Hay un momento en que un empleado tiene un problema y busca una solución. Un texto que debe ir más rápido, un conjunto de datos que debe ser más claro, un cliente que quiere respuesta hoy mismo. La mesa de ayuda de TI tarda demasiado, o simplemente no existe. Así que se crea una cuenta, se instala una extensión, se contrata una suscripción con una tarjeta de crédito que nadie controla. No por mala voluntad. Por presión de trabajo.
Así es como surge la IA en la sombra. No como una rebelión contra la política, sino como una respuesta práctica a un vacío en la política. Y no desaparece por sí sola, porque la razón por la que surgió —una tarea que con IA avanza más rápido que sin ella— sigue existiendo mientras la política no ofrezca una alternativa. Prohibir no cambia la tarea. Solo cambia si usted sabe que la herramienta se está usando.
Un listado de software aprobado dice algo sobre lo que se ha solicitado y autorizado. No dice nada sobre lo que realmente se usa. Entre esas dos listas hay una diferencia que crece a medida que las herramientas de IA se vuelven más accesibles: sin instalación, sin proceso de compra, solo un navegador y una cuenta. Una extensión de navegador con acceso a su correo queda fuera de cualquier proceso de adquisición y de cualquier inventario, mientras que el acceso que tiene es tan sensible como el de un sistema aprobado. Quien solo mira la lista de TI mira una parte de la realidad y la llama el conjunto.
La única manera de saber qué se usa realmente es preguntarlo. No como pregunta de control con una sanción al final, sino como inventario sin consecuencias para quien colabora. En el momento en que los empleados sospechan que una respuesta honesta llevará a una conversación con un responsable, la información no desaparece: simplemente pasa a la clandestinidad. La misma herramienta sigue funcionando, solo que menos visible. Una organización que quiera conocer el alcance de la IA en la sombra debe entonces regular primero la condición bajo la cual obtendrá esa respuesta. No se trata de perder confianza, sino de una cuestión de orden: primero visibilidad, después política.
Una vez recogido el inventario, surge algo útil: una lista de herramientas organizada por función y nivel de riesgo, no por correcto o incorrecto. Una herramienta que reescribe texto para uso interno conlleva un riesgo distinto al de una herramienta que procesa datos de clientes o prepara decisiones. Algunas de estas herramientas surgieron de un uso individual que se convirtió en estándar de departamento —véase un departamento con su propia suscripción— y merecen más bien una formalización que una prohibición. Otras se configuraron una sola vez para un proyecto ya finalizado, pero el acceso sigue abierto; ese es el patrón que se describe en una instalación de prueba que nunca se desactivó. La clasificación determina qué se necesita: a veces nada, a veces un ajuste, a veces la incorporación a la estructura de gobernanza existente.
El objetivo de este enfoque no es señalar a todos los que iniciaron una herramienta sin autorización. El objetivo es saber qué está en funcionamiento, quién lo usa y qué riesgo lleva asociado, de modo que un directivo, un CIO o un General Counsel puedan responder a esa pregunta cuando se les plantee, interna o externamente. Esto requiere una manera fija de inventariar que no se detenga en una sola ronda, porque continuamente aparecen nuevas herramientas. Cómo se construye ese inventario en la práctica, incluida la cuestión de quién lo ejecuta y con qué frecuencia, se describe en cómo construir un inventario de IA.
La estructura de gobernanza en sí misma —qué reglas se aplican a qué nivel de riesgo, qué plazos y obligaciones corresponden a cada uno— es un tema aparte con contenido propio y actualizado, que no se repite aquí. Lo que importa en esta página es el mecanismo: obtener visibilidad sin cerrar el flujo de información, y traducir esa visibilidad en una clasificación que se ajuste a lo que la organización ya tiene establecido en materia de gestión de riesgos.
El inventario que revela la IA en la sombra a menudo no se limita a herramientas sueltas. También revela que un proveedor ha añadido IA a un sistema que ya estaba en uso, sin que se haya mantenido una conversación aparte al respecto —el patrón detrás de un proveedor que integró IA en su producto— y que a veces información empresarial sensible se pega sin más en una ventana de chat pública, como se describe en datos empresariales en una ventana de chat gratuita. Todas estas formas comparten el mismo origen: una tarea para la que la IA funciona más rápido que el proceso existente.
Esta constatación conduce lógicamente a otra pregunta, al margen de la aprobación y el riesgo: qué parte del trabajo mismo es apta para que la IA la asuma. El escáner de trabajo de FTE TO AI calcula esto por tarea, a partir de lo que el trabajo realmente implica, y muestra dónde la automatización puede asumir una parte real del tiempo — como punto de partida para una conversación sobre qué se puede planificar con ello, no como sustituto de la cuestión de gobernanza que es el eje central de esta página.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.