¿Quién está usando inteligencia artificial en tu empresa?

La inteligencia artificial puede haber entrado a tu empresa sin una compra formal, un proyecto tecnológico o una decisión del consejo. Marketing la utiliza para redactar campañas; recursos humanos resume currículums; ventas prepara propuestas; el equipo jurídico revisa cláusulas; y programación genera fragmentos de código. Cada área puede obtener beneficios reales, pero la dirección quizá desconoce qué herramientas se usan, qué información reciben y qué resultados influyen en decisiones. Antes de escribir una política, la primera necesidad de gobierno es hacer visible la operación.

Un inventario de IA es un registro de herramientas y casos de uso, no una lista de marcas conocidas. La misma plataforma puede utilizarse para una lluvia de ideas sin datos confidenciales, para analizar contratos de clientes o para recomendar qué personas avanzan en un proceso de selección. El proveedor es el mismo, pero la finalidad, la información procesada, las personas afectadas y el impacto potencial son completamente distintos. Por eso cada actividad debe documentarse como un caso de uso independiente.

El Marco de Gestión de Riesgos de IA del NIST organiza la gestión en cuatro funciones: gobernar, mapear, medir y gestionar. Dentro de la función de gobierno contempla mecanismos para inventariar los sistemas de IA conforme a las prioridades de riesgo de la organización. El marco es voluntario y no constituye por sí solo una obligación general para empresas mexicanas; funciona como un referente técnico adaptable. Su valor para una PyME está en traducir una tecnología difusa en responsabilidades, evidencia y decisiones proporcionales.

El registro inicial debe responder, al menos, doce preguntas: qué herramienta y proveedor se utilizan; qué área y persona son responsables; qué actividad se realiza; qué información se introduce; qué resultado se genera; quién puede verse afectado; cuál es la confidencialidad de los datos; qué revisión humana existe; qué integraciones o permisos fueron concedidos; cuál es la decisión de uso; cuándo se revisó por última vez; y qué errores o incidentes se han detectado. No es necesario comenzar con software especializado: una tabla controlada y actualizada puede ser suficiente.

La información introducida determina buena parte del riesgo. No es equivalente pedir ideas con datos ficticios que cargar nombres, expedientes laborales, información financiera, estrategias comerciales, código propietario o documentos de clientes. Antes de utilizar una herramienta, identifica si la entrada contiene datos personales, secretos empresariales, información confidencial, obras protegidas o información sujeta a contratos con terceros. También revisa qué permisos solicita la aplicación, si se conecta al correo o almacenamiento corporativo y qué condiciones establece el proveedor sobre conservación y utilización de los datos.

La supervisión humana debe ser real y proporcional. No basta con que una persona vea el resultado si carece del tiempo, conocimiento o autoridad para corregirlo. Define quién revisa, qué criterios aplica y en qué momento puede detener el proceso. La revisión es especialmente importante cuando la salida se comunica al público, interpreta una obligación jurídica, afecta el patrimonio, evalúa a una persona o activa una acción automática. La IA puede producir contenido convincente pero incorrecto; la responsabilidad final no desaparece porque el error provenga de una herramienta.

Una clasificación sencilla facilita la priorización. Considera de riesgo bajo una lluvia de ideas sin información confidencial; riesgo medio, un contenido externo que requiere revisión profesional; y riesgo alto, el tratamiento de datos personales o reservados, las decisiones sobre personas y las acciones automáticas. Señala como no autorizado cualquier uso incompatible con políticas internas, contratos, derechos de terceros o medidas de seguridad. Esta escala es educativa: no sustituye la evaluación jurídica, técnica o sectorial de cada caso.

Las cuentas gratuitas o personales merecen atención específica. Cuando una persona trabaja con una cuenta propia, la empresa puede perder visibilidad sobre historial, configuraciones, accesos, propiedad de los resultados y baja de usuarios. Define qué herramientas están autorizadas, qué tipo de información puede utilizarse y cuándo se requiere una cuenta corporativa. Si una herramienta deja de ser necesaria, documenta cómo revocar integraciones, retirar accesos y atender la información que permanezca almacenada. El ciclo de vida también incluye suspender y retirar sistemas de forma segura.

El inventario no debe utilizarse como una herramienta punitiva que empuje los usos a la clandestinidad. Conviene iniciar con una consulta breve a cada área: qué herramienta utiliza, para qué tarea, con qué información y quién revisa el resultado. Después, el equipo responsable puede autorizar, condicionar, evaluar o suspender cada caso. Esta conversación también permite descubrir oportunidades de eficiencia, duplicidades de suscripciones y necesidades de capacitación. La gobernanza bien diseñada ofrece una ruta segura para innovar, en lugar de limitarse a prohibir.

Tu checklist de implementación es directo: designa a una persona coordinadora; consulta a todas las áreas; registra cada caso de uso por separado; identifica datos, integraciones y personas afectadas; clasifica el riesgo; define revisión humana; adopta una decisión y sus condiciones; comunica las reglas; registra errores e incidentes; y fija una fecha de actualización. Revisa el inventario cuando cambie la herramienta, el proveedor, la finalidad o la información utilizada. Solo después de comprender la operación real conviene convertir los hallazgos en una política interna de IA.