Los cinco riesgos relacionados con la gobernanza de la IA a los que las empresas deben prestar atención

En este mismo momento, en algún lugar de su organización, un empleado está utilizando una herramienta de inteligencia artificial para realizar su trabajo. Quizás estén resumiendo un contrato con un cliente. Quizás estén analizando los datos financieros. Quizás estén redactando una respuesta a una consulta de las autoridades reguladoras. No son los únicos: el41% de la población activa ya utiliza la IA generativa en su trabajo. La inteligencia artificial ya no es algo opcional. Los responsables lo fomentaron. Así es como se trabaja ahora. La expectativa no es solo la adopción, sino su integración en todos los equipos y flujos de trabajo. La mejora de la productividad es un hecho, pero también lo son las deficiencias en materia de gobernanza que genera. 

Todos los demás canales de comunicación de su organización —el correo electrónico, Slack, Teams— forman parte de una infraestructura de cumplimiento normativo cuya creación ha requerido tiempo. Las conversaciones con IA no lo hacen. Todavía no. Y se está convirtiendo en el punto ciego de todos los programas de cumplimiento normativo. Esas conversaciones se producen a gran escala, cada día, dentro de su organización. Y, en la mayoría de los casos, su equipo de cumplimiento normativo no tiene conocimiento alguno de todo ello.

Eso no es un problema que se plantee en el futuro. Es uno actual. A continuación se exponen cinco riesgos de gobernanza que ya se están materializando, así como las medidas que conviene adoptar al respecto.

Riesgo 1: Riesgos normativos que no se pueden prever

El marco normativo en torno a la inteligencia artificial se endureció considerablemente en 2026. El plazo para la aplicación de la Ley de IA de la Unión Europea en lo que respecta a los sistemas de IA de alto riesgo vence en agosto. La Comisión de Valores y Bolsa (SEC) ha convertido la gobernanza de la inteligencia artificial en una de sus principales prioridades de supervisión. El NIST publicó en abril unas directrices actualizadas sobre la gestión de riesgos relacionados con la inteligencia artificial para las infraestructuras críticas. Solo las empresas de servicios financieros se enfrentaron a 157 modificaciones normativas relacionadas con la inteligencia artificial en un solo año.

El denominador común: los organismos reguladores ya no se preguntan si las organizaciones cuentan con una estrategia de inteligencia artificial. Se preguntan si las organizaciones pueden demostrar que cuentan con un sistema de gobernanza. No bastará con tener políticas sobre el papel. Los auditores solicitarán pruebas de trazabilidad, como registros, documentos y controles. La mayoría de las organizaciones no pueden elaborarlos.

Riesgo 2: El vacío legal

He aquí una cuestión que quizá su equipo jurídico no haya tenido en cuenta: si mañana se recibiera una solicitud de divulgación de pruebas o una solicitud de acceso de los interesados (DSAR), ¿podrían responder e incluir las conversaciones generadas por IA?

Las conversaciones generadas por IA pueden constituir contenido que se pueda descubrir. Las solicitudes que envían los empleados, las respuestas que reciben y los documentos que generan pueden estar sujetos a obligaciones de retención legal, citación judicial, presentación de documentos y solicitud de acceso a datos personales (DSAR). Sin embargo, la mayoría de las organizaciones carecen de mecanismos para conservar, buscar o facilitar contenido generado por IA. El correo electrónico lleva décadas estando sujeto a una infraestructura de gobernanza. Las conversaciones basadas en inteligencia artificial, que actualmente albergan algunos de los intercambios de mayor relevancia en el ámbito empresarial, plantean retos en materia de gobernanza y recuperación de datos que el correo electrónico nunca planteó.  

Riesgo 3: Flujo de datos a través de sistemas de inteligencia artificial sin supervisión de los datos sensibles ni de las políticas

Sus políticas de prevención de pérdida de datos abarcan el correo electrónico. Se ocupan de las transferencias de archivos. Probablemente incluyan Slack y Teams. Pero cuando un empleado pega el número de la Seguridad Social de un cliente, una hoja de ruta de un producto o una hoja de términos de una fusión y adquisición en una conversación con IA, ¿lo detecta su sistema de políticas?

Para la mayoría de las organizaciones, la respuesta es no. Y en el caso de quienes cuentan con una cobertura de supervisión parcial, la complejidad de sus entornos dificulta la identificación de las lagunas. Las herramientas de inteligencia artificial se han convertido en un canal importante para los datos confidenciales, a menudo sin que los empleados sean conscientes de las implicaciones que ello conlleva en materia de gobernanza. Cada día circulan por las conversaciones basadas en la inteligencia artificial datos de carácter personal, propiedad intelectual confidencial, datos financieros e información sujeta a normativa, al margen de los controles que rigen el resto de canales de comunicación de la empresa.

Riesgo 4: Políticas de uso aceptable que no pueden hacerse cumplir

Muchas organizaciones se han apresurado a publicar políticas de uso adecuado de la inteligencia artificial. La creación del mecanismo para supervisar el cumplimiento está resultando más difícil. Una política que prohíba compartir datos confidenciales de los clientes con herramientas de inteligencia artificial solo tiene sentido si se puede detectar cuándo se incumple.

Sin la capacidad de supervisar los contenidos generados por IA, las políticas de uso aceptable resultan, en la práctica, inaplicables, lo que las convierte en un mero trámite de gobernanza que ofrece una falsa sensación de seguridad. Si surge algún problema, la póliza no le cubrirá. La falta de seguimiento determinará su exposición.

Riesgo 5: Riesgo interno derivado de la IA

Este es el riesgo que suele sorprender más a los equipos de cumplimiento normativo. Las herramientas de IA no se limitan a recibir información confidencial. Se les puede incitar a que ayuden a eludir los controles. Un empleado que se encuentre bajo presión puede pedir a la IA que redacte una nota de aprobación para un proveedor que no haya pasado por el proceso de contratación pública, que genere una orden de compra que eluda la revisión del departamento financiero o que elabore documentos que parezcan legítimos, pero que en realidad no lo sean.

La IA suele cumplir, a veces con algunas salvedades y otras sin ellas. Y dado que estas interacciones pueden tener lugar al margen de la infraestructura de gobernanza, es posible que no salgan a la luz hasta que se haya realizado el pago, se hayan compartido los datos o se haya iniciado la auditoría.

Reducir la brecha

El mandato no va a desaparecer. Tampoco lo es la obligación de cumplimiento. Las organizaciones mejor preparadas para gestionar los riesgos relacionados con la gobernanza de la IA no están a la espera de que una medida reguladora lasobligue a actuar, sino que están ampliando la infraestructura de gobernanza de la que ya disponen para incluir ahora las conversaciones y los contenidos relacionados con la IA.

Además, algunas organizaciones darán por sentado que ya cuentan con la cobertura necesaria gracias a su solución tecnológica actual, pero la mayoría de las empresas utilizan hoy en día varias soluciones de inteligencia artificial. Un marco de gobernanza basado en el ecosistema de un único proveedor supone un riesgo para los demás. Por eso, una solución de gobernanza que abarque todas las interacciones de IA, independientemente del modelo o la plataforma que las haya generado, es lo que realmente constituye una gobernanza completa.

Las organizaciones que lo hagan correctamente no considerarán la gobernanza de la IA como una línea de trabajo independiente. Se darán cuenta de lo que los mejores responsables de seguridad ya saben: proteger la forma en que trabajan las personas siempre ha sido su labor. Las personas, los datos y la inteligencia artificial no son tres problemas distintos que haya que resolver. Son uno. 

Eso es precisamente lo que Mimecast GCI permite ahora. Gracias a la API de Claude Compliance, junto con el conector Claude Enterprise, las organizaciones pueden conservar, buscar, archivar y generar conversaciones basadas en IA junto con cualquier otra fuente de datos de su infraestructura de cumplimiento normativo. No hay herramientas nuevas. No hay nuevos flujos de trabajo. Una única experiencia de gobernanza unificada que ahora incluye la IA empresarial.

Obtenga más información sobre Mimecast GCI y el anuncio relativo a la API de Claude Compliance aquí.