He estado observando cómo se desarrolla esto en organizaciones reales, y honestamente, ahora mismo es un caos.

Tu equipo de marketing está volcando datos de clientes en ChatGPT gratis. Tus ingenieros están pegando código propietario en depuradores de IA aleatorios. Y nadie le dice a TI. Los estudios muestran que el 71% de los empleados hacen esto, y el 57% lo oculta activamente a los equipos de seguridad.

Esto es lo que me mantiene despierto: no es malicia. Estas personas solo intentan trabajar más rápido. El problema es que las herramientas de IA gratuitas operan con un modelo completamente diferente al del software empresarial. Cuando pegas datos en la versión gratuita, no solo estás obteniendo ayuda—estás alimentando la línea de entrenamiento. Ese código, esa lista de clientes, ese documento de estrategia? Ahora forman parte de los pesos del modelo. No puedes borrarlos. No puedes olvidarlos.

¿Recuerdas a Samsung en 2023? Los ingenieros pegaron código fuente sensible en ChatGPT para optimizarlo. Ese código se absorbió en los datos de entrenamiento. Se fue.

Pero aquí es donde empeora. Si tu equipo procesa datos de clientes europeos a través de una herramienta de IA con sede en EE. UU. sin acuerdos adecuados, probablemente estás violando el GDPR ahora mismo. Y cuando los empleados usan IA no verificada para generar informes o entregables para clientes y el modelo simplemente... inventa cosas? De repente, estás lidiando con información falsa presentada como hecho a los clientes. Eso no es solo un problema técnico—es un desastre reputacional en espera de suceder. La IA no distingue entre precisión y fabricación, y tampoco las personas que la usan.

El verdadero problema es lo que llamo la brecha de gobernanza. Prohibir estas herramientas no funciona. Solo empuja su uso a la clandestinidad. Necesitas un enfoque diferente.

Técnicamente, puedes detectar parte de esto. La monitorización de DNS detecta tráfico hacia OpenAI, Anthropic, Midjourney. Las reglas de DLP pueden marcar cuando se pega código o PII en interfaces de chat. Pero el mejor detector? Tus propios empleados. Ellos te dirán qué están usando si no temen ser castigados.

Aquí tienes un marco que realmente funciona:

Primero, publica una lista clara de permitidos y bloqueados. Sé honesto si aún no tienes herramientas aprobadas. Implementa reglas de DLP para dominios de alto riesgo. Envía un memorando de liderazgo diciendo que la IA es útil, pero las herramientas gratuitas son peligrosas.

Segundo, crea una política formal con tres niveles: Permitir (herramientas empresariales verificadas), Monitorear (herramientas de bajo riesgo para datos no sensibles), Denegar (herramientas que entrenan con tus datos o que no cumplen con estándares de seguridad). Capacita a los equipos sobre lo que importa para su rol.

Tercero, implementa controles en el navegador para restringir dominios de IA no autorizados. Investiga pasarelas de IA que puedan redactar PII en tiempo real antes de que los datos lleguen al proveedor del modelo.

Cuarto, establece un equipo de gobernanza de IA que se reúna regularmente para revisar nuevas herramientas y riesgos. Facilita que los empleados soliciten nuevas herramientas para que la gobernanza no sea un cuello de botella.

Pero aquí está lo importante: nada de esto funciona si no les das algo mejor. Usan herramientas gratuitas porque funcionan. Porque son convenientes.

El modelo BYOK es interesante aquí. Bring Your Own Key significa que tu organización compra acceso directo a la API de proveedores como OpenAI o Anthropic, y luego lo conecta a una plataforma que da a los empleados una interfaz única para acceder a múltiples modelos. Tú controlas la clave API, así que los datos fluyen bajo tus términos. Sin entrenamiento con tus datos. Con total visibilidad. Total cumplimiento.

Así es como realmente detienes la IA en la sombra. No prohibiéndola. Haciendo que el camino seguro sea el más fácil.

Los empleados que pegan datos en ChatGPT no intentan filtrar propiedad intelectual. Solo intentan hacer su trabajo. El problema no es desobediencia—es que el mercado se mueve más rápido que la adquisición en las empresas. Corrige eso, y corriges el riesgo.