A las 9:00 am, el directorio da inicio a la sesión. La agenda plantea una pregunta central: “¿Cuándo implementaremos inteligencia artificial?”. El gerente de TI explica que aún evalúan proveedores, presupuestos y riesgos. Todos asienten. La conclusión es clara: la empresa todavía no utiliza IA.

A esa misma hora, en otro piso, una abogada carga un contrato en ChatGPT para obtener un resumen. En Recursos Humanos, un analista compara currículums con una herramienta automatizada. En Finanzas, alguien pide a un agente de IA que analice una base de datos. Otro gerente activa un agente que resume una reunión con un cliente.

El directorio no ha aprobado ningún proyecto. Pero el proyecto ya empezó.

Esta es la paradoja de muchas organizaciones: creen que la inteligencia artificial llega cuando se firma un contrato con un proveedor, cuando en realidad suele entrar antes, por la puerta lateral, de la mano de trabajadores que buscan hacer más en menos tiempo. A este fenómeno se le conoce como “inteligencia artificial en la sombra”: herramientas utilizadas sin inventario, sin reglas internas y, muchas veces, sin que la propia empresa sepa qué información está saliendo de su organización.

No hay que culpar al trabajador por querer ser más eficiente. El problema no es la curiosidad ni la innovación. El problema es que la empresa ha dejado que cada persona decida, por su cuenta, qué plataforma utilizar, qué datos compartir y cuánto confiar en la respuesta.

También conviene desmontar una falsa tranquilidad: pagar no elimina el riesgo. Una suscripción individual a ChatGPT Plus o Pro no convierte una cuenta personal en una solución empresarial. En estos servicios, el contenido puede incluir mensajes, documentos, imágenes, audios o videos; además, el usuario sigue siendo responsable de contar con los derechos y permisos necesarios para ingresar esa información y de verificar los resultados. Aunque existan controles para limitar el uso del contenido en el entrenamiento de modelos, la empresa debe conocerlos, configurarlos y supervisarlos.

Las soluciones empresariales ofrecen mejores condiciones. En determinados servicios corporativos, la información de la organización no se utiliza por defecto para entrenar los modelos y existen mayores controles administrativos. Pero una licencia corporativa tampoco hace magia. No vuelve legítima una finalidad indebida, no corrige una carga excesiva de datos, no evita una mala configuración ni transforma una respuesta equivocada en una decisión correcta.

Pagar puede mejorar las condiciones. Lo que no puede hacer es sustituir el gobierno.

La regulación peruana recoge una idea elemental que algunas empresas todavía se resisten a aceptar: quien integra o despliega un sistema de inteligencia artificial dentro de sus operaciones también tiene responsabilidades. No basta con decir “yo no desarrollé el modelo” o “el proveedor es internacional”. Si la herramienta interviene en la selección de trabajadores, la evaluación de clientes, la atención de pacientes, la aprobación de créditos o el acceso a un servicio, la empresa participa en el riesgo y debe responder por cómo se utiliza.

El primer deber, entonces, es mirar hacia adentro. Antes de anunciar una gran estrategia de IA, la organización debería preguntar a sus áreas qué herramientas ya utilizan. Legal, Recursos Humanos, Finanzas, Marketing y TI probablemente darán respuestas distintas. Ese ejercicio debe terminar en un inventario que identifique la plataforma, el tipo de cuenta, la finalidad, los datos ingresados, las integraciones activadas, las personas con acceso y la manera en que se verifica el resultado.

Sin inventario, no existe gobierno. Solo existe una colección de riesgos invisibles.

Luego viene la clasificación. No es lo mismo usar IA para mejorar la redacción de un correo que emplearla para descartar candidatos, medir productividad, recomendar un diagnóstico o decidir quién recibe un crédito. Cuanto mayor sea el impacto sobre las personas, mayor debe ser la exigencia de transparencia, explicación, seguridad y supervisión humana.

Después aparece la política interna. Pero no una política escrita para dormir en una carpeta. Debe responder preguntas concretas: ¿qué herramientas están autorizadas?, ¿qué datos nunca pueden cargarse?, ¿qué usos requieren aprobación previa?, ¿se permiten cuentas personales?, ¿quién revisa las integraciones?, ¿cómo se reporta un incidente?

La regla más importante debería caber en una sola frase: ninguna respuesta de una IA reemplaza automáticamente el criterio profesional. Los propios términos de estos servicios advierten que los resultados pueden ser inexactos y que no deben utilizarse como única fuente de verdad. Aun así, algunas empresas están convirtiendo respuestas probabilísticas en decisiones laborales, comerciales y legales sin una revisión seria.

También debe evaluarse al proveedor. Que una herramienta sea conocida no significa que haya sido aprobada para cualquier uso. La empresa necesita saber si el contenido se conserva, dónde se procesa, quién puede acceder, qué terceros intervienen, qué opciones de eliminación existen y qué sucede cuando se conectan aplicaciones externas. La factura mensual no reemplaza esa revisión.

Y luego hay que capacitar. Prohibir toda inteligencia artificial suele ser una solución cómoda y poco realista. Cuando la empresa no ofrece alternativas, los trabajadores buscan atajos. La mejor defensa no es el miedo, sino la formación: reconocer datos sensibles, anonimizar documentos, verificar respuestas, detectar sesgos y reportar errores.

En los usos de mayor impacto, la supervisión humana debe ser auténtica. Una persona que solo presiona “aceptar” no está supervisando; está decorando una decisión automatizada. Supervisar significa poder cuestionar, detener, corregir o rechazar el resultado.

Finalmente, todo debe quedar documentado: quién autorizó el uso, qué riesgos se evaluaron, qué controles se adoptaron y quién responde si algo falla. Esperar a la primera filtración, al primer reclamo o a la primera decisión discriminatoria no es prudencia. Es improvisación.

Volvamos a la sala de directorio. Tal vez la pregunta correcta ya no sea “¿cuándo implementaremos inteligencia artificial?”. La pregunta debería ser otra: “¿dónde la estamos usando hoy y quién la está controlando?”.

Porque la primera decisión empresarial sobre IA no ocurre cuando se firma un contrato millonario. Ocurre cuando un trabajador copia el primer documento y escribe el primer “prompt”. Para entonces, la inteligencia artificial ya entró a la empresa. Y, muchas veces, el directorio fue el último en enterarse.

Josué Pérez Justiniano, Asociado y Miembro del Área de Derecho y Nuevas Tecnologías de TyTL Abogados.