a los sistemas de gestión de inteligencia artificial.
A estos marcos se suma el EU AI Act de la Unión Europea, que establece obligaciones para desarrolladores, proveedores y usuarios de sistemas de IA de acuerdo con los niveles de riesgo, así como el NIST Cybersecurity Framework 2.0, que proporciona una estructura para gestionar riesgos de ciberseguridad.
Para ESET, una política demasiado restrictiva puede generar un efecto contrario al esperado, al incentivar que los empleados recurran a servicios no autorizados.
En el extremo opuesto, las reglas ambiguas o excesivamente permisivas pueden facilitar la exposición de datos, la confianza excesiva en las respuestas generadas por IA y el uso de herramientas sin controles adecuados.
Por ello, la gestión de la inteligencia artificial requiere combinar políticas claras con capacitación, programas de concientización y soluciones corporativas que proporcionen alternativas seguras. Más que establecer una prohibición general, el objetivo es incorporar la IA a la cultura tecnológica de las organizaciones sin convertir la productividad en un riesgo de seguridad.
“Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio”, destaca ESET.
La transformación plantea así un nuevo capítulo para la ciberseguridad empresarial. La pregunta ya no es si la inteligencia artificial tendrá espacio dentro de las organizaciones, sino bajo qué condiciones podrá integrarse. Como ocurrió anteriormente con los dispositivos móviles, el trabajo remoto y los servicios en la nube, la IA comienza a exigir políticas específicas que permitan equilibrar innovación, productividad, seguridad y cumplimiento.
