IA en la sombra: cómo escribir la política de uso de inteligencia artificial de tu empresa antes de que se filtren datos

Una asistente pega en un chat de IA gratuito el contrato de un cliente para que se lo resuma. Un vendedor copia la lista de prospectos, con nombres y teléfonos, para que la herramienta le redacte los correos de la semana. Nadie lo autorizó y nadie lo prohibió. Eso es la IA en la sombra: herramientas de inteligencia artificial que el personal usa por su cuenta, fuera de lo que la empresa conoce y controla.

Las cifras ayudan a dimensionarlo. En el Work Trend Index 2024 de Microsoft y LinkedIn, una encuesta a 31,000 personas en 31 países, el 75% de los trabajadores del conocimiento dijo usar IA generativa en su trabajo, y el 78% de ellos llevaba sus propias herramientas. Solo el 39% de quienes la usaban había recibido capacitación de su empresa. La respuesta razonable es una política de uso de inteligencia artificial que quepa en una página y que todo el equipo conozca.

Qué es la IA en la sombra y qué riesgo trae

Es el uso de herramientas de IA que la empresa no eligió ni revisó: cuentas personales gratuitas de ChatGPT u otros asistentes, extensiones del navegador, aplicaciones del celular. El primer riesgo es la información que sale. Lo que alguien pega en una de esas herramientas queda en los servidores de un tercero, bajo condiciones que la empresa no negoció ni revisó.

El segundo riesgo es menos visible y está en los resultados. Un resumen con un error, una cifra inventada o una cláusula mal traducida pueden terminar en un documento que sale con la firma de la empresa. La misma encuesta encontró que el 52% de quienes usan IA en el trabajo prefiere no admitir que la usa para sus tareas más importantes, y un uso que se oculta tampoco pasa por ninguna revisión.

Lo que dicen las normas peruanas

Dos normas tocan este tema de forma directa. La primera es el Reglamento de la Ley de inteligencia artificial, aprobado por el Decreto Supremo N.° 115-2025-PCM. Su artículo 31 pide a las empresas que integran o despliegan IA en sus procesos (la norma las llama implementadoras) establecer «políticas, protocolos y procedimientos claros» para preservar la seguridad y la privacidad, y fomentar la concientización de su personal sobre los riesgos. Estas obligaciones entran en vigor por etapas según el sector, y el calendario completo está en el resumen del Reglamento de IA.

La segunda es la protección de datos personales. El Reglamento de la Ley N.° 29733, aprobado por el Decreto Supremo N.° 016-2024-JUS, establece en su artículo 21.2 que todo flujo transfronterizo de datos personales debe ponerse en conocimiento de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales. Cuando un trabajador pega datos de clientes en una herramienta cuyos servidores están en otro país, la empresa puede estar enviando datos al extranjero sin haberlo comunicado. Y si un sistema de IA trata datos personales sin cumplir esa ley, se aplica su régimen de sanciones (artículo 26.2 del Reglamento de IA).

Por eso, si tu empresa tiene o debe designar un oficial de datos personales, esa persona tiene que participar en la política de uso de IA desde el borrador.

Por qué prohibir todo no resuelve el problema

Bloquear todas las herramientas es la reacción más rápida, pero deja el problema donde estaba: el personal puede seguir usándolas desde su celular, ahora sin decirlo. Y el uso ya depende de la iniciativa de cada trabajador: según la misma encuesta de Microsoft y LinkedIn, en las empresas pequeñas y medianas la proporción de quienes llevan sus propias herramientas de IA llega a 80%.

Una salida más práctica es ofrecer una alternativa aprobada y reglas claras. Para la mayoría de las tareas basta una herramienta con cuenta corporativa, cuyas condiciones de uso la empresa haya leído. Para documentos muy sensibles existe la opción de tener los modelos de IA dentro de la institución, sin que la información salga de su red.

La política de una página: qué debe decir

Una política de uso de IA útil cabe en una hoja y responde cinco preguntas.

Qué herramientas están permitidas

Una lista corta, con el tipo de cuenta que se usa (corporativa, no personal) y quién aprueba agregar una nueva. Si alguien necesita otra herramienta, debe tener un camino para pedirla que tome días y no meses.

Qué datos nunca se ingresan

Datos personales de clientes, trabajadores o postulantes (DNI, direcciones, información de salud, sueldos), contraseñas y claves de acceso, datos bancarios, contratos y propuestas no publicadas, y cualquier información recibida con compromiso de confidencialidad. Ante la duda, no se ingresa, o se ingresa sin nombres ni números que permitan identificar a alguien.

Para qué sí se puede usar

Redactar a partir de información pública o propia que no sea confidencial, resumir textos internos de baja sensibilidad, traducir, ordenar ideas y preparar borradores. Dejarlo por escrito evita que la gente se abstenga de usar la herramienta por miedo a equivocarse.

Quién revisa

Todo resultado que sale de la empresa o que sirve para decidir algo lo revisa y lo firma una persona. La responsabilidad por lo que se envía sigue siendo de quien lo firma. Para las decisiones sobre personas, como evaluar a un postulante, el Reglamento de IA fija reglas más exigentes.

Cómo se registra

Un registro simple por área: qué herramienta se usa, para qué proceso y con qué tipo de información. Sirve para saber dónde está la IA en la empresa y es la base del registro que el Reglamento exige cuando un sistema es de riesgo alto (artículo 31.1). Incluye también a quién avisar si alguien ingresó por error información que no debía, porque un aviso temprano permite actuar antes de que el daño crezca.

Cómo ponerla en marcha

1. Pregunta antes de escribir. Una encuesta anónima sobre qué herramientas usa cada área y para qué te dará un mapa real, sin que nadie tema una sanción por contarlo.
2. Elige una o dos herramientas con cuenta corporativa y revisa en sus condiciones dónde se guarda la información y si el proveedor puede usarla para entrenar sus modelos.
3. Escribe la página con quienes usan la IA todos los días y haz que la apruebe la gerencia.
4. Capacita con ejemplos del propio trabajo: qué se puede pegar en la herramienta, qué no y cómo revisar lo que devuelve. Aprovecha la misma sesión para mostrar que los delincuentes también usan IA, por ejemplo para escribir correos falsos sin faltas de ortografía.
5. Revisa la política cada seis meses. Las herramientas cambian rápido y la lista de permitidas envejece con ellas.

Las cifras citadas vienen del Work Trend Index 2024 de Microsoft y LinkedIn (encuesta realizada entre febrero y marzo de 2024), y las obligaciones, de los decretos supremos N.° 115-2025-PCM y N.° 016-2024-JUS. Esta nota es información general: cada empresa debe revisar su caso con su asesor legal, sobre todo en lo que toca al envío de datos personales al extranjero.