Hace poco más de tres años, cuando OpenAI lanzó ChatGPT públicamente, la reacción fue clara: prohibir. Samsung, financieras, consultoras grandes — todas cerraban el acceso por miedo a que sus empleados filtraran información sensible. Era la cautela lógica ante lo desconocido.
Pero esa realidad cambió rápido. Y hoy, según el ESET Security Report 2026, solo el 3.4% de las empresas mantiene una prohibición total sobre herramientas de IA. El resto, 96.6%, ya las usa de alguna forma.
¿Qué pasó en tres años?
Dos cosas.
Primero, quedó claro que la IA no era una moda. Los empleados la usaban sin permiso (el fenómeno llamado Shadow AI), desde sus cuentas personales, sin que la empresa tuviera visibilidad ni control. Intentar prohibir era inútil.
Segundo, la industria maduró. Microsoft, Google, OpenAI lanzaron versiones empresariales de sus herramientas — Microsoft 365 Copilot, Gemini para Workspace, ChatGPT Business — con controles de seguridad, privacidad y cumplimiento normativo integrados.
Así, la pregunta cambió. No era “¿permitimos o prohibimos?” sino “¿cómo gobernamos esto sin que se nos escape de las manos?”
¿Cuál es el riesgo real?
Si tu empresa todavía no tiene política definida sobre IA — y el reporte dice que el 39.2% de organizaciones opera sin una — lo que pasa es que cada empleado decide cómo, cuándo y con qué información usa estas herramientas.
Suena inocente. Pero la práctica es complicada.
Un vendedor copia un contrato con datos del cliente en ChatGPT para que le ayude a redactar un email. Una contador pega un balance interno para que una IA la ayude con el análisis. Un técnico carga código fuente en una herramienta pública para resolver un error. Ninguno piensa que está haciendo algo malo. Solo están buscando ayuda.
Pero en esos pasos, información sensible — datos de clientes, propiedad intelectual, código, números financieros — se va a servidores externos sin que la empresa sepa que sucedió.
El caso de Samsung el 2023 fue un ejemplo real: ingenieros cargaron código fuente y datos internos en ChatGPT. No fue negligencia. Fue falta de reglas claras.
Los tres problemas que una política de IA resuelve
1. Proteger información sensible
Una política define qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Por ejemplo: “No compartir datos de clientes, información financiera, código fuente ni documentos internos en aplicaciones públicas.” Simple, claro, ejecutable.
2. Reducir el Shadow AI
Si ofreces alternativas seguras y aprobadas — herramientas empresariales o modelos internos — los empleados las usan en lugar de buscar workarounds. El objetivo es que la forma segura también sea la más conveniente.
3. Garantizar supervisión humana
Cuando alguien usa IA para redactar documentos, analizar datos o generar código, la política establece que esa persona sigue siendo responsable de validar lo que genera la máquina. Especialmente si interviene en decisiones de negocio o procesos críticos.
Marcos regulatorios que ya existen
No tienes que inventar esto desde cero. Existen estándares internacionales que sirven como guía:
- NIST AI Risk Management Framework (2023) — metodología para identificar, evaluar y monitorear riesgos de IA durante su ciclo de vida.
- ISO/IEC 23894 — gestión de riesgos específicos de IA.
- ISO/IEC 42001 — sistema de gestión completo de IA. El primero de su tipo a nivel mundial.
- EU AI Act — regulación integral de la Unión Europea. Clasifica sistemas de IA por nivel de riesgo. Aplica a empresas europeas y a las que ofrecen servicios en la UE.
- NIST Cybersecurity Framework 2.0 — marco amplio para gestionar riesgos tecnológicos, incluyendo IA.
En Costa Rica, mientras no haya regulación específica sobre IA (lo que probablemente vendrá pronto), lo sensato es alinearse con estándares internacionales. Si tu empresa trabaja con clientes en la UE, o aspira a certificaciones internacionales, estos marcos son obligatorios de facto.
¿Por dónde empezar?
No necesitas un documento de 50 páginas. Empieza con lo básico:
Paso 1: Inventario de herramientas — ¿Qué herramientas de IA usan hoy tus empleados? Pregunta. Algunos lo admitirán, otros no. Pero necesitas visibilidad.
Paso 2: Clasificación de datos — ¿Qué información es sensible? Clientes, finanzas, código, planes estratégicos. Define qué no se puede compartir en plataformas públicas.
Paso 3: Herramientas autorizadas — Elige herramientas empresariales para los casos de uso más comunes. Comunica las opciones aprobadas. Capacita a tu gente.
Paso 4: Reglas claras — Documenta qué está permitido, qué no, y por qué. Hazlo accesible, no técnico. Los empleados necesitan entenderlo, no solo cumplirlo.
Paso 5: Supervisión y mejora — Monitorea cómo se usa la IA en tu empresa. Ajusta la política según aprendas.
El desafío real
Tener una política escrita no garantiza que se cumpla. Si tu alternativa corporativa es lenta o tiene muchas restricciones, los empleados la saltarán. Tienen incentivo natural para hacerlo.
Por eso los empresarios exitosos apuestan a equilibrio: reglas claras + herramientas útiles + capacitación constante. Que la forma segura sea también la más conveniente.
Es el mismo principio que aprendimos con dispositivos móviles, trabajo remoto y acceso a la nube. Restringir puro cuesta. Gobernar + capacitar funciona.
¿Necesitas ayuda?
En SYSTEC llevamos 25 años ayudando empresas costarricenses a implementar controles de seguridad que funcionan sin ahogar la productividad. Gobernanza de IA es el siguiente paso natural en esa conversación.
Podemos ayudarte a:
- Hacer un audit de cómo se usa IA hoy en tu empresa
- Diseñar una política de IA alineada con estándares internacionales
- Elegir y configurar herramientas empresariales seguras
- Capacitar a tu equipo en uso responsable de IA
Contacta con nosotros para una consulta gratuita de 30 minutos. Analizamos tu situación actual y te proponemos un plan concreto, sin presión de venta. Solo soluciones que tengan sentido para tu negocio.
La pregunta ya no es si usarás IA. Es si la gobernará tu empresa, o si ella te gobernará a ti.
Referencias:
- ESET Security Report 2026 — Ciberseguridad en empresas Latinoamérica
- WeLiveSecurity: “Inteligencia artificial en las empresas: de la prohibición a la implementación de políticas de uso” — https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/