Su plantilla ya está usando IA. La pregunta es con qué datos

Hay una conversación que se repite en casi todas las empresas a las que entramos. Va así:

—¿Usáis IA aquí? —No, no hemos implantado nada de eso.

Y quince minutos después, en la revisión de tráfico, aparecen conexiones diarias a tres asistentes distintos desde media plantilla. Nadie mintió. La dirección de verdad cree que no se usa IA, porque nadie firmó nada. Pero la comercial pega el contrato del cliente en un chat para que se lo resuma, y el de administración sube el Excel de nóminas para que le cuadre una fórmula.

Eso es la IA en la sombra, y hoy es la vía más silenciosa por la que salen datos de una empresa española.

Prohibirla no funciona

La reacción instintiva es bloquear los dominios y mandar un correo diciendo que está prohibido. Lo hemos visto fallar muchas veces y siempre por lo mismo: la herramienta les ahorra tiempo de verdad. Si la bloquea en la red de la oficina, la usarán desde el móvil. Y entonces habrá perdido lo único que tenía, que era poder verlo.

Lo que sí funciona es justo lo contrario. Dar una herramienta corporativa que sea igual de buena y que además esté bajo su control. Cuando la opción oficial es cómoda, la de la sombra se muere sola.

Lo que hay que ordenar antes de desplegar nada

Aquí está la parte que casi nadie cuenta. Desplegar Microsoft 365 Copilot son unos cuantos clics. El problema es que Copilot ve exactamente lo que ve el usuario que lo invoca, y en la mayoría de las empresas lo que ve un usuario cualquiera es muchísimo más de lo que debería.

Ese SharePoint que alguien compartió «con toda la organización» en 2021 para salir del paso. La carpeta de recursos humanos con permisos heredados que nadie revisó nunca. El Excel de salarios en una unidad compartida. Todo eso llevaba años ahí, invisible, porque nadie sabía buscarlo.

Ahora hay un asistente que busca de maravilla. Pregunte cuánto cobra el equipo comercial y, si los permisos están mal, se lo contestará. Con educación y en un cuadro bonito.

Copilot no crea el problema. Lo revela. Y por eso un despliegue serio empieza semanas antes de activar la licencia, con cinco cosas que conviene tener hechas.

La primera es una auditoría de permisos: qué ve cada perfil de verdad, no en teoría, y cerrar los compartidos abiertos y los enlaces del tipo «cualquiera con el vínculo». La segunda es etiquetar la información sensible, para que lo confidencial quede fuera del alcance del asistente y no se pueda sacar de la organización. La tercera son reglas de prevención de fugas que impidan que un dato marcado salga en una respuesta, en un correo o en un archivo descargado.

La cuarta es el registro de uso. Quién pregunta qué. No para vigilar a nadie, sino para poder responder el día que alguien pregunte si un dato concreto pasó por ahí. Y la quinta es una política escrita y una formación corta: qué se puede meter en un asistente y qué no, con ejemplos del propio negocio. Media hora bien dada cambia más comportamientos que diez circulares.

Y la parte legal, que llega

El Reglamento Europeo de IA ya está en aplicación por fases, y NIS2 ha ampliado el número de empresas obligadas a demostrar cómo gobiernan su tecnología. Si su empresa maneja datos de salud, datos financieros o información de clientes bajo contrato, poder explicar qué hace su IA con esos datos va a dejar de ser una buena práctica para convertirse en un requisito.

Lo razonable es ordenarlo ahora, con calma y sin un auditor delante.

Por dónde empezar

Si quiere saber qué está pasando hoy en su empresa antes de decidir nada, ese descubrimiento forma parte del security assessment: qué asistentes se están usando, con qué datos, y qué vería un Copilot si lo encendiera mañana.

Y si ya ha decidido desplegarlo, el trabajo está descrito en despliegue seguro de IA y Copilot.