Sin gobernanza no hay seguridad en el uso de la IA
Cuando alguien de tu equipo pega un documento en un chatbot para que se lo resuma, esa información hace un viaje que casi nadie registra. En primer lugar, sale de la empresa, luego llega al servidor de un tercero y, según la herramienta, puede quedar almacenada, procesada o utilizada para entrenar un modelo. Gobernar el uso de la IA consiste, antes que nada, en saber dónde acaban esos datos y poder demostrarlo.
¿Qué significa gobernar el uso de la IA?
Gobernar la IA no es redactar un documento que nadie lee. Es definir, con criterios claros, tres cosas: qué herramientas puede usar cada equipo, con qué tipo de datos y con qué nivel de registro y supervisión.
La mayoría de las organizaciones no parte de cero. Entre otras cosas, ya tienen políticas de acceso, clasificación de la información y control de dispositivos para el resto de su tecnología. El problema es que la IA suele entrar por fuera de todo ese marco. Según el informe Cost of a Data Breach de IBM (edición de 2025), el 63 % de las organizaciones que sufrieron una brecha no tenía políticas de gobernanza de IA.
Herramienta integrada frente a herramienta suelta
La diferencia entre una herramienta de IA integrada en tu entorno y una herramienta suelta no está en lo que sabe hacer. Está en lo que pasa con tus datos.
Una herramienta de consumo no hereda nada de tu organización. No conoce tus permisos, no respeta las etiquetas de confidencialidad de tus documentos y no deja un registro que puedas auditar. Y sigue siendo la vía habitual. Según el Cloud and Threat Report 2026 de Netskope, el 47 % del uso de IA generativa en el trabajo ocurre a través de cuentas personales. Al margen de cualquier control corporativo.
A esto se suma la cuestión del entrenamiento. Según la documentación de OpenAI, en las versiones de consumo de ChatGPT (Free y Plus) los datos se usan por defecto para entrenar el modelo, salvo que el usuario lo desactive manualmente. Sin embargo, en las versiones de empresa y en la API, no. Pero, incluso desactivado, el contenido sale igualmente a la infraestructura del proveedor.
Una herramienta integrada en tu entorno (como Microsoft 365 Copilot dentro de tu propio tenant) funciona con los permisos y las etiquetas que ya tienes. Dentro del mismo perímetro de seguridad que el resto de tu información.
El coste de no poder demostrarlo
Sin trazabilidad, el problema no es solo que los datos salgan, es que si algo va mal, no puedes saber qué se expuso ni demostrar que actuaste con diligencia.
El marco regulatorio empuja en la misma dirección. El Reglamento Europeo de IA ya se aplica por fases: las obligaciones para los modelos de propósito general están en vigor desde agosto de 2025 y a lo largo de 2026 se incorporan las de los sistemas de alto riesgo. Las multas pueden alcanzar los 35 millones de euros o el 7 % de la facturación global. Además, afecta a cualquier empresa cuyo uso de IA repercuta sobre personas en la UE, con independencia de dónde tenga su sede. Por último, este reglamento no sustituye al RGPD: los datos personales que entran en una herramienta de IA siguen sujetos a las mismas obligaciones de siempre.
Permitir o bloquear no es la única opción
Ante esto, muchas organizaciones oscilan entre dos extremos: dejar que cada equipo use lo que quiera o bloquearlo todo. Ninguno funciona. El primero deja la puerta abierta; el segundo empuja el uso hacia donde no hay visibilidad y renuncia a la productividad.
Hay una tercera vía: permitir el uso de la IA, pero dentro de un entorno gobernado, donde la herramienta hereda tus permisos, respeta la clasificación de la información y deja registro de lo que ocurre. Es la diferencia entre prohibir y poder decir que sí con control.
En Itequia, como partner de Microsoft 365, ayudamos a las organizaciones a llevar el uso de la IA al mismo marco de gobernanza que ya aplican al resto de su información. Si quieres una revisión inicial sin coste de cómo se está usando la IA en tu empresa y dónde acaban tus datos, escríbenos a [email protected]. Puedes ver cómo aplicamos la IA al software a medida aquí.
Preguntas frecuentes
¿La información que escribo en ChatGPT u otra IA pública se usa para entrenar el modelo?
Depende de la versión. Según la documentación de OpenAI, en las cuentas de consumo (Free y Plus) los datos se usan por defecto para mejorar el modelo, aunque el usuario puede desactivarlo en los ajustes sin que la empresa pueda imponerlo de forma centralizada. En las versiones de empresa (ChatGPT Business y Enterprise) y en la API, por defecto no se entrena con tus datos.
Entonces, ¿con la versión de empresa ya es seguro enviar cualquier dato?
No del todo. Que no se entrene con tus datos no significa que se queden en casa: siguen saliendo a la infraestructura del proveedor y quedan en sus registros. Para datos regulados o sensibles, el criterio no es confiar en una casilla de exclusión, sino no enviarlos fuera de un entorno controlado. Eso es, precisamente, lo que resuelve una buena gobernanza.
¿Qué herramientas de Microsoft intervienen en la gobernanza de la IA y para qué sirve cada una?
Microsoft Purview clasifica y etiqueta la información y aplica reglas de prevención de fugas (DLP), también sobre Copilot; Microsoft Defender for Cloud Apps descubre y evalúa qué aplicaciones de IA se están usando; y Microsoft Intune y Entra controlan los dispositivos y el acceso. Cada una cubre una pieza; juntas mantienen la IA dentro del mismo marco que el resto de tus datos.