Tu mayor riesgo en materia de IA ya está dentro del edificio

¿Y si el riesgo más acuciante relacionado con la IA al que se enfrenta tu organización no fuera un ciberataque sofisticado o un agente desleal que se comporta de forma inesperada? ¿Y si fuera tu propio equipo directivo el que utilizara herramientas cuya existencia desconoce el departamento de TI?

Esa es la conclusión de un estudio de Nitro , publicado en   , titulado « » (La IA en la empresa: cómo los ejecutivos de alto nivel están adoptando la IA), que reveló que el 68 % de los altos directivos ha utilizado herramientas de IA de consumo no autorizadas para sortear las limitaciones de sus herramientas aprobadas. En una reciente intervención en el podcast«  » de Tech Talks Network  , el director ejecutivo de Nitro, Cormac Whelan  , argumentó que esta estadística no es solo un fallo de gobernanza, sino más bien un síntoma de algo más profundo. Las organizaciones están adoptando la IA sin un marco que permita decidir dónde, por qué y en qué condiciones debe utilizarse. Hasta que ese marco exista, la «IA en la sombra» en todos los niveles de la empresa es el resultado previsible.

Por qué la IA «en la sombra» se concentra en la parte superior del organigrama

La presión sobre los ejecutivos para demostrar avances en IA es enorme y proviene de todas las direcciones —salas de juntas directivas, conferencias con inversores, reuniones de liderazgo— y las propias herramientas nunca han sido tan accesibles. Esa combinación está generando un patrón de comportamiento específico: los ejecutivos experimentan por su cuenta porque las herramientas aprobadas o bien aún no existen o bien no satisfacen las necesidades con la suficiente rapidez.

«El bombo publicitario, la presión y la accesibilidad —hoy en día la IA es muy accesible—», afirma Cormac. «Y la presión que sienten muchos ejecutivos, tanto en sus salas de alta dirección como en las salas de juntas, para demostrar que están avanzando, que están logrando resultados aprovechando la IA. Creo que eso les ha obligado a experimentar».

El instinto de experimentar es comprensible. Pero la experimentación sin un marco de referencia significa que los altos cargos de la organización están tomando decisiones caso por caso sobre qué datos exponer y en qué herramientas confiar, sin criterios comunes para ninguna de las dos cosas.

¿Por qué los flujos de trabajo de documentos son el área de mayor riesgo para el uso no autorizado de la IA?

La razón por la que esto es más importante que un problema típico de «TI en la sombra» se reduce a lo que contienen los archivos que se procesan. Los documentos ocupan un lugar central en casi todas las funciones empresariales básicas y contienen parte de la información confidencial más concentrada que posee una organización.

«Ya se trate de un documento de contratación con un proveedor, un escrito judicial, un acuerdo de compra de acciones o un contrato de trabajo, contienen una enorme cantidad de datos altamente confidenciales y específicos del sector», afirma Cormac. «Lo que importa es garantizar la seguridad y la fidelidad de esa información».

Cuando un directivo procesa un contrato mediante una herramienta de IA no autorizada para obtener un resumen o una comparación rápida, puede estar entregando esos datos a un sistema con políticas de retención desconocidas, prácticas de entrenamiento desconocidas y controles de acceso desconocidos. Multiplica eso por una organización en la que dos tercios del equipo directivo están haciendo lo mismo, y la exposición aumenta rápidamente. Ese riesgo ya está integrado en el flujo de trabajo diario de todo ejecutivo que necesitaba una respuesta más rápido de lo que sus herramientas autorizadas podían proporcionársela.

Cómo los marcos centrados en los resultados resuelven tanto la estrategia como la gobernanza

La razón por la que los ejecutivos recurren a herramientas no autorizadas es que tienen en mente un resultado empresarial —resumir este contrato, extraer estas cifras, comparar estas condiciones—, pero carecen de una vía autorizada para alcanzarlo. Para solucionar esto, es necesario definir los resultados que la IA debe ofrecer en toda la organización y, solo entonces, construir la gobernanza en torno a esos casos de uso específicos».«A veces los ejecutivos se obsesionan con que “tiene que ser IA esto, tiene que ser IA aquello”», afirma Cormac. «La pregunta que vale la pena plantearse primero es: ¿cuál es el resultado que intentamos conseguir? ¿Y cómo nos ayuda realmente la IA a alcanzarlo?»

Cuando se define primero el resultado, la gobernanza resulta mucho más sencilla porque el alcance queda claro. ¿Qué datos requiere este caso de uso? ¿Qué nivel de sensibilidad tienen esos datos? ¿Qué políticas de conservación y formación debe cumplir la herramienta? Esas preguntas pueden responderse cuando el caso de uso es específico desde el principio.

«Nuestro equipo jurídico, nuestro equipo financiero y nuestro equipo de marketing utilizan la IA», afirma Cormac. «Y lo primero es plantearnos cómo nos ayuda esto a lograr un mejor resultado, ya sea a través de la productividad, la rapidez de comercialización, la capacidad de mejorar la calidad de nuestro código o la usabilidad de nuestro producto. Empezamos teniendo en mente el resultado desde el principio».

Aplicada a nivel organizativo, se mantiene la misma disciplina. Cuando las organizaciones definen los resultados que necesitan, evalúan en qué aspectos la IA los acelera realmente y establecen un marco de gobernanza en torno a esas implementaciones específicas, la IA «en la sombra» deja de ser una solución alternativa atractiva.

Cómo someter a prueba tu marco de IA

A medida que las herramientas de IA proliferan en toda la empresa, la cuestión de adónde van los datos y cómo se gestionan se convierte en una decisión de compra, más que en un mero ejercicio de cumplimiento normativo. Las organizaciones que evalúan a los proveedores de IA (o que analizan lo que sus ejecutivos ya están utilizando) deben plantearse preguntas concretas: ¿esta herramienta conserva los datos que se le introducen? ¿Se utilizan esos datos para entrenar modelos? ¿Quién tiene acceso a ellos y bajo qué jurisdicción?

«Siempre hemos considerado a Europa como el máximo común denominador en lo que respecta a la normativa sobre datos personales», explica Cormac. «Lo vemos como una fortaleza. Cuando nos introducimos en mercados de Asia, Australia o Estados Unidos, solemos operar muy por encima de los requisitos locales de privacidad de datos».

Aplicar los estándares de privacidad más exigentes —en lugar de los mínimos obligatorios— a la selección de proveedores y a la implementación interna reduce el riesgo, simplifica las operaciones transfronterizas y genera credibilidad ante los clientes y socios de los sectores regulados. Si tu marco es capaz de cumplir los requisitos de privacidad de datos más exigentes, podrá cumplir con todos ellos.

Cerrar la brecha

La cifra del 68 % es un indicador real del número de ejecutivos que tienen una necesidad empresarial que el enfoque actual de su organización en materia de IA no puede satisfacer. Y cada vez que uno de ellos recurre a una herramienta no autorizada, está tomando una decisión sobre la seguridad de los datos, la confianza en el proveedor y el cumplimiento normativo en nombre de toda la organización, sin contar con la estructura de gobernanza necesaria para respaldarla.

«Céntrate en los resultados», afirma Cormac. «La IA debería ser casi algo rutinario, en segundo plano. Nunca debes hacer nada que ponga en riesgo la confianza o la transparencia de tus datos. Si la IA ayuda a conseguir un mejor resultado, fantástico. Pero hay otras formas de lograrlo si no es así».

El objetivo es un marco que haga innecesaria la experimentación no autorizada: uno que parta de resultados definidos, aplique la IA para alcanzar esos resultados con una gobernanza clara y someta a todas las herramientas a los mismos estándares de confianza y responsabilidad que se aplican al resto de la empresa. Para las organizaciones en las que la mayoría de los altos directivos ya están operando al margen de las herramientas aprobadas, cuanto antes se implante ese marco, menor será la brecha que habrá que cerrar.

Escucha la conversación completa en el podcast «   » de Tech Talks Network , donde Cormac habla sobre la IA en la sombra, cómo distinguir la innovación genuina del marketing costoso y por qué una mentalidad centrada en los resultados es más importante que nunca.