Blog

Un ingeniero de Samsung tenía un problema simple: el código fuente de un equipo de fabricación de chips tiraba un error que no lograba destrabar. Como cualquier desarrollador del mundo en marzo de 2023, abrió ChatGPT, pegó el fragmento de código y le pidió ayuda para corregirlo. En minutos tuvo la solución. Lo que no sabía —o no dimensionó— es que acababa de sacar información de propiedad intelectual de la compañía y entregársela a un servidor externo, fuera de cualquier control corporativo. No fue el único: en las semanas siguientes, otro empleado subió a la misma herramienta el código de un test para detectar chips defectuosos, y un tercero grabó una reunión interna, la transcribió y le pidió a la IA que le armara la minuta. Tres personas, tres áreas distintas, un mismo gesto. Ninguna robó nada. Ninguna tuvo mala intención. Samsung terminó prohibiendo el uso de IA generativa en toda la compañía, pero para entonces la información ya había salido y no había forma de traerla de vuelta.

Esto ya pasó. Y la pregunta que debería inquietar a cualquier empresa hoy no es si le puede pasar lo mismo, sino si ya le está pasando ahora mismo, sin que nadie se haya dado cuenta.

El empleado común

No hace falta ser ingeniero para que le suceda algo así. Lo hace la persona de recursos humanos que le pide a un chatbot gratuito que le redacte una carta de desvinculación con datos reales de un empleado. Lo hace el vendedor que sube una planilla de clientes para que la IA le arme una estrategia de ventas. Lo hace el abogado que pega un contrato en negociación para pedir una revisión más rápida. Ninguno de ellos piensa que está haciendo algo peligroso. Están, simplemente, tratando de hacer mejor su trabajo con la herramienta que tienen a mano.

Ese comportamiento tiene nombre: Shadow AI, o “IA en las sombras”. Es el uso de chatbots, asistentes o aplicaciones de inteligencia artificial que los empleados incorporan a su rutina sin que el área de sistemas o de seguridad de la empresa lo sepa, lo apruebe o pueda monitorearlo. No es un fenómeno de una industria en particular ni de un tipo de empresa en particular. Es lo que hace, todos los días, una cantidad enorme de personas alrededor del mundo.

Qué información se está cargando

El problema no es abstracto. Tiene nombre y apellido, literalmente. Según Cyberhaven Labs, que analizó el comportamiento de aproximadamente siete millones de trabajadores, el 34,8% de los datos corporativos que hoy se comparten con herramientas de inteligencia artificial son sensibles, contra apenas el 10,7% de hace dos años. En otras palabras: la proporción de datos corporativos sensibles que los empleados introducen en herramientas de IA se triplicó en dos años.

¿Qué tipo de información es esa? Contratos en negociación. Currículums con datos personales de candidatos. Bases de datos de clientes. Código fuente. Números de una negociación que todavía no se cerró. Historias clínicas, en el caso de empresas de salud. Nada de eso es robado en el sentido tradicional del término. Simplemente se pega en una ventana de chat, y desde ese momento la información puede quedar procesada o almacenada por un tercero bajo condiciones que la empresa debe conocer y evaluar.

El problema

Acá aparece el núcleo real del asunto, y es una frase que vale la pena subrayar: el problema no es que los empleados usen inteligencia artificial. El problema es que las empresas todavía no saben qué información están entregándole.

No es un problema de mala fe ni de falta de compromiso. Es un problema de visibilidad. Muchas organizaciones no tienen un inventario completo de qué herramientas de IA circulan puertas adentro, más allá de las pocas que aprobaron formalmente. Y lo que no se puede ver, no se puede proteger.

La falsa sensación de seguridad

Hay una ilusión bastante cómoda en muchas empresas: creer que el problema está resuelto porque alguien bloqueó ChatGPT desde la red corporativa. Pero bloquear una herramienta no significa controlar el uso de inteligencia artificial. Significa, en el mejor de los casos, controlar una puerta. Y mientras tanto, hay otras abiertas: el celular personal, una cuenta particular, una notebook, una extensión del navegador o una función de IA que apareció dentro de un software que la compañía ya utilizaba.

“No tenemos ChatGPT habilitado” no es lo mismo que “nuestros empleados no usan inteligencia artificial”. La usan desde el celular, desde una cuenta personal, desde una notebook que sacan de la oficina, o desde una función de IA que ya viene incorporada, sin que nadie la haya activado a propósito, dentro de un software que la empresa contrató hace años para otra cosa. Prohibir una herramienta no elimina el hábito: solo lo empuja a un lugar todavía más difícil de ver.

La pregunta incómoda es mucho más sencilla: ¿cuántos de esos datos que hoy creemos que están dentro de la empresa ya fueron copiados y pegados en una herramienta de IA? Probablemente nadie tenga la respuesta. Y ese es, precisamente, el problema.

El costo

Este no es un riesgo teórico, tiene un precio, y ese precio ya fue medido. Según el Cost of a Data Breach Report 2025 de IBM, una de cada cinco organizaciones relevadas reportó una filtración vinculada con Shadow AI. Entre las organizaciones que sufrieron incidentes relacionados con IA, el 97% dijo no contar con controles adecuados de acceso. El impacto económico es todavía más duro: cuando el Shadow AI está involucrado, el costo total de una filtración sube en promedio 670.000 dólares por encima del costo habitual de una brecha de seguridad.

Y conviene hacer una aclaración antes de seguir: ni siquiera contratar una herramienta de IA de forma oficial y pagar por ella elimina el riesgo por completo. En marzo de 2023, un bug en la librería de código abierto Redis-py, utilizada por OpenAI para gestionar parte de la infraestructura de ChatGPT, hizo que durante una ventana de nueve horas algunos usuarios de ChatGPT Plus pudieran ver información relacionada con otros suscriptores activos. La información potencialmente expuesta incluía nombre, correo electrónico, domicilio de facturación, tipo de tarjeta, últimos cuatro dígitos y vencimiento. OpenAI señaló que el fallo pudo haber expuesto información de pago del 1,2% de los suscriptores Plus activos durante esa franja horaria y aclaró que no se habían expuesto números completos de tarjeta. Fue un error técnico. Pero deja una lección clara: la seguridad de los datos que viajan hacia una IA no depende solo de lo que hace el empleado. Depende también de la robustez del lado que los recibe, algo que ninguna empresa que delega esa información controla del todo.

A esto se suma el costo legal y reputacional, que no siempre entra en una planilla de Excel pero pesa igual: datos personales de clientes o empleados que terminan, sin que nadie lo autorizara, siendo procesados por un proveedor de IA. En materia de protección de datos, eso puede implicar obligaciones y riesgos regulatorios concretos, además de eventuales problemas vinculados con secreto comercial, confidencialidad y responsabilidad frente a terceros.

Qué debería hacer una empresa mañana mismo

Prohibir la IA puede ser la decisión más sencilla de tomar y, al mismo tiempo, una de las menos útiles. Porque el empleado no deja de necesitar resolver el problema que tenía delante. Si la herramienta autorizada no existe, buscará otra. Y cuando la empresa finalmente descubra qué ocurrió, el dato ya habrá salido.

La respuesta, entonces, es gobernarla. Y eso empieza con pasos simples, que cualquier empresa puede dar sin esperar una gran reforma regulatoria:

• Mapear, primero que nada, qué herramientas de IA están usando realmente los equipos, más allá de las que la empresa aprobó formalmente.
• Ofrecer una alternativa corporativa segura y accesible. Si la empresa no da una herramienta buena, el empleado va a buscar una por su cuenta, y ahí empieza todo de nuevo.
• Escribir y comunicar una política clara, con ejemplos concretos de qué información nunca debe salir de los canales controlados: datos de clientes, información financiera, código fuente, contratos en negociación.
• Entender que esto es, ante todo, un problema de gobernanza de datos, no una cuestión de disciplina individual. La responsabilidad final es de quien decide cómo se administra la información de la empresa, no de quien —de buena fe, y con la mejor intención— trató de resolver más rápido su trabajo del día.

La inteligencia artificial ya está adentro de las empresas. El problema es que muchas todavía no saben por dónde entró, qué información está viendo ni qué está saliendo con ella.

La discusión, entonces, ya no debería ser si los empleados pueden usar IA. La discusión es quién gobierna los datos cuando la IA empieza a formar parte del trabajo cotidiano.

Porque cuando una empresa descubre qué información salió por una ventana, normalmente ya es demasiado tarde para cerrarla.

La discusión sobre inteligencia artificial se corrió de lugar: el problema ya no es qué contesta un modelo, sino qué hace un agente en nombre de la organización —y si alguien puede probarlo después.

Durante los últimos dos años discutimos la inteligencia artificial como si fuera un problema de contenido: qué responde el modelo, si alucina, si discrimina, si reproduce material ajeno. Esa discusión no terminó, pero quedó corta. Lo que hoy se está desplegando en las organizaciones de la región no responde: ejecuta. Abre un ticket, consulta una base, escribe en un CRM, cruza un padrón, aprueba un reintegro, contesta un correo, invoca a otro sistema y, cada vez con más frecuencia, invoca a otro agente.

Ese desplazamiento —del asistente al agente— no es una mejora de producto. Es un cambio de naturaleza. Un modelo que sugiere deja al humano en el centro de la decisión. Un agente que actúa lo corre del centro. Y cuando el humano se corre, se corren con él tres cosas que el Derecho necesita para funcionar: la autoría del acto, la voluntad que lo respalda y la prueba de lo que efectivamente ocurrió.

El punto ciego: nadie sabe cuántos agentes tiene

En los relevamientos que venimos haciendo en Data Governance Latam, la pregunta que más incomoda no es sobre modelos ni sobre proveedores. Es mucho más simple: ¿cuántos agentes están corriendo hoy en su organización, con qué credenciales y contra qué datos? La respuesta casi nunca existe en un documento. Existe, en el mejor de los casos, en la cabeza de tres personas de distintas áreas que nunca se sentaron juntas.

Esto no ocurre por negligencia. Ocurre porque la adopción de agentes no pasa por el circuito clásico de compra de tecnología. Vienen embebidos en suites que la empresa ya tiene licenciadas, se activan con un toggle, se configuran desde un área de negocio y se conectan a los mismos repositorios donde están los datos personales, las historias clínicas, los legajos del personal, la cartera comercial. El resultado es un parque de automatismos que crece más rápido que el inventario que debería describirlo.

Un agente no es una herramienta más: es un tratamiento de datos con autonomía operativa y credenciales propias.

Los riesgos que no están en el checklist

El análisis de riesgo tradicional de IA —sesgo, exactitud, transparencia— sigue siendo necesario, pero no alcanza para describir lo que introduce un agente. Hay cuatro problemas que aparecen sistemáticamente y que rara vez están cubiertos por las políticas vigentes:

• Permisos heredados. El agente suele operar con las credenciales del usuario que lo habilitó, o con una cuenta de servicio sobredimensionada. Hereda accesos que ese usuario jamás ejerció en la práctica, y los ejerce todos, a velocidad de máquina.
• Superficie de ataque semántica. La inyección de instrucciones —en un correo, en un documento, en el contenido de una web que el agente lee— convierte a un dato de entrada en una orden. El perímetro deja de ser la red y pasa a ser el texto.
• Cadena de terceros opaca. El agente llama a un modelo, que llama a una API, que llama a otro servicio. La transferencia internacional de datos deja de ser un evento contractual identificable y pasa a ser un comportamiento en tiempo de ejecución.
• Ausencia de registro útil. Muchas plataformas registran que hubo una interacción, no qué datos se leyeron, con qué instrucción, bajo qué versión de modelo y con qué salida. Es un log contable, no un log probatorio.

El problema no es el incidente: es no poder reconstruirlo

Toda la arquitectura regulatoria en materia de protección de datos —de la Ley 25.326 al RGPD, de la Ley 21.719 chilena a la LGPD brasileña— descansa sobre el principio de responsabilidad proactiva. Y la responsabilidad proactiva, despojada de retórica, significa una sola cosa: capacidad de demostrar. No basta con haber hecho las cosas bien; hay que poder probar que se hicieron bien, ante un regulador, ante un juez o ante un titular que ejerce sus derechos.

Ahí es donde el modelo agéntico expone la debilidad más seria. Cuando un proceso automatizado deriva en una filtración, en una decisión errónea o en un uso de datos fuera de finalidad, la primera pregunta del expediente no es técnica ni ética: es probatoria. Quién autorizó, qué instrucción recibió el sistema, a qué información accedió, en qué momento, y si la salida fue producto de una regla, de un modelo o de una manipulación externa. Sin trazabilidad diseñada de antemano, la accountability es una declaración de buenas intenciones que no sobrevive al primer requerimiento formal.

Conviene anotar un dato de mercado que anticipa hacia dónde va esto: los aseguradores ya están ajustando la letra chica. Las coberturas cíber tradicionales fueron redactadas para incidentes con un atacante externo y un vector identificable, no para un sistema propio que actuó autónomamente dentro del perímetro. La discusión sobre exclusiones y sobre qué evidencia se exige para liquidar un siniestro va a llegar a los directorios antes que la mayoría de las normas específicas.

La continuidad lógica del data governance

Frente a este escenario aparece la tentación de tratar la gobernanza de IA como una disciplina nueva, con su propio comité, su propio marco y su propia consultoría. Creemos que es un error de diagnóstico, y en Data Governance Latam lo venimos sosteniendo desde antes de que los agentes fueran el tema de la temporada: gobernar agentes no es empezar de cero, es la continuidad lógica de gobernar datos.

Quien ya construyó un inventario de bases y flujos tiene el esqueleto del inventario de agentes. Quien definió finalidades, bases de licitud y plazos de conservación tiene el criterio para evaluar si un automatismo puede acceder a un dato. Quien tiene un ROPA vivo, un procedimiento de evaluación de impacto y una matriz de roles y accesos ya construyó tres de los cinco controles que un agente necesita. Y quien trabajó la gestión de proveedores sabe que la pregunta relevante nunca fue el logo del proveedor, sino qué hace con los datos y qué evidencia entrega cuando algo sale mal.

La organización que hizo ese trabajo no tiene que reinventarse: tiene que extender su marco a un actor nuevo que no es humano, no es un empleado, no es exactamente un sistema pasivo y sin embargo actúa con efectos jurídicos. La que no lo hizo va a descubrir que el problema nunca fue la IA. Era la gobernanza de datos que se venía postergando, ahora con un multiplicador de velocidad encima.

Cinco preguntas para llevar al directorio

Más allá de los marcos y las certificaciones, hay cinco preguntas que cualquier órgano de administración debería poder responder hoy, sin convocar a un consultor:

1. Inventario. ¿Existe un registro único de agentes en producción, con responsable asignado por cada uno?
2. Alcance. ¿Sabemos a qué datos accede cada agente y por qué necesita ese acceso y no uno menor?
3. Intervención humana. ¿Qué decisiones puede tomar un agente sin validación humana, y quién definió ese umbral?
4. Evidencia. Si mañana hay un requerimiento de la autoridad de control, ¿podemos reconstruir qué hizo el agente, con qué datos y bajo qué instrucción?
5. Salida. ¿Existe un procedimiento probado para apagar un agente y contener su efecto, o solo sabemos cómo encenderlo?

Ninguna de las cinco es una pregunta de tecnología. Las cinco son de gobierno.

El horizonte normativo

El marco regulatorio se está moviendo, aunque de manera despareja. En Europa, el AI Act ya definió obligaciones escalonadas y la revisión del régimen de responsabilidad por productos alcanza al software. En la región, la Ley 21.719 de Chile instala un estándar de cumplimiento con autoridad de control y régimen sancionatorio propio; Brasil discute su marco de IA sobre una base de protección de datos ya madura; y en Argentina el proyecto de reforma de la ley de datos personales continúa en debate, con una discusión pendiente sobre decisiones automatizadas que no se puede resolver copiando artículos ajenos.

Pero apostar todo a la fecha de entrada en vigencia de una norma es un error de cálculo. La exigencia no va a llegar por vía regulatoria: va a llegar por contrato o mercado. Los cuestionarios de terceros, las cláusulas de auditoría de los clientes grandes, van a pedir evidencia de control sobre agentes bastante antes de que exista un régimen sancionatorio específico. Como siempre, la cadena de suministro regula más rápido que el legislador.

La conclusión es incómoda pero simple: la IA agéntica no crea un problema nuevo de gobernanza de datos. Lo hace visible, lo acelera y lo vuelve imposible de postergar.

En Data Governance Latam sabemos cómo ayudarte. Aguardamos tu contacto en contacto@datagovernancelatam.com

---