Decir que la inteligencia artificial llegó para revolucionarlo todo no es una exageración. Años atrás, las políticas de seguridad corporativas solían centrarse en los mismos temas: credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware. Hoy, sin embargo, cada vez más organizaciones incorporan políticas específicas para el uso de IA. Aun así, el proceso de adaptación y maduración está lejos de completarse.

Según los datos que surgen del último ESET Security Report, el 39,7% de las empresas promueve su uso bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% lo limita a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total sobre estas herramientas.  

Ante este escenario, es interesante entender de qué manera las empresas están incorporando nuevas políticas que apuntan al uso de herramientas de inteligencia artificial, cuál es el desafío para aquellas organizaciones que pasaron de prohibirlas a gobernar su uso, qué regulaciones y estándares existen actualmente a nivel global, y a qué riesgos se exponen las que todavía no tienen políticas definidas.

De prohibir la IA a establecer reglas de uso

El 30 de noviembre de 2022, OpenAI lanzó públicamente ChatGPT, y millones de personas comenzaron a experimentar con inteligencia artificial generativa. Ante este nuevo escenario, las empresas eligieron la cautela, restringiendo o prohibiendo su uso interno por temor a una posible fuga de información.

Esas medidas iniciales no pudieron frenar el boom de las herramientas de inteligencia artificial. Muchos empleados comenzaron a utilizar estas herramientas por iniciativa propia para automatizar tareas. Esto dio lugar al fenómeno Shadow AI, es decir, el uso de herramientas de IA por parte de los colaboradores de una organización sin aprobación del área de TI. Ante esto, muchas empresas comenzaron a redactar las primeras políticas de uso aceptable de IA. Walmart fue uno de los casos paradigmáticos: pasó de implementar restricciones, a habilitar su uso controlado, con herramientas propias, monitoreo y reglas claras.

De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo. Los principales proveedores tecnológicos acompañaron esa creciente adopción de la IA, lanzando versiones empresariales de sus asistentes, con controles específicos de seguridad, privacidad y cumplimiento. ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, fueron diseñadas para ofrecer más garantías sobre el tratamiento de los datos corporativos.

Entre 2024 y 2025, la discusión cambió y las empresas empezaron a trabajar en políticas internas, clasificación de datos, herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.

Respecto del nivel de regulación que tomaron las empresas, como surge del ESET Security Report,  se observan diferencias entre sectores productivos: en Educación el uso de IA está más desregulado, con un 58,8 % de las instituciones sin ningún tipo de regla sobre la IA. En contraposición, en el sector financiero (Banca) el 47,6 % de las entidades fomenta su uso, pero bajo estrictas normativas internas.

El riesgo para las organizaciones que todavía no definieron reglas

El ESET Security Report 2026 muestra que el 39,2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA, dejando la decisión en manos de cada empleado. Esto no implica necesariamente que la IA esté prohibida o permitida: simplemente que no existen lineamientos claros que indiquen qué herramientas pueden utilizarse, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas.

Dicho de otra manera, que casi cuatro de cada diez organizaciones todavía no hayan definido políticas de uso de IA no significa que sus empleados no utilicen estas herramientas, sino lo contrario. La IA ya forma parte del trabajo cotidiano, pero cada persona decide cómo, cuándo y con qué información utilizarla.

En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación.

Aunque ninguna de estas acciones sea necesariamente maliciosa, la falta de reglas hace que la organización pierda visibilidad y control sobre cómo se utiliza la inteligencia artificial.

¿El problema de fondo? Con el tiempo, esa falta de criterios comunes puede traducirse en un uso inconsistente entre áreas, una mayor exposición al Shadow AI, dificultades para proteger información sensible e incluso problemas para responder ante incidentes o demostrar que existen controles sobre el uso de estas herramientas.

¿Qué problemáticas buscan resolver las políticas de IA?

Si bien la realidad de cada organización es particular y las políticas pueden variar entre cada una, todas tienen algo en común: los desafíos que intentan responder, respecto de la adopción de la IA generativa.

Proteger la información sensible

Uno de los principales temores que generó la IA generativa en las empresas fue la posibilidad de que los empleados compartieran, ya sea de forma intencional o accidental, información confidencial en las plataformas públicas. El caso de Samsung, en el que ingenieros cargaron código fuente y datos internos en ChatGPT, refleja esos miedos iniciales, ya que dejó en evidencia cómo una simple consulta puede convertirse en una filtración real de información.

Hoy, muchas políticas establecen qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Así, es habitual encontrar restricciones respecto de la información de clientes, propiedad intelectual, código fuente, documentos internos o información financiera.

Reducir el riesgo del Shadow AI

Que una herramienta se encuentre prohibida, no siempre significa que deje de utilizarse. De hecho, suele pasar lo contrario. Muchas organizaciones descubrieron que sus empleados seguían usando asistentes de IA desde cuentas personales o dispositivos propios. ¿El problema? Que la organización no tiene ningún tipo de visibilidad ni control sobre ello.

A través de las políticas, las empresas apuntan a reducir ese riesgo con alternativas aprobadas y reglas claras sobre cuándo y cómo utilizar estos asistentes. Así, se permite el uso de versiones empresariales, mientras que cuentas personales o servicios sin controles corporativos quedan fuera de la política. Otras organizaciones optan por modelos propios o asistentes internos para procesar la información dentro de su infraestructura.

El objetivo final es que los empleados no solo sepan si pueden usar IA, sino también qué herramientas tienen a disposición para hacerlo de forma segura.

Garantizar la supervisión humana

Cuando la IA comenzó también a utilizarse para redactar documentos, analizar información o generar código, surgió otra preocupación: la de confiar ciegamente en sus respuestas. Por ese motivo, muchas políticas incorporan el principio de supervisión humana, que establece que las personas siguen siendo responsables de validar todo contenido que generan estas herramientas, en especial si interviene en decisiones de negocio o procesos críticos.

Las regulaciones que existen actualmente

A medida que las empresas comenzaron a formalizar políticas para el uso de la inteligencia artificial, también aparecieron marcos de referencia, estándares internacionales y regulaciones que sirven como guía para implementar una adopción más segura y responsable. Si bien difieren en su alcance y nivel de exigencia, buscan ofrecer criterios para gestionar los riesgos asociados a esta tecnología.

NIST AI RMF (Artificial Intelligence Risk Management Framework)

Publicado en 2023 por el National Institute of Standards and Technology, el framework propone buenas prácticas para que las empresas puedan identificar, evaluar, gestionar y monitorear los riesgos asociados a la IA. Su objetivo no es regular el uso de esta tecnología, sino brindar una metodología para gobernarla de forma responsable durante todo su ciclo de vida.

ISO/IEC 23894

Esta norma se enfoca exclusivamente en la gestión de riesgos asociados a la IA. No establece un sistema de gestión completo, pero sí ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA.

ISO/IEC 42001

Es el primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (Artificial Intelligence Management System – AIMS). La norma establece requisitos para definir políticas, asignar responsabilidades, evaluar riesgos, documentar procesos y promover la mejora continua.

EU AI Act

Es el primer marco regulatorio integral sobre IA aprobado por la Unión Europea. Su objetivo es establecer obligaciones para quienes desarrollan, comercializan o utilizan sistemas de IA, clasificándolos según el nivel de riesgo que representan. Si bien su aplicación se centra en el mercado europeo, también impacta a empresas de otros países que ofrecen productos o servicios basados en IA dentro de la Unión Europea.

NIST Cybersecurity Framework (CSF) 2.0

Es uno de los marcos de ciberseguridad más utilizados a nivel mundial. Si bien no fue diseñado específicamente para IA, ofrece una estructura ampliamente adoptada para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.

Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos ampliamente reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio.

Cumplir las políticas: el verdadero desafío

El tener definida una política de uso de IA no garantiza que los empleados la adopten. Por ello, es necesario para las empresas que las personas comprendan los riesgos asociados, conozcan las herramientas autorizadas y las adopten en su trabajo cotidiano.

En ese sentido, las organizaciones deben encontrar un equilibrio. Ante restricciones rígidas, es probable que los empleados recurran a herramientas no autorizadas. En cambio, las políticas permisivas o ambiguas aumentan el riesgo de que se compartan datos sensibles, se confíe excesivamente en las respuestas de la IA o se utilicen sin los controles adecuados.

Por eso, buscan complementar las políticas con capacitaciones, programas de concientización y herramientas corporativas que ofrecen una alternativa segura a los servicios públicos. El objetivo es integrarlas en la cultura de la organización sin que vayan en detrimento de la productividad. Porque si la alternativa corporativa es más lenta o tiene más restricciones que la pública, existirá un incentivo natural en el empleado para saltarse la política.

Y allí radica el principal desafío para las organizaciones: lograr que la forma segura de usar IA también sea la más conveniente.

Pensamientos finales

Que solo el 3,4% de las empresas prohíba completamente el uso de IA muestra que la discusión ya cambió. La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que el desafío es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo.

Así como hace años las políticas de seguridad incorporaron reglas claras sobre dispositivos móviles, trabajo remoto o servicios en la nube, hoy la inteligencia artificial comienza a ocupar un lugar en la agenda de la ciberseguridad de las empresas.