ESET advierte que el desafío empresarial ya no consiste en bloquear las herramientas de IA, sino en establecer reglas que permitan aprovecharlas sin exponer información sensible ni perder el control sobre su utilización.
Centroamérica.— La inteligencia artificial dejó de ser una tecnología que algunas empresas intentaban mantener al margen de sus operaciones y comenzó a convertirse en una herramienta que requiere políticas claras de uso, controles de seguridad y supervisión.
Así lo plantea ESET en su análisis sobre la evolución de las políticas corporativas frente a la inteligencia artificial, al señalar que las organizaciones están pasando de intentar restringir estas herramientas a establecer mecanismos para incorporarlas de manera segura y responsable.
Según los datos del más reciente ESET Security Report, el 39.7 % de las empresas promueve el uso de inteligencia artificial bajo marcos internos, mientras que un 39.2 % deja la decisión en manos de los empleados sin contar con una política definida.
Otro 17.8 % limita su utilización a determinados casos, mientras que apenas el 3.4 % mantiene una prohibición total de estas herramientas.
La IA ya forma parte de la realidad empresarial
El cambio responde a una realidad que las organizaciones han comenzado a asumir: la inteligencia artificial ya está siendo utilizada por sus colaboradores, incluso cuando no existe una política corporativa que regule su empleo.
“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo”, explica Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
De acuerdo con el especialista, los principales proveedores tecnológicos también han acompañado esta transición mediante versiones empresariales de sus asistentes, incorporando controles relacionados con seguridad, privacidad y cumplimiento.
Entre estas soluciones se encuentran ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace.
Entre 2024 y 2025, la conversación empresarial comenzó a enfocarse cada vez más en la creación de políticas internas, clasificación de datos, definición de herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.
Educación y banca muestran realidades diferentes
El nivel de regulación no es uniforme entre los distintos sectores productivos.
Según ESET, el sector educativo presenta uno de los mayores niveles de desregulación: 58.8 % de las instituciones no cuenta con ningún tipo de regla sobre el uso de inteligencia artificial.
En el sector financiero, en cambio, la adopción se encuentra más estructurada. El 47.6 % de las entidades bancarias fomenta el uso de IA, pero bajo normativas internas estrictas.
La diferencia evidencia que la adopción de estas herramientas está condicionada, entre otros factores, por el nivel de sensibilidad de la información que manejan las organizaciones y por las exigencias regulatorias de cada industria.
El riesgo de dejar la decisión en manos del empleado
Uno de los principales desafíos identificados por ESET es que 39.2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA.
Esto no significa necesariamente que la tecnología esté prohibida o autorizada, sino que los empleados carecen de lineamientos claros sobre qué herramientas pueden utilizar, qué información pueden compartir y qué responsabilidades tienen al incorporar contenido generado por IA.
“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación”, advierte Micucci.
El especialista agrega que, aunque estas acciones no necesariamente sean maliciosas, la ausencia de reglas puede provocar que la empresa pierda visibilidad y control sobre la manera en que se utiliza la inteligencia artificial.
Tres riesgos que las políticas buscan controlar
ESET identifica varios de los principales problemas que las organizaciones buscan abordar mediante políticas específicas de inteligencia artificial.
Proteger la información sensible. Las empresas buscan evitar que los empleados introduzcan información confidencial en plataformas públicas. Por ello, las políticas suelen establecer restricciones sobre datos de clientes, propiedad intelectual, código fuente, documentos internos e información financiera.
Reducir el riesgo de Shadow AI. Prohibir una herramienta no garantiza que los empleados dejen de utilizarla. Por ello, las empresas están comenzando a ofrecer alternativas autorizadas, como versiones empresariales de asistentes de IA, cuentas corporativas o incluso modelos desarrollados dentro de su propia infraestructura.
Garantizar la supervisión humana. Las políticas también establecen que las personas mantienen la responsabilidad de revisar y validar los contenidos generados por IA, especialmente cuando estos intervienen en decisiones empresariales o procesos críticos.
Nuevos marcos para gestionar la inteligencia artificial
La creciente adopción de estas tecnologías también ha impulsado el desarrollo de estándares y marcos internacionales para ayudar a las organizaciones a identificar y administrar sus riesgos.
Entre ellos se encuentran el NIST AI Risk Management Framework (AI RMF), publicado por el National Institute of Standards and Technology; la ISO/IEC 23894, centrada en la gestión de riesgos relacionados con la IA; y la ISO/IEC 42001, primer estándar internacional para establecer un Sistema de Gestión de Inteligencia Artificial.
También destaca el EU AI Act, marco regulatorio integral de la Unión Europea que establece obligaciones para desarrolladores, proveedores y usuarios de sistemas de IA de acuerdo con los riesgos asociados a estas tecnologías.
A estos instrumentos se suma el NIST Cybersecurity Framework 2.0, que proporciona una estructura para gestionar riesgos de ciberseguridad mediante funciones como gobernar, identificar, proteger, detectar, responder y recuperar.
Para ESET, estos marcos muestran que la gobernanza de la inteligencia artificial está evolucionando hacia un enfoque más estructurado, con mecanismos para definir responsabilidades, gestionar riesgos y establecer controles.
Entre la prohibición y el uso sin controles
El reto para las empresas está en encontrar un punto de equilibrio.
Una política demasiado restrictiva puede incentivar a los empleados a utilizar herramientas no autorizadas, mientras que reglas demasiado permisivas o ambiguas pueden aumentar el riesgo de exposición de información sensible y de dependencia excesiva de respuestas generadas por IA.
Por ello, ESET recomienda complementar las políticas con capacitación, programas de concientización y herramientas corporativas que ofrezcan alternativas seguras frente a los servicios públicos.
La meta es incorporar la inteligencia artificial a la cultura organizacional sin sacrificar la seguridad, la privacidad ni la productividad.
La pregunta ya no es si se utilizará IA
“La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo”, concluye Micucci.
El escenario marca una nueva etapa para la ciberseguridad empresarial: así como las organizaciones desarrollaron políticas para regular dispositivos móviles, trabajo remoto, servicios en la nube y acceso a la información, la inteligencia artificial comienza a ocupar un lugar permanente dentro de las políticas de seguridad y gobernanza corporativa.