Por: Alberto Porras, socio director de Baker Tilly Costa Rica.
Es posible que mientras una empresa analiza si debe implementar formalmente la inteligencia artificial (IA) dentro de sus operaciones, algunos de sus colaboradores ya la estén utilizando.
Un empleado puede resumir un documento con una herramienta pública. Otro puede ingresar información para preparar una presentación. Alguien más puede utilizar IA para analizar datos, redactar una respuesta a un cliente o resolver un problema operativo.
Nada de esto necesariamente parte de una mala intención. Al contrario, muchas veces responde al deseo de trabajar más rápido.
No obstante, el problema aparece cuando la organización no sabe qué herramientas se están utilizando, para qué se emplean ni qué información se introduce en ellas. Este fenómeno tiene un nombre: shadow AI.
La ausencia de políticas y controles puede generar riesgos relacionados con herramientas no autorizadas, controles de acceso insuficientes e incluso costos derivados del consumo tecnológico sin supervisión.
Por eso considero que uno de los principales desafíos actuales para las empresas no consiste únicamente en aprender a utilizar inteligencia artificial. También deben aprender a controlar una tecnología que puede incorporarse a sus operaciones mucho más rápido de lo que avanzan sus políticas internas.
Prohibir la IA no es una respuesta sostenible
La inteligencia artificial ya forma parte del entorno de trabajo. Intentar eliminar su uso puede terminar impulsándolo hacia espacios menos visibles. Una estrategia más razonable consiste en establecer reglas claras que permitan aprovechar sus beneficios mientras se administran los riesgos.
El primer paso parece sencillo, pero muchas organizaciones todavía no lo han dado. Es saber qué inteligencia artificial están utilizando los colaboradores para realizar su trabajo de forma más efectiva.
Esto implica crear un inventario de sistemas, incluyendo aquellas soluciones incorporadas dentro de plataformas contratadas a terceros. Una empresa puede estar utilizando IA incluso cuando sus colaboradores no identifican una determinada herramienta como tal.
El segundo paso consiste en establecer políticas. ¿Qué herramientas están autorizadas? ¿Qué información puede introducirse? ¿Cuáles usos están prohibidos? ¿Quién puede utilizar determinadas aplicaciones?
Definir estas reglas es una de las medidas más directas para reducir los riesgos asociados con la denominada shadow AI.
El manejo de los datos merece especial atención
También, la facilidad con que actualmente podemos copiar un documento, una base de datos o información de un cliente dentro de una herramienta obliga a las organizaciones a fortalecer la cultura de protección de información. En Costa Rica, cuando existen datos personales también entra en juego el cumplimiento de la Ley 8968.
Otro error que en ocasiones las empresas cometen en sus procesos respecto al uso de la IA, es asumir que contratar una plataforma traslada automáticamente el riesgo al proveedor. No es así.
Las empresas necesitan conocer cómo sus proveedores manejan los datos, cuáles condiciones de seguridad ofrecen y qué garantías existen sobre el uso de la información. El riesgo de una inteligencia artificial contratada sigue teniendo consecuencias para la organización que decide utilizarla.
Y existe todavía otro componente indispensable dentro del uso de la IA, es son las personas. En este sentido, una política guardada en una carpeta corporativa sirve de poco si quienes utilizan diariamente estas herramientas no comprenden los riesgos. Capacitar al personal sobre un uso responsable debe avanzar al mismo ritmo que la adopción tecnológica.
La discusión tampoco debería presentarse como una batalla entre innovación y control. Ello porque los controles bien diseñados no pretenden impedir que una empresa utilice inteligencia artificial. Más bien, su función, es precisamente crear las condiciones para hacerlo de manera sostenible.
En Baker Tilly creemos que las soluciones deberían incorporar estos criterios desde su diseño. Se debe de entender qué se quiere automatizar, evaluar el riesgo, documentar los procesos y establecer mecanismos de seguimiento.
Hay que tener claro que hoy, el mayor riesgo, no necesariamente es que una organización decida implementar inteligencia artificial. Sino que ya la esté utilizando sin saberlo.
