Tus colaboradores ya usan inteligencia artificial, lo sepas o no. Piensa en el vendedor que pega una cotización en un chatbot gratuito, la analista que sube una hoja con datos de clientes para resumirla o el desarrollador que copia código interno en un asistente público. Prohibir la IA no detiene ese uso: solo lo vuelve invisible. Esta guía explica cómo armar una gobernanza de IA proporcional al tamaño de tu empresa, con una política de uso aceptable, una clasificación de datos clara y un inventario de casos de uso por nivel de riesgo.
Este artículo es informativo y técnico; no constituye asesoría legal. Valida las obligaciones específicas de tu empresa con un abogado especializado.
¿Qué es la gobernanza de IA?
La gobernanza de IA es el conjunto de reglas, roles y controles que define qué herramientas de inteligencia artificial puede usar una organización, con qué datos, para qué fines y bajo qué supervisión humana. Es la forma de aprovechar la IA sin exponer datos de clientes, secretos comerciales o decisiones críticas a errores que nadie revisó.
En una pyme cabe en cinco piezas: una política de uso aceptable corta, una clasificación de datos, una lista de herramientas aprobadas, un inventario de casos de uso por nivel de riesgo y reglas de revisión humana.
¿Qué es la shadow AI y por qué es el primer riesgo a atender?
Shadow AI es el uso de herramientas de IA por parte de empleados sin aprobación ni visibilidad de la empresa, normalmente con cuentas personales y gratuitas. Es la versión actual de la "TI en la sombra" y tiene tres consecuencias directas:
- Fuga de datos: lo que se pega en un chatbot sale de tus sistemas y, según el plan, el proveedor puede conservarlo o usarlo para mejorar sus modelos.
- Incumplimiento sin saberlo: si hay datos personales de clientes o empleados, la empresa los está transfiriendo a un tercero sin base legal ni contrato.
- Errores sin trazabilidad: una respuesta inventada termina en una propuesta o un correo a un cliente, y nadie sabe que vino de una IA.
La respuesta efectiva no es bloquear, sino ofrecer una alternativa aprobada que sea igual de cómoda. Si no la hay, la gente seguirá usando su cuenta personal desde el celular. El orden práctico es: habilitar una opción segura, publicar reglas claras y recién después restringir lo que queda fuera.
Clasificación de datos: qué se puede poner en una herramienta de IA
La regla más útil de la política es una tabla que cualquiera pueda consultar en diez segundos. Si ya tienes una clasificación de la información (por ejemplo, por un proyecto de ISO 27001), reutilízala; si no, esta es una base razonable:
| Nivel | Ejemplos | Uso con IA |
|---|---|---|
| Público | Contenido de tu web, catálogos publicados, notas de prensa | Cualquier herramienta, incluso gratuita |
| Interno | Procedimientos, presentaciones internas, borradores sin datos de terceros | Solo herramientas aprobadas con cuenta corporativa |
| Confidencial | Precios y márgenes, contratos, código fuente, estrategia, datos personales de clientes o empleados | Solo herramientas aprobadas con contrato que excluya el entrenamiento con tus datos, y con un caso de uso registrado |
| Restringido | Datos sensibles (salud, biométricos, datos de menores), credenciales, claves, datos financieros de tarjetas | Prohibido en herramientas de uso general; solo en sistemas diseñados y evaluados para ese fin |
Dos reglas complementarias que evitan la mayoría de incidentes: nunca pegar contraseñas, tokens ni claves de API en ninguna herramienta de IA, y anonimizar antes de pegar cuando el objetivo se puede lograr sin nombres, cédulas ni números de cuenta.
Herramientas aprobadas: qué revisar antes de autorizar una
Los planes empresariales de una misma herramienta suelen tratar los datos de forma distinta a las cuentas gratuitas. Antes de aprobar una, revisa:
- Uso de datos para entrenamiento: que el contrato o la configuración excluya el uso de tus datos para entrenar modelos.
- Retención: cuánto tiempo guarda el proveedor las conversaciones y archivos, y si puedes borrarlos.
- Identidad corporativa: inicio de sesión con la cuenta de la empresa (SSO), alta y baja centralizada cuando alguien sale.
- Ubicación y contrato: en qué país se procesan los datos (enviar datos personales al exterior es una transferencia internacional) y un contrato donde el proveedor actúe como encargado del tratamiento.
- Controles de administración: registros de auditoría, gestión de permisos y posibilidad de desactivar funciones (por ejemplo, conectores a correo o a carpetas compartidas).
- Integraciones y agentes: si la herramienta puede leer tu correo, tus documentos o ejecutar acciones, el riesgo cambia. Lo explicamos en nuestra guía sobre prompt injection en agentes de IA.
Inventario de casos de uso y niveles de riesgo
La gobernanza se vuelve manejable cuando registras cada uso concreto: qué hace, qué datos toca, quién responde y qué pasa si se equivoca. Así puedes asignar un nivel de riesgo y controles proporcionales:
| Nivel | Ejemplos | Controles mínimos |
|---|---|---|
| Bajo | Redactar borradores internos, resumir documentos públicos, generar ideas | Herramienta aprobada y criterio del usuario |
| Medio | Respuestas a clientes, contenido publicado, análisis de datos internos, código que va a producción | Revisión humana antes de publicar o enviar; registro del caso de uso |
| Alto | Decisiones o recomendaciones sobre personas (selección de personal, crédito, cobranza), asistentes que actúan sobre sistemas, uso de datos sensibles | Evaluación previa de riesgos e impacto, revisión humana obligatoria, pruebas de calidad y sesgo, monitoreo y bitácora |
| No permitido | Vigilancia encubierta de empleados, manipulación de personas, suplantar identidades, decisiones automáticas sin posibilidad de revisión | Prohibido por política |
Al inicio basta una hoja compartida con caso de uso, área, herramienta, tipo de datos, nivel de riesgo, responsable y fecha de próxima revisión. Los casos de nivel alto, como los agentes de IA que ejecutan acciones, merecen una revisión antes de salir a producción.
¿Quién decide? Roles y responsabilidades
- Patrocinador de dirección: aprueba la política y resuelve los casos de mayor riesgo.
- Responsable de IA: mantiene el inventario, evalúa herramientas y casos nuevos y actualiza la política. En una pyme puede ser una persona con apoyo de TI y legal.
- TI y seguridad: configura cuentas, permisos y registros, y responde a incidentes.
- Legal y delegado de protección de datos: valida bases legales, contratos con proveedores y transferencias internacionales.
- Dueños de cada caso de uso: responden por la calidad de los resultados y por la revisión humana; todos los colaboradores, por usar solo herramientas aprobadas y reportar incidentes.
Revisión humana: cuándo es obligatoria
La IA produce textos convincentes que pueden estar equivocados. La política debe decir qué no sale de la empresa sin revisión de una persona:
- Todo lo que se envía a clientes, proveedores o autoridades.
- Cifras, cálculos y datos que se usarán para decidir.
- Contratos, cláusulas y textos con efectos legales.
- Código que se integra a sistemas en producción.
- Cualquier decisión que afecte a una persona: contratación, evaluación, crédito, sanciones.
La revisión tiene que ser real: quien revisa necesita tiempo, criterio y autoridad para rechazar el resultado. En asistentes que atienden a muchas personas se complementa con evaluación sistemática, como explicamos en la guía para evaluar asistentes de IA.
Marcos de referencia: NIST AI RMF, ISO/IEC 42001, AI Act y LOPDP
No necesitas inventar tu gobernanza desde cero. Estos cuatro marcos se complementan:
| Marco | Qué es | ¿Obligatorio? |
|---|---|---|
| NIST AI RMF 1.0 | Marco de gestión de riesgos de IA del NIST de Estados Unidos (2023), con cuatro funciones: gobernar, mapear, medir y gestionar | No, es voluntario |
| ISO/IEC 42001:2023 | Norma internacional de sistema de gestión de IA, publicada en diciembre de 2023 | No, pero es certificable |
| AI Act de la Unión Europea | Reglamento (UE) 2024/1689, con obligaciones según el nivel de riesgo del sistema | Sí, si tu sistema se ofrece en la UE o sus resultados se usan allí |
| LOPDP (Ecuador) | Ley Orgánica de Protección de Datos Personales | Sí, para todo tratamiento de datos personales en su ámbito |
NIST AI RMF
El AI Risk Management Framework organiza la gestión de riesgos en cuatro funciones: Govern (políticas, roles y cultura), Map (contexto y riesgos de cada sistema), Measure (pruebas y métricas) y Manage (priorizar y tratar riesgos). En 2024 publicó un perfil para IA generativa (NIST AI 600-1) con riesgos como la confabulación y la privacidad de datos. Para una pyme, sirve como lista de verificación ordenada. Para la parte técnica de seguridad, revisa nuestra guía del OWASP Top 10 para LLMs.
ISO/IEC 42001
Es la primera norma internacional para un sistema de gestión de IA: define cómo una organización establece políticas, evalúa riesgos e impactos de sus sistemas de IA y mejora de forma continua. Comparte la estructura de alto nivel de ISO 27001, así que gran parte de un sistema de gestión de seguridad existente (alcance, políticas, auditoría interna) se reutiliza. Certificarse no es necesario para tener buena gobernanza, pero diferencia al vender a empresas grandes.
AI Act europeo
El Reglamento de IA de la Unión Europea entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada. Clasifica los sistemas por riesgo: inaceptable (prácticas prohibidas, como la puntuación social), alto (por ejemplo, sistemas usados en selección de personal, evaluación crediticia o acceso a la educación), riesgo limitado con obligaciones de transparencia (como avisar que se está hablando con un chatbot o etiquetar contenido sintético) y mínimo. Las prohibiciones y la obligación de alfabetización en IA aplican desde febrero de 2025, y las reglas para modelos de propósito general desde agosto de 2025. El calendario de varias obligaciones para sistemas de alto riesgo ha sido objeto de propuestas de ajuste por parte de la Comisión Europea, así que conviene confirmar las fechas vigentes. Para una empresa ecuatoriana, lo relevante es que puede alcanzarte sin oficinas en Europa, si ofreces el sistema en ese mercado o sus resultados se usan en la UE.
LOPDP en Ecuador
Mientras no exista una regulación de IA específica que aplique a tu empresa, la norma que más directamente rige el uso de IA con datos personales en Ecuador es la LOPDP. En la práctica implica base legal para cada tratamiento, información a los titulares, minimización, cuidado especial con datos sensibles, reglas de transferencia internacional si el proveedor procesa fuera del país, contratos con los encargados y respetar el derecho de las personas a no ser objeto de decisiones basadas únicamente en tratamientos automatizados. La ley también prevé evaluaciones de impacto cuando un tratamiento puede implicar un alto riesgo. Profundizamos en IA y protección de datos bajo la LOPDP y en nuestra guía técnica de cumplimiento de la LOPDP.
Plantilla: estructura de una política de uso aceptable de IA
Una buena política cabe en tres a cinco páginas. Esta es la estructura que recomendamos:
- Propósito y alcance: a quién aplica y qué herramientas cubre, incluidas las funciones de IA dentro de otros programas.
- Herramientas aprobadas: lista vigente y cómo solicitar una nueva. Para comparar proveedores, revisa cómo elegir modelo: Claude, GPT u open source.
- Clasificación de datos: la tabla de qué información puede ir en cada herramienta.
- Usos permitidos: ejemplos concretos por área.
- Usos prohibidos: pegar credenciales o datos restringidos, usar cuentas personales para trabajo, decisiones automáticas sobre personas, crear contenido engañoso o suplantar a alguien.
- Revisión humana y transparencia: qué resultados requieren revisión y cuándo se informa a clientes que intervino una IA.
- Propiedad intelectual: verificación de que el contenido generado no reproduzca material protegido, y reglas sobre código generado.
- Nuevos casos de uso: cómo se registran, quién los evalúa y en cuánto tiempo se responde.
- Seguridad e incidentes: cómo reportar si se compartieron datos por error o si una herramienta produjo un resultado dañino. Incluye también el fraude con voz o video sintéticos, que tratamos en phishing con IA y deepfakes.
- Capacitación: formación inicial y recordatorios periódicos.
- Roles, sanciones y revisión: quién mantiene la política, consecuencias del incumplimiento y frecuencia de actualización (al menos una vez al año).
Checklist para poner en marcha la gobernanza de IA
- Averiguar, con una encuesta anónima o conversaciones por área, qué herramientas se usan hoy y para qué.
- Habilitar al menos una herramienta corporativa aprobada, con cuentas de la empresa.
- Publicar la política y la clasificación de datos, y capacitar con ejemplos reales de cada área.
- Crear el inventario de casos de uso con nivel de riesgo y responsable.
- Revisar las condiciones de los proveedores y actualizar el registro de actividades de tratamiento con los usos de IA.
- Definir el canal de incidentes y agendar la primera revisión de la política.
Cuando la empresa empieza a construir sus propios asistentes, por ejemplo para consultar datos en lenguaje natural, estos mismos controles se trasladan al diseño técnico: permisos mínimos, revisión humana y evaluación antes de producción.
Preguntas frecuentes
¿Qué debe incluir una política de uso aceptable de IA?
Como mínimo: alcance, herramientas aprobadas, una clasificación de datos que diga qué información puede ingresarse en cada herramienta, usos permitidos y prohibidos con ejemplos, reglas de revisión humana, cómo registrar nuevos casos de uso, cómo reportar incidentes, capacitación y quién mantiene la política. Lo ideal es que quepa en pocas páginas y que cada empleado pueda resolver sus dudas comunes en segundos.
¿Es mejor prohibir ChatGPT y otros chatbots en la empresa?
Prohibir sin ofrecer alternativa suele empeorar el problema: el uso continúa desde cuentas personales y celulares, sin ninguna visibilidad. Es más efectivo habilitar una herramienta corporativa con condiciones de datos adecuadas, publicar qué información se puede usar y en qué casos, y bloquear o restringir solo lo que queda fuera de esa alternativa aprobada.
¿El AI Act europeo aplica a empresas de Ecuador?
Puede aplicar. El reglamento alcanza a proveedores que ofrecen sistemas de IA en el mercado de la Unión Europea y a proveedores y usuarios fuera de la UE cuando los resultados del sistema se usan en ella. Si tu empresa vende software o servicios con IA a clientes europeos, conviene revisar en qué categoría de riesgo cae tu sistema. Si solo operas en Ecuador, la LOPDP es la norma de referencia para datos personales.
¿Necesito certificarme en ISO/IEC 42001?
No es obligatorio. ISO/IEC 42001 es una norma voluntaria y certificable para sistemas de gestión de IA. Tiene sentido cuando tus clientes, especialmente empresas grandes o de otros países, piden evidencia formal de cómo gestionas la IA, o cuando ya tienes ISO 27001 y quieres extender el sistema de gestión. Para la mayoría de pymes, empezar con una política, un inventario y controles básicos es el paso correcto.
¿Qué tiene que ver la LOPDP con usar inteligencia artificial?
Todo uso de IA que procese datos personales es un tratamiento sujeto a la LOPDP: requiere base legal, información a los titulares, minimización y seguridad. Si el proveedor procesa los datos fuera de Ecuador, aplican las reglas de transferencia internacional. Y como las personas tienen derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, las decisiones que las afectan necesitan revisión humana.
Conclusión
La gobernanza de IA no frena la adopción: la hace sostenible. Empieza con una política corta, una clasificación de datos, una herramienta corporativa aprobada y un inventario por nivel de riesgo. NIST AI RMF e ISO/IEC 42001 ordenan el trabajo; la LOPDP y, si vendes a Europa, el AI Act marcan obligaciones concretas.
Si quieres implementar IA en tu empresa con reglas claras desde el inicio, conoce nuestro servicio de desarrollo con IA o agenda una consulta gratuita y revisamos juntos tus casos de uso y riesgos.
Fuentes y referencias
- NIST: AI Risk Management Framework (AI RMF 1.0)
- NIST AI 600-1: perfil de IA generativa del AI RMF
- ISO/IEC 42001:2023: sistemas de gestión de inteligencia artificial
- Reglamento (UE) 2024/1689 (AI Act)
- Comisión Europea: marco regulatorio de la IA
- Superintendencia de Protección de Datos Personales de Ecuador
- OWASP Top 10 para aplicaciones LLM
