Un proveedor añade una función que funciona por debajo con un modelo de lenguaje o una API de terceros. Para el proveedor es una actualización de producto, no un hecho que merezca notificación. Las notas de la versión mencionan un botón nuevo, no la tecnología que hay detrás. Su organización ya utiliza el software, el contrato se firmó sobre la base de la funcionalidad anterior, y el cambio no pasa por compras ni por seguridad — estos departamentos solo ven lo que ocurre en una adquisición nueva, no lo que un producto existente incorpora en silencio.
El patrón es el mismo que el de una extensión de navegador con acceso a su correo: el acceso y la función ya existen antes de que alguien los haya evaluado. Con un proveedor, la distancia es solo mayor — usted no puede examinar el código fuente y debe fiarse de lo que el proveedor dice, o no dice.
No hay un momento en el que esto se anuncie. Un empleado utiliza la nueva función porque le resulta útil, no porque reconozca un componente de IA. El proveedor no tiene ningún incentivo para comunicarlo activamente mientras nadie lo pregunte: no genera ingresos y sí puede generar preguntas. Y la probabilidad de que usted mismo se tope con ello es pequeña, a menos que haya un incidente o un control periódico lo detecte.
Esto se parece a un proyecto piloto interno que se ha quedado instalado: igual que ocurre con una configuración de prueba que nunca se ha desactivado, no falta mala intención, sino un momento en el que alguien plantee la pregunta. Con un proveedor, se añade además que usted depende de su disposición a responder.
El punto de partida no es exigir el cumplimiento del contrato por vía legal ante la primera duda, sino primero saber qué está ocurriendo. Eso empieza por plantear preguntas al proveedor: qué partes del producto utilizan IA, qué datos van hacia allí, y si eso ha cambiado desde que se firmó el contrato. Los proveedores que pueden responder sin consecuencias tienden a hacerlo con más veracidad que los proveedores que sospechan que una respuesta sincera pone en peligro el contrato.
La misma lógica se aplica dentro de la organización: los empleados que utilizan una herramienta sin saber que contiene IA solo lo comunican cuando comunicarlo no supone un castigo. Cómo organizar esto se describe en empleados que utilizan una herramienta que nadie ha aprobado. Para un proveedor el principio funciona igual: una pregunta sin insinuación de culpa recibe una respuesta distinta a una pregunta que se interpreta como preludio de sanciones.
En cuanto quede claro qué ha añadido el proveedor, la siguiente pregunta no es jurídica sino funcional: qué papel desempeña este componente de IA en el proceso, cuál es el nivel de riesgo, y qué debe quedar documentado al respecto. Esas mismas preguntas se aplican a cualquier aplicación de IA que usted mismo utilice, tanto si llega a través de un proveedor como de un empleado que usa una herramienta gratuita — véase también datos de la empresa que terminan en una ventana de chat gratuita. Lo que debe documentar por aplicación depende de lo que esa aplicación hace y con qué datos, no de su origen. Un resumen de lo relevante en este sentido se encuentra en qué debe documentar por aplicación.
Un proveedor que añade IA sin avisar no debe, por tanto, tratarse como un incidente aparte, sino incorporarse al inventario que usted ya está elaborando para el resto de la organización. Cómo se construye ese inventario en la práctica — incluido cómo se incorpora a los proveedores — se describe en cómo construir un inventario de IA.
Esto no es motivo para emprender una ofensiva legal contra cualquier proveedor que no haya comunicado algo. Determinar el incumplimiento de contrato es una cuestión distinta de determinar el riesgo, y ambas no van automáticamente de la mano: un proveedor puede haber omitido comunicar algo sin que la aplicación conlleve un riesgo alto, y viceversa. El primer paso es evaluar el riesgo, no la cuestión de culpabilidad. Quien empieza con sanciones recibirá de los proveedores, a partir de entonces, menos información, no más.
En cuanto quede claro qué componentes de IA están activos dentro de la organización, ya sea a través de proveedores, empleados o iniciativas propias, surge otra pregunta: qué significa esto para el trabajo en sí. No toda aplicación de IA que entra hace realmente algo útil con el proceso en el que se integra — y no todo proceso que ahora se realiza manualmente está necesariamente mejor sin IA. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede razonablemente asumir la IA, independientemente de cómo haya entrado esa IA. Eso convierte el inventario que usted está elaborando ahora no solo en un instrumento de gobernanza, sino también en un punto de partida para determinar dónde la IA realmente marca la diferencia.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.