Un equipo de marketing necesita un asistente de escritura. Un analista financiero quiere una herramienta que resuma hojas de cálculo. Ninguno de ellos espera un proceso de compras que dura meses. Hay una tarjeta de crédito, una dirección de correo electrónico, y en diez minutos hay una suscripción que el departamento paga por sí mismo, gestiona por sí mismo y utiliza por sí mismo. El departamento de TI no sabe nada de ello. No hay motivo para informarlo, porque no se ha hecho nada malo — solo se ha resuelto un problema.
La mayoría de la IA en la sombra no comienza con un intento de eludir las reglas. Comienza con una tarea que debe ir más rápido, un plazo que no espera un proceso de aprobación, y una herramienta accesible sin la intervención de nadie más. El departamento que la suscribe no lo ve como una decisión de TI. Se siente como un suministro de oficina, no diferente de una licencia de software que todo el mundo ya usaba antes de que existiera una política de compras centralizada. Que un modelo de lenguaje procese datos de la empresa, lea datos de clientes o genere texto en borrador que salga al exterior no es, para el usuario, una cuestión de gobernanza. Es simplemente trabajo.
La misma dinámica se observa en un proveedor que integró IA en su producto sin que se haya mantenido una conversación aparte sobre ello: la funcionalidad aparece en una actualización, nadie firma nada al respecto, y la organización la usa antes de que alguien haya determinado quién es responsable de ello.
Un anuncio de que las herramientas no autorizadas no están permitidas cambia poco. El departamento que tiene la suscripción la experimenta como una solución que funciona, no como un riesgo que debe reportarse. Una prohibición sin alternativa produce dos resultados: la suscripción pasa a la clandestinidad, o el equipo deja de usarla y el trabajo vuelve a ser más lento. Ninguno de los dos es lo que una organización quiere.
A esto se añade que dicha suscripción rara vez es una decisión única. Se convierte en parte del flujo de trabajo, se vincula a otras herramientas, se usa en procesos que ya dependen de ella. Lo que comienza como una prueba se convierte en un elemento fijo de cómo trabaja el equipo — exactamente el patrón que también es visible en una instalación de prueba que nunca se apagó: nadie ha decidido hacerlo permanente, pero tampoco nadie ha decidido detenerlo.
El reflejo de detectar la IA en la sombra y confrontar al usuario por ello es contraproducente. Quien sabe que informar conduce a una reprimenda, no informa. La suscripción sigue existiendo, solo que menos visible. El departamento se vuelve más cauteloso en lo que reporta, no más cuidadoso en lo que usa.
Lo que sí funciona es preguntar sin que haya una sanción vinculada. Un equipo que usa una herramienta para acelerar una tarea suele tener una razón para ello que la organización quiere conocer: un proceso demasiado lento, una tarea que se sobrecarga, una necesidad que la oferta existente no cubre. Véase cómo se describe esto en empleados que usan una herramienta que nadie ha aprobado — el punto de partida no es la infracción, sino la necesidad que hay detrás.
El primer paso no es la aplicación de normas, sino el inventario: qué herramientas existen, quién las usa, para qué tarea, y con qué datos. Eso no ocurre a través de la lista de TI — esa registra lo que ha sido aprobado, no lo que se usa. Ocurre preguntando, de una manera que no contenga amenaza alguna.
En cuanto hay visibilidad sobre lo que está en funcionamiento, puede seguir la clasificación: qué papel desempeña la herramienta, qué nivel de riesgo le corresponde, y qué forma de supervisión es adecuada. No toda suscripción que un departamento haya contratado por sí mismo constituye un problema. Una herramienta que reescribe texto público está en una categoría distinta de una herramienta que procesa datos de clientes sin que nadie sepa a dónde van esos datos. La distinción entre esas categorías es precisamente de lo que trata la supervisión humana en la práctica: no todo uso requiere el mismo grado de control, pero todo uso requiere saber que existe.
Después sigue una estructura de gobernanza que se conecta con lo que ya existe — no un proceso nuevo junto al marco de riesgo existente, sino una ampliación de este. Una organización que trata el riesgo de la IA por separado del resto de su gestión de riesgos corre el riesgo de que el segundo sistema sea ignorado, como puede leerse en un segundo proceso junto al existente que es ignorado. El enfoque que perdura es el que se conecta con lo que la organización ya hace para gestionar el riesgo.
Una suscripción que un departamento ha contratado por sí mismo suele ser una señal de que algo debe ir más rápido de lo que el proceso actual permite. Esa pregunta — qué parte del trabajo puede acelerarse, y dónde puede hacerse de forma estructurada en lugar de invisible — es precisamente a lo que responde el escáner de trabajo de FTE TO AI. El escáner de trabajo calcula por tarea qué parte del trabajo puede asumir la IA, de modo que la necesidad que llevó a una suscripción en la sombra encuentre un lugar dentro de un proceso que la organización sí conoce y sí gestiona.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.