Un empleado instala una extensión del navegador que resume correos electrónicos, propone citas de agenda o escribe borradores de texto en Gmail o Outlook Web. La instalación tarda un minuto y solicita permiso para acceder al contenido de la página. Ese permiso se concede sin que nadie lea qué se comparte exactamente, cuánto tiempo se conserva, si el modelo se entrena con ello, o si el proveedor lo revende. La extensión funciona, ahorra tiempo, y luego se propaga de manera informal: un compañero la ve, pide el enlace, la instala también.
Las extensiones del navegador quedan fuera de la mayoría de los procesos de compra. No se adquiere nada, no hay contrato, no hay factura que llame la atención de finanzas. La instalación se realiza a través del propio navegador, a menudo con una cuenta personal o laboral que no pasa por TI. Para el empleado no es una 'nueva herramienta' en el sentido que requiere aprobación — es una pequeña ayuda, comparable a un corrector ortográfico. Que la extensión tenga acceso de lectura a todo el correo, incluidos anexos, contratos y datos de clientes, es un detalle técnico que se descartó con un clic durante la instalación.
Este patrón no es exclusivo del correo. La misma ruta discurre a través de una herramienta que nadie ha aprobado en un sentido más amplio, a través de datos empresariales que se pegan en una ventana de chat gratuita, y a través de un departamento que ha contratado una suscripción por iniciativa propia. La extensión del navegador es solo la variante con el acceso más directo: no a un único documento, sino a todo el buzón de correo.
Una lista de TI de software aprobado no detecta esto. La extensión no figura en el resumen de contratos, ni en el flujo de facturas, ni en un registro de SSO si este no se utiliza. La única manera de saber si está presente es preguntar — a las personas que la usan. Y eso solo funciona si preguntar no tiene consecuencias. En cuanto una notificación desemboca en un reproche, la información se detiene. La siguiente extensión ya no se comunica, sino que se usa con más discreción.
La extensión tampoco desaparece porque sea útil. Quien puede gestionar el correo más rápido no renuncia a ello porque exista en algún lugar un documento de política que lo desaconseje. Una prohibición sin alternativa desplaza el comportamiento a otra cuenta, otro navegador, un teléfono privado. El problema se vuelve entonces menos visible, no más pequeño.
El punto de partida no es detectar y sancionar, sino cartografiar lo que existe y, a partir de ahí, tomar una decisión. Eso empieza con un inventario que no solo observe lo que se ha adquirido, sino lo que se utiliza: cómo construir un inventario de IA describe ese enfoque, incluida la cuestión de cómo lograr que las personas informen por sí mismas de lo que usan.
Para cada extensión que salga a la luz, resultan relevantes algunas preguntas. ¿A qué datos accede — solo lo que aparece en pantalla, o todo el buzón de correo mediante una conexión API? ¿Se procesa el contenido mediante un modelo externo, y en tal caso, bajo qué condiciones? ¿Existe una razón empresarial para su uso, o sustituye algo que la organización ya tenía? Qué debe registrarse por cada aplicación — quién es el propietario, qué datos entran en ella, qué nivel de riesgo se aplica — se describe en qué debe registrar por aplicación. No se trata de un ejercicio jurídico en sí mismo; es la base para decidir caso por caso: permitir, sustituir por una variante gestionada, o retirar progresivamente.
A esto se suma también la mirada hacia el exterior. No toda función de IA en el entorno de correo procede de una extensión que un empleado instaló por su cuenta. Un proveedor de una herramienta existente puede haber añadido una función de IA en una actualización, sin que esto se considerara una nueva evaluación. Lo que esto significa para los contratos existentes y los acuerdos de tratamiento de datos se describe en un proveedor que ha incorporado IA en su producto.
El objetivo de este inventario no es identificar al empleado que instaló la extensión. Quien llega a esa conclusión ya no verá la siguiente extensión, porque nadie volverá a comunicarlo. El objetivo es obtener una imagen de lo que realmente ocurre con los datos de correo, los documentos contractuales y las comunicaciones con clientes, de modo que un directivo o un General Counsel pueda tomar una decisión fundamentada sobre qué se mantiene, qué se sustituye y qué se retira progresivamente — con una razón que pueda presentarse ante un supervisor o un auditor.
La misma pregunta que revela que una extensión lee el correo revela también cuánto tiempo asume realmente esa extensión del trabajo que antes se hacía a mano. Estas dos preguntas están estrechamente relacionadas: una trata sobre el riesgo y la supervisión, la otra sobre dónde cambia el uso del tiempo dentro del propio trabajo. Para esto último, el escáner de trabajo de FTE TO AI calcula por tarea qué parte del trabajo puede asumir la IA, independientemente de qué herramienta lo haga — un siguiente paso para quien, tras el inventario, quiera saber qué significa la IA que ya está presente para la organización del trabajo.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.