La IA está en todas partes en el trabajo, y la mayoría de la gente la usa mal

Hay bastantes probabilidades de que hayas usado una herramienta de IA en el trabajo esta semana. También hay bastantes probabilidades de que hayas hecho algo con ella que incomodaría al departamento de TI o al equipo legal de tu empresa.

Esto no es una crítica. La mayoría de las personas que usan IA en el trabajo no han recibido ninguna formación sobre cómo hacerlo de forma segura. Toman decisiones que parecen razonables, "esto es solo una herramienta de resumen, no una base de datos", que resultan estar equivocadas sobre cómo funcionan realmente estas herramientas.

Esta guía cubre lo que realmente necesitas saber.

Cómo gestionan tus datos las herramientas de IA

Lo primero que hay que entender es que las distintas herramientas de IA tienen políticas de gestión de datos muy diferentes, y esa distinción importa enormemente.

Los niveles gratuitos de consumo (ChatGPT gratuito, Claude gratuito, Gemini gratuito): tus conversaciones pueden utilizarse para entrenar futuras versiones del modelo. Anthropic, OpenAI y Google ofrecen opciones para excluirse del entrenamiento, pero la opción predeterminada suele permitirlo. Tus datos se almacenan en sus servidores.

Las versiones empresariales (ChatGPT Enterprise, Claude for Work, Microsoft Copilot con licencia empresarial): normalmente ofrecen acuerdos de tratamiento de datos (DPA, por sus siglas en inglés) que comprometen al proveedor a no entrenar con tus datos, y a menudo incluyen compromisos sobre la residencia de los datos. Son considerablemente más seguras para uso profesional.

IA local o en el dispositivo: algunas herramientas de IA se ejecutan por completo en tu dispositivo, sin que ningún dato salga de tu equipo. Son las más seguras para información sensible, aunque suelen ser menos capaces.

La regla práctica: comprueba si tu organización tiene un acuerdo empresarial con la herramienta de IA que estás usando. Si no estás seguro, asume que estás usando la versión de consumo y trátala en consecuencia.

Qué no debes introducir nunca en una herramienta de IA de consumo

El riesgo no es que una herramienta de IA vaya a "filtrar" tus datos directamente a un competidor. El riesgo es más difuso: tus datos se almacenan en servidores externos, pueden usarse para entrenamiento y quedan sujetos a las prácticas de seguridad de un tercero cuyo historial de brechas de seguridad no controlas.

No introduzcas nunca lo siguiente en herramientas de IA de consumo:

  • Nombres de clientes, direcciones de correo electrónico o datos de contacto
  • Información financiera de clientes, contratos o datos comercialmente sensibles
  • Información personal de empleados (salarios, evaluaciones de desempeño, información de salud)
  • Contraseñas internas, claves API o credenciales de autenticación
  • Información empresarial reservada, secretos comerciales o detalles de productos no publicados
  • Asesoramiento legal confidencial, estrategia de litigio o términos de acuerdos
  • Información de salud de pacientes (esto genera obligaciones regulatorias adicionales en la mayoría de las jurisdicciones)

La prueba: si no enviarías esta información por correo electrónico a un desconocido, no la pegues en una herramienta de IA de consumo.

Comprobar la política de IA de tu organización

Es probable que tu organización tenga, o esté desarrollando, una política de uso de la IA. No se trata de burocracia opcional, sino de un instrumento legal y regulatorio.

Si incumples la política de IA de tu organización:

  • Puedes tener responsabilidad personal conforme al derecho laboral
  • Tu organización puede tener responsabilidad conforme a la normativa de protección de datos (RGPD, Ley de Privacidad de Australia)
  • Puedes haber generado pruebas de que tu organización no contaba con controles adecuados (algo relevante en investigaciones regulatorias)

Si no sabes si tu organización tiene una política de IA, pregunta a tu departamento de TI, al equipo de cumplimiento normativo o a tu responsable. Si la política no existe, señálalo: la ausencia de una política es en sí misma una carencia de gobernanza.

El problema de las alucinaciones, y qué hacer al respecto

Los modelos de lenguaje de IA alucinan. Esto no es un error que se vaya a corregir, es una propiedad de cómo funcionan estos sistemas. Generan texto que es estadísticamente probable dado su entrenamiento, lo cual no es lo mismo que texto que sea preciso.

Patrones de alucinación habituales:

  • Citas falsas: las herramientas de IA citan con total seguridad artículos, casos o informes que no existen
  • Estadísticas incorrectas: los números son especialmente poco fiables. Las herramientas de IA generan con frecuencia cifras verosímiles pero incorrectas
  • Información desactualizada: las herramientas de IA tienen fechas de corte en su entrenamiento; la información sobre eventos recientes, normativas vigentes o datos en tiempo real suele ser incorrecta
  • Errores con aparente seguridad: las herramientas de IA no expresan la incertidumbre de la misma manera que los humanos. Una respuesta alucinada suena exactamente igual que una respuesta correcta.

La regla para el uso profesional: todo contenido generado por IA que vaya a presentarse a clientes, utilizarse en decisiones o incluirse en comunicaciones profesionales debe verificarse contra fuentes primarias antes de usarlo.

Esto significa:

  • Comprobar todas las citas contra la fuente original
  • Verificar las estadísticas contra los datos originales
  • Comprobar las referencias normativas y legales contra la legislación o la jurisprudencia real
  • Hacer que una persona revise las comunicaciones a clientes generadas por IA antes de enviarlas

Usar la IA de forma eficaz, no solo con cautela

La seguridad no significa evitar la IA. Significa usarla de maneras que generen valor sin generar riesgo.

Usos de alto valor y bajo riesgo:

  • Redactar documentos internos (cartas, informes, resúmenes) que revisarás antes de enviarlos
  • Lluvia de ideas y generación de conceptos sin datos confidenciales de entrada
  • Resumir información disponible públicamente
  • Mejorar la estructura o la claridad de tus propios textos
  • Explicar conceptos técnicos en lenguaje sencillo
  • Generar código que revisarás y probarás

Usos que requieren precaución adicional:

  • Cualquier tarea que implique datos de clientes (utiliza herramientas empresariales con los acuerdos de datos adecuados)
  • Cualquier resultado que vaya a enviarse directamente a clientes o reguladores (verifícalo todo)
  • Análisis legal, médico o financiero (la IA solo como apoyo, se requiere juicio profesional)
  • Cualquier situación en la que un error con apariencia de seguridad pudiera causar daño

El objetivo es ser el tipo de profesional que usa la IA para trabajar mejor, no el que crea problemas por usarla de forma descuidada.

Lecturas relacionadas

Más información: OCDE: la IA y el futuro del trabajo