ESET releva el avance de políticas internas para regular el uso de IA

Las políticas de seguridad corporativa, históricamente concentradas en credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware, incorporaron un capítulo específico: reglas para el uso de herramientas de inteligencia artificial (IA). El foco, en muchos casos, dejó de ser el bloqueo total para pasar a la definición de políticas que permitan aprovechar estas tecnologías sin comprometer la seguridad, la privacidad o el cumplimiento normativo.

El cambio aparece reflejado en el último ESET Security Report. Allí, el 39,7% de las empresas promueve el uso de IA bajo marcos internos. En paralelo, un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% limita la utilización a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total.

“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo”, dijo Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica. En ese marco, señaló que proveedores tecnológicos lanzaron versiones empresariales de sus asistentes con controles específicos de seguridad, privacidad y cumplimiento. Entre los ejemplos mencionados figuran ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace.

Entre 2024 y 2025, la discusión se desplazó hacia la implementación: políticas internas, clasificación de datos, definición de herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio. El nivel de regulación, sin embargo, varía según el sector productivo. En Educación, el 58,8% de las instituciones no cuenta con ningún tipo de regla sobre IA. En contraposición, en el sector financiero (Banca), el 47,6% de las entidades fomenta su uso, pero bajo normativas internas estrictas.

La ausencia de lineamientos claros no implica necesariamente que la IA esté prohibida o permitida: significa que no hay definiciones sobre qué herramientas se pueden utilizar, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas. “En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación”, dijo Micucci.

Las políticas de IA buscan resolver tres problemáticas: proteger la información sensible (como datos de clientes, propiedad intelectual, código fuente, documentos internos o información financiera), reducir el riesgo de Shadow AI (uso de herramientas no autorizadas pese a prohibiciones o sin controles corporativos) y garantizar la supervisión humana, con validación de los contenidos antes de incorporarlos a decisiones de negocio o procesos críticos.

Como guías para una adopción más segura y responsable, se mencionan marcos y regulaciones como NIST AI RMF, ISO/IEC 23894, ISO/IEC 42001, EU AI Act y NIST Cybersecurity Framework (CSF) 2.0, que propone una estructura para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.