Años atrás, las políticas de seguridad corporativas solían centrarse en los mismos temas: credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware. Hoy, cada vez más organizaciones incorporan políticas específicas para el uso de IA. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza de qué manera las empresas están incorporando nuevas políticas que apuntan al uso de herramientas de inteligencia artificial, cuál es el desafío para aquellas organizaciones que pasaron de prohibirlas a gobernar su uso, qué regulaciones y estándares existen actualmente a nivel global, y a qué riesgos se exponen las que todavía no tienen políticas definidas.
Según los datos que surgen del último ESET Security Report, el 39,7% de las empresas promueve su uso bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% lo limita a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total sobre estas herramientas.
“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo. Los principales proveedores tecnológicos acompañaron esa creciente adopción de la IA, lanzando versiones empresariales de sus asistentes, con controles específicos de seguridad, privacidad y cumplimiento. ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, fueron diseñadas para ofrecer más garantías sobre el tratamiento de los datos corporativos”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
Entre 2024 y 2025, la discusión cambió y las empresas empezaron a trabajar en políticas internas, clasificación de datos, herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.
Respecto del nivel de regulación que tomaron las empresas, como surge del ESET Security Report, se observan diferencias entre sectores productivos: en Educación el uso de IA está más desregulado, con un 58,8 % de las instituciones sin ningún tipo de regla sobre la IA. En contraposición, en el sector financiero (Banca) el 47,6 % de las entidades fomenta su uso, pero bajo estrictas normativas internas.
El reporte muestra que el 39,2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA, dejando la decisión en manos de cada empleado. Esto no implica necesariamente que la IA esté prohibida o permitida: simplemente que no existen lineamientos claros que indiquen qué herramientas pueden utilizarse, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas.
“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación. Aunque ninguna de estas acciones sea necesariamente maliciosa, la falta de reglas hace que la organización pierda visibilidad y control sobre cómo se utiliza la inteligencia artificial”, agrega Micucci.
Las problemáticas que buscan resolver las políticas de IA según ESET, son:
Proteger la información sensible: Uno de los principales temores fue la posibilidad de que los empleados compartieran, de forma intencional o accidental, información confidencial en las plataformas públicas. Hoy, muchas políticas establecen qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Así, es habitual encontrar restricciones respecto de la información de clientes, propiedad intelectual, código fuente, documentos internos o información financiera.
Reducir el riesgo del Shadow AI: Que una herramienta se encuentre prohibida, no siempre significa que deje de utilizarse. A través de las políticas, las empresas acercan alternativas aprobadas y reglas claras sobre cuándo y cómo utilizar estos asistentes. Así, se permite el uso de versiones empresariales, mientras que cuentas personales o servicios sin controles corporativos quedan fuera de la política. Otras organizaciones optan por modelos propios para procesar la información dentro de su infraestructura. El objetivo final es que los empleados no solo sepan si pueden usar IA, sino también qué herramientas tienen a disposición para hacerlo de forma segura.
Garantizar la supervisión humana: Muchas políticas incorporan el principio de supervisión humana, que establece que las personas siguen siendo responsables de validar todo contenido que generan estas herramientas, en especial si interviene en decisiones de negocio o procesos críticos.
Actualmente, ya existen marcos de referencia, estándares internacionales y regulaciones que sirven como guía para implementar una adopción de la IA más segura y responsable. Por ejemplo:
NIST AI RMF (Artificial Intelligence Risk Management Framework) - Publicado en 2023 por el National Institute of Standards and Technology, propone buenas prácticas para que las empresas puedan identificar, evaluar, gestionar y monitorear los riesgos asociados a la IA.
ISO/IEC 23894 - Esta norma se enfoca exclusivamente en la gestión de riesgos asociados a la IA. Ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA.
ISO/IEC 42001 - Es el primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (Artificial Intelligence Management System – AIMS). La norma establece requisitos para definir políticas, asignar responsabilidades, evaluar riesgos, documentar procesos y promover la mejora continua.
EU AI Act - Es el primer marco regulatorio integral sobre IA aprobado por la Unión Europea. Busca establecer obligaciones para quienes desarrollan, comercializan o utilizan sistemas de IA, clasificándolos según el nivel de riesgo que representan. Si bien su aplicación se centra en el mercado europeo, también impacta a empresas de otros países que ofrecen productos o servicios basados en IA dentro de la Unión Europea.
NIST Cybersecurity Framework (CSF) 2.0 - Es uno de los marcos de ciberseguridad más utilizados a nivel mundial. Ofrece una estructura ampliamente adoptada para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.
“Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio”, destacan desde ESET.
El desafío para las organizaciones es encontrar un equilibrio. Ante restricciones rígidas, es probable que los empleados recurran a herramientas no autorizadas. En cambio, las políticas permisivas o ambiguas aumentan el riesgo de que se compartan datos sensibles, se confíe excesivamente en las respuestas de la IA o se utilicen sin los controles adecuados. Por eso, desde ESET recomiendan buscar complementar las políticas con capacitaciones, programas de concientización y herramientas corporativas que ofrezcan una alternativa segura a los servicios públicos. El objetivo es integrarlas en la cultura de cada organización sin que vayan en detrimento de la productividad.
“La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo. Así como hace años las políticas de seguridad incorporaron reglas claras sobre dispositivos móviles, trabajo remoto o servicios en la nube, hoy la inteligencia artificial comienza a ocupar un lugar en la agenda de la ciberseguridad de las empresas”, concluye el investigador de ESET Latinoamérica.
Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/
