Por Daniel Monastersky – www.danielmonastersky.com
Son las once y media de la noche. Una analista financiera todavía está en la oficina. Tiene un reporte que entregar mañana a primera hora, una hija que la espera en casa, y una planilla cruda con datos de clientes que no termina de cerrar. Abre ChatGPT en su navegador personal, copia la base completa —nombres, DNIs, montos, mails— y escribe: “Hacé un resumen agrupado por provincia y dame los tres clientes más rentables de cada zona.”
En dos segundos, tiene el reporte. Cierra la pestaña. Apaga la luz. Se va a su casa.
No hizo nada que considere mal. Trabajó más rápido para llegar antes. Es exactamente lo que vos le pedirías que haga.
Y sin embargo, esa noche, sin firmar nada, sin que nadie lo sepa, sin que ningún sistema de seguridad lo registre, los datos personales de cientos de clientes de tu empresa cruzaron una frontera. Quedaron en un servidor del hemisferio norte, fuera de tu alcance, fuera de tu control, fuera de tu jurisdicción. Pueden ser usados para entrenar un modelo. Pueden ser leídos por alguien en una revisión de calidad. Pueden quedar expuestos en la próxima brecha de seguridad del proveedor.
No los vas a poder recuperar nunca.
Esa empleada no es desleal. No es negligente. Es buena en lo que hace. Y es, sin saberlo, el vector de uno de los riesgos más serios que tu empresa enfrenta hoy.
Tiene nombre. Se llama Shadow AI.
No es ella sola
Pensá en todas las personas que confían en vos para hacer bien su trabajo. La abogada del estudio que pegó las cláusulas del contrato confidencial en una IA para que se las “redactara más claro”. El reclutador que subió treinta CVs con datos personales para que el chatbot se los resumiera. La secretaria del consultorio que cargó el listado de pacientes para armar una planilla. El contador que pegó el balance no publicado para pedirle al modelo que detecte inconsistencias.
Cada uno con buena intención. Cada uno apurado. Cada uno convencido de que no estaba haciendo nada raro.
Y ninguno de ellos te lo va a contar. No porque te quieran esconder algo, sino porque no lo perciben como algo digno de mencionar. “Le pasé unos datos a ChatGPT para que me ayude con un informe.” Lo dicen como quien cuenta que usó Excel.
Mientras tanto, en tu empresa hay datos saliendo todos los días, por todos los puestos de trabajo, sin que ningún tablero los registre.
Eso es lo que da más miedo: que no lo veas.
Lo que no se puede deshacer
Hay algo de la era digital a lo que todavía no nos terminamos de acostumbrar: hay errores que no se pueden corregir.
Cuando un empleado manda un mail con un archivo adjunto al destinatario equivocado, podés llamar al destinatario y pedirle que lo borre. Si filtraste un dato a la prensa, podés intentar bajarlo. Si dejaste una carpeta abierta en la nube, podés cerrarla.
Pero cuando un dato entra en una IA pública, no hay forma de sacarlo. No hay un botón de “deshacer”, no hay un derecho al olvido aplicable, no hay un contrato que ampare lo que se entregó sin haberlo firmado. El dato está. En algún lado. Para algún uso. Y vos no vas a saber dónde, ni para qué, ni quién lo va a ver.
Ese es el costo silencioso. No el escándalo del día siguiente. La incertidumbre permanente sobre qué se fue, cuándo se fue, y qué va a hacer con eso quien lo encuentre.
La pregunta que nadie quiere hacerse
Imaginate por un momento que mañana te llama un cliente importante. Está enojado. Sus datos aparecieron en algún lado y quiere saber cómo pasó. Vos no tenés idea de cómo pasó. Tu equipo de sistemas tampoco. No hay un log de seguridad que muestre una brecha, no hay un mail con un adjunto sospechoso, no hay un acceso indebido al servidor. Todo lo que tenés es la certeza de que algo se filtró y la nada absoluta sobre cómo.
Ahora imaginate la siguiente llamada: la del regulador, preguntándote qué medidas tomaste para proteger esa información. La del socio comercial, preguntándote si los términos que negociaron con tanto cuidado terminaron siendo entrenamiento gratis para alguien. La de tu equipo legal, explicándote que ese secreto industrial que protegías como un activo estratégico ya no puede ser considerado secreto, porque dejaste de tomar las medidas razonables para protegerlo.
Ninguna de esas llamadas empieza con un hackeo. Todas empiezan con un empleado bien intencionado que solo quería trabajar más rápido.
Por qué pasa
La verdad incómoda es esta: tus empleados van a usar inteligencia artificial. Ya la están usando. Y no porque sean rebeldes ni descuidados, sino porque la presión por producir más, más rápido, con los mismos recursos, no para de subir.
Si tu empresa no les da una herramienta de IA aprobada, segura y útil, ellos van a usar la que tienen a mano. La gratuita. La que pueden abrir desde el celular sin pedir permiso. La que les ahorra dos horas de trabajo y les permite llegar a la casa antes de que se duerma el hijo.
Esto no se resuelve con un email de la dirección diciendo “no usen ChatGPT”. Eso ya lo intentaron muchas empresas. El resultado es siempre el mismo: el empleado pasa a usarlo desde el teléfono personal, fuera del Wi-Fi corporativo, y la organización pierde lo último que le quedaba: la visibilidad.
Prohibir sin ofrecer alternativa no elimina el problema. Lo hace invisible. Y un problema invisible es exactamente lo que está creciendo, ahora mismo, en tu empresa.
Lo que sí se puede hacer
Acá viene la parte que importa, porque sí hay una salida y no es complicada de empezar.
El primer paso es ver. Mapear, sin prejuicio y sin sanción inicial, qué herramientas se están usando, para qué tareas, con qué tipo de datos. Esto no se hace con un firewall: se hace con conversación, encuestas anónimas, análisis técnico, y la decisión política de querer saber la verdad.
El segundo paso es ordenar. Definir, en lenguaje claro y sin manuales de cien páginas, qué se puede usar y qué no, qué tipo de información puede tocar una IA externa y cuál nunca. Tres listas, no treinta páginas.
El tercer paso es habilitar. Si tus empleados necesitan IA para trabajar, dales una IA segura. Hay opciones empresariales que cuestan una fracción de lo que sale una sola filtración, y que cambian completamente la ecuación del riesgo.
El cuarto paso es formar. Una vez. Bien. Con ejemplos reales. No con un PDF que nadie lee.
Y el quinto paso es el más incómodo: aceptar que esto no es un proyecto que se hace y termina. Es una práctica que se sostiene. El ecosistema de IA cambia todas las semanas. Lo que hoy es seguro mañana puede no serlo. Lo que hoy es marginal mañana es masivo.
No se trata de paranoia. Se trata de no quedar afuera de una conversación que ya está pasando dentro de tu propia empresa.
Dónde entramos nosotros
En Data Governance Latam trabajamos exactamente este problema. Lo vemos todos los días, en empresas de todos los tamaños, en todos los rubros. Y aprendimos algo importante: nadie se entera de su Shadow AI hasta que alguien lo ayuda a verlo.
Por eso armamos un servicio específico para esto. Empezamos por una auditoría confidencial que mapea el uso real de IA dentro de tu organización —sin sanciones, sin acusaciones, sin generar miedo en el equipo. Después diseñamos con vos la política de uso responsable, adaptada a tu industria, a tu marco regulatorio y a las herramientas que tu gente necesita usar. Te ayudamos a elegir y desplegar las plataformas empresariales seguras. Y formamos a tus equipos con casos reales para que la cultura cambie de verdad.
No vendemos miedo. Te acompañamos a salir del miedo.
La última imagen
Volvé por un momento a la analista del principio. La del reporte, la que cerró la pestaña y se fue a su casa pensando que había hecho un buen trabajo. Ella es tu mejor empleada. La que te ahorra horas, la que entiende tu negocio, la que no se queja, la que entrega. La querés tener.
El problema no es ella. El problema es que está sola, sin política, sin herramienta, sin formación, frente a una tecnología que va más rápido que cualquier comité interno. Tu mejor empleada está expuesta, y por estar expuesta ella, también lo estás vos.
La buena noticia es que esto se puede ordenar antes del incidente. La mala es que el momento de hacerlo es ahora, no después de la llamada del cliente enojado.
Deja un comentario