Su plantilla ya está usando IA. La pregunta es con qué datos

Hay una conversación que se repite en casi todas las empresas a las que entramos. Va así:

—¿Usáis IA aquí? —No, no hemos implantado nada de eso.

Y quince minutos después, en la revisión de tráfico, aparecen conexiones diarias a tres asistentes distintos desde media plantilla. Nadie mintió: la dirección de verdad cree que no se usa IA, porque nadie firmó nada. Pero la comercial pega el contrato del cliente en un chat para que se lo resuma, y el de administración sube el Excel de nóminas para que le cuadre una fórmula.

Eso es la IA en la sombra, y es hoy la vía más silenciosa por la que salen datos de una empresa española.

Prohibirla no funciona

La reacción instintiva es bloquear los dominios y mandar un correo diciendo que está prohibido. Nosotros lo hemos visto fallar muchas veces, y siempre por lo mismo: la herramienta les ahorra tiempo de verdad. Si la bloquea en la red de la oficina, la usarán desde el móvil. Y entonces habrá perdido lo único que tenía, que era poder verlo.

El planteamiento que sí funciona es el contrario: dar una herramienta corporativa que sea igual de buena y que además esté bajo su control. Cuando la opción oficial es cómoda, la de la sombra se muere sola.

Lo que hay que ordenar antes de desplegar nada

Aquí está la parte que casi nadie cuenta. Desplegar Microsoft 365 Copilot son unos cuantos clics. El problema es que Copilot ve exactamente lo que ve el usuario que lo invoca. Y en la mayoría de las empresas, lo que ve un usuario cualquiera es muchísimo más de lo que debería.

Ese SharePoint que alguien compartió «con toda la organización» en 2021 para salir del paso. La carpeta de recursos humanos con permisos heredados que nadie revisó. El Excel de salarios en una unidad compartida. Todo eso llevaba años ahí, invisible, porque nadie sabía buscarlo.

Ahora hay un asistente que busca de maravilla. Pregunte «¿cuánto cobra el equipo comercial?» y, si los permisos están mal, se lo contestará. Con educación y en un cuadro bonito.

Copilot no crea el problema: lo revela. Y por eso el despliegue serio empieza semanas antes de activar la licencia:

• Auditoría de permisos. Qué ve cada perfil de verdad, no en teoría. Cerrar los compartidos abiertos y los enlaces «cualquiera con el vínculo».
• Etiquetado de la información sensible. Marcar lo confidencial para que quede fuera del alcance del asistente y no se pueda sacar de la organización.
• Prevención de fugas. Reglas que impidan que un dato marcado salga en una respuesta, en un correo o en un archivo descargado.
• Registro de uso. Quién pregunta qué. No para vigilar a nadie, sino para poder responder cuando alguien pregunte si un dato concreto pasó por ahí.
• Política escrita y formación corta. Qué se puede meter en un asistente y qué no, con ejemplos de su propio negocio. Media hora bien dada cambia más comportamientos que diez circulares.

Y la parte legal, que llega

El Reglamento Europeo de IA ya está en aplicación por fases, y NIS2 ha ampliado el número de empresas obligadas a demostrar cómo gobiernan su tecnología. Si su empresa maneja datos de salud, datos financieros o información de clientes bajo contrato, poder explicar qué hace su IA con esos datos va a dejar de ser una buena práctica para ser un requisito.

Lo razonable es ordenarlo ahora, con calma y sin un auditor delante.

Por dónde empezar

Si quiere saber qué está pasando hoy en su empresa antes de decidir nada, ese descubrimiento forma parte del security assessment: qué asistentes se están usando, con qué datos, y qué vería un Copilot si lo encendiera mañana.

Y si ya ha decidido desplegarlo, el trabajo está descrito en despliegue seguro de IA y Copilot.