Los sistemas de TI registran comportamiento, no intención. Eso los convierte en un punto de partida útil para un inventario, y al mismo tiempo en una fuente incompleta. Quien quiera elaborar un panorama de la IA que realmente se utiliza debe saber qué señales dicen algo y cuáles dan una falsa sensación de exhaustividad.
El tráfico hacia dominios de proveedores de IA suele ser la señal más concreta disponible. Un firewall o proxy registra qué dominios se consultan, desde qué dispositivo y con qué frecuencia. Esto muestra un uso que nadie tenía que reportar. No muestra qué ocurrió en esa interacción: qué datos se introdujeron, para qué tarea, con qué resultado. El tráfico hacia el dominio de un chatbot puede ser una prueba puntual o una rutina de trabajo diaria. Sin contexto adicional, esa distinción permanece invisible.
Las facturas, suscripciones y cargos con tarjeta corporativa muestran qué herramientas se adquirieron formalmente, a menudo fuera del proceso oficial de compras de TI. Un equipo que contrata una suscripción con una tarjeta corporativa deja un rastro que compras o finanzas puede localizar. Esta señal es fiable para lo que se ha adquirido, pero no dice nada sobre herramientas gratuitas, versiones de prueba o cuentas personales que se usan para el trabajo. Más sobre lo que este rastro revela en concreto se explica en la página sobre los rastros de compras y licencias como fuente para un inventario de IA.
Las plataformas de inicio de sesión único y los proveedores de identidad registran qué aplicaciones se han vinculado con una cuenta corporativa. Esta señal detecta herramientas que obtuvieron acceso vía OAuth a, por ejemplo, una cuenta de correo o un entorno de documentos. Es una de las pocas fuentes que también muestra qué permisos ha recibido una herramienta, no solo que se ha utilizado. La limitación: las herramientas que se usan sin vinculación, a través de un navegador y una cuenta suelta, quedan fuera de este alcance.
El software instalado en portátiles y estaciones de trabajo suele ser visible mediante la plataforma de gestión que TI utiliza para parches y actualizaciones. Esto muestra las herramientas de IA instaladas, pero omite todo lo que funciona a través de un navegador web sin instalación. Para la mayoría de las aplicaciones de IA que se usan hoy, eso representa una parte sustancial del total.
En organizaciones donde trabajan desarrolladores, el uso de modelos de IA a través de API es un rastro aparte. Las plataformas de gestión de los proveedores cloud y las puertas de enlace API registran qué claves están activas y qué volumen procesan. Esta señal suele estar más subestimada: un script suelto que llama a un modelo para una tarea interna queda fuera de cualquier conversación sobre «herramientas de IA» porque nadie lo reconoce como tal.
Cada una de estas fuentes muestra una parte del comportamiento, registrada por un sistema que no fue diseñado para ello. Ninguna de estas señales registra por qué se usa una herramienta, para qué tarea, con qué tipo de datos, o quién es responsable de ella. Esa es la razón por la que un inventario que se basa únicamente en la técnica ofrece una imagen distorsionada. Por qué la lista que entrega TI estructuralmente no coincide con lo que realmente se utiliza se explica en la página sobre por qué la lista de TI no es correcta.
Las señales técnicas son un motivo para preguntar, no un sustituto de la pregunta misma. Un empleado que usa una herramienta para redactar borradores, agilizar un análisis o revisar código sabe cosas que ningún registro capta: por qué eligió esa herramienta, qué hace con ella y qué extrañaría si se desactivara. Esa conversación solo aporta algo si se lleva a cabo sin rendición de cuentas. Cómo se aborda esto en la práctica se explica en la página sobre cómo preguntarlo a los empleados sin que se sienta como una rendición de cuentas.
El valor de los datos de red, los rastros de compras, los registros de identidad y las conversaciones con empleados solo surge cuando se reúnen en una estructura fija: qué aplicación, qué función, qué nivel de riesgo, qué responsable. Sin esa estructura, sigue siendo un conjunto de observaciones sueltas. Cómo se desarrolla esa construcción paso a paso se describe en la página sobre cómo elaborar un inventario de IA, y qué debe registrarse exactamente por cada aplicación se explica en la página sobre los campos de registro por aplicación de IA.
Un panorama completo de qué IA se utiliza responde a la pregunta sobre visión general y riesgo. No responde a la pregunta de cuánto del trabajo mismo puede ser asumido por la IA, y en qué se traduce eso, tarea por tarea. En cuanto queda claro qué herramientas se emplean en qué función, esa pregunta de seguimiento surge de forma natural. El escáner de trabajo de FTE TO AI calcula, por tarea, qué parte del trabajo puede ser asumida por la IA, como complemento del panorama que ofrece el Responsible AI Scan.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.