IA generativa en la empresa: 8 buenas prácticas seguras

ChatGPT, Microsoft Copilot y Gemini ya son parte del trabajo diario en muchas empresas, se haya decidido o no. Según datos de prevención de fuga de información analizados por Verizon en su informe DBIR 2026, el 45% de los empleados ya usa IA de forma habitual en sus equipos corporativos, frente al 15% del año anterior, y el 67% entra a estos servicios con cuentas que no son de la empresa. Esa «IA en la sombra» es uno de los riesgos de fuga de información que más crece. Estas son 8 buenas prácticas para aprovechar la IA generativa sin exponer a tu empresa.

¿Por qué tu empresa necesita reglas para usar IA generativa?

El problema no es la herramienta, sino usarla sin reglas. El mismo informe de Verizon detectó que la IA en la sombra ya es la tercera acción no maliciosa más común del personal interno en sus datos de prevención de fuga de 2025, cuatro veces más que el año anterior, y que lo que más se sube a modelos externos es código fuente. La tendencia venía de antes: en el Work Trend Index 2024 de Microsoft y LinkedIn, el 78% de quienes usaban IA en el trabajo llevaba sus propias herramientas, cifra que subía al 80% en las pymes.

Las 8 buenas prácticas

1. Publica una política de uso de IA

Define qué herramientas están aprobadas, para qué se pueden usar, qué está prohibido y a quién consultar. Una política de una página que todos conocen funciona mejor que una prohibición que nadie respeta.

2. Define qué datos nunca entran a un chatbot

Clasifica tu información y deja por escrito que en herramientas no aprobadas no se pegan datos personales, datos sensibles, contratos, secretos comerciales, código fuente ni credenciales. El OWASP Top 10 para aplicaciones con LLM recomienda justamente orientar a los usuarios para que no ingresen información sensible.

3. Usa cuentas corporativas con protección de datos

Las garantías de privacidad de los proveedores corresponden a sus planes empresariales. Microsoft indica que en Microsoft Copilot los prompts y las respuestas no se usan para entrenar los modelos. OpenAI declara que, por defecto, no entrena sus modelos con los datos de ChatGPT Business, Enterprise y la API, y que el cliente es dueño de sus entradas y salidas. Google Workspace señala que no usa los datos del cliente para entrenar modelos sin su permiso. Por eso, el trabajo con información de la empresa debe hacerse con cuentas corporativas, no personales.

4. Revisa los permisos antes de activar un asistente

Copilot y Gemini respetan los permisos existentes: ven lo que el usuario puede ver. Si una carpeta de SharePoint, Teams o Drive está compartida por error con toda la empresa, el asistente puede resumir su contenido para cualquiera. Ordenar permisos y etiquetas de confidencialidad es un paso previo indispensable, como explica la documentación de privacidad de Microsoft Copilot.

5. Revisa siempre lo que responde la IA

La IA generativa puede producir contenido erróneo dicho con total seguridad. El NIST lo llama «confabulación» en su perfil de IA generativa (NIST AI 600-1), y el propio Microsoft advierte que las respuestas no están garantizadas como 100% correctas. Regla práctica: la IA redacta y una persona valida, sobre todo en cifras, temas legales, salud o finanzas.

6. Cuidado con las instrucciones ocultas

La inyección de prompts es el riesgo número uno del OWASP Top 10 para LLM 2025: un correo, un PDF o una página web que le pides resumir a la IA puede traer instrucciones ocultas que alteran su comportamiento. Si usas agentes o integraciones que pueden enviar correos o modificar archivos, limita sus permisos al mínimo necesario.

7. No automatices decisiones sobre personas sin salvaguardas

Desde el 1 de diciembre de 2026, la Ley 21.719 dará a las personas el derecho a oponerse a decisiones basadas únicamente en el tratamiento automatizado de sus datos, incluida la elaboración de perfiles, cuando les produzcan efectos jurídicos o les afecten significativamente. También exigirá una evaluación de impacto antes de ese tipo de tratamientos. Si usas IA para seleccionar personal, evaluar desempeño o calificar clientes, mantén una revisión humana real.

8. Capacita al equipo y mide el uso

Una política sin formación no funciona. Capacitaciones breves y recurrentes, junto con un registro de qué herramientas se usan, permiten detectar la IA en la sombra a tiempo. Si buscas un marco más formal, el NIST AI Risk Management Framework (de uso voluntario) y la norma ISO/IEC 42001, que es certificable, sirven para ordenar la gestión de riesgos de IA.

¿Qué dice hoy la regulación chilena sobre IA?

Chile todavía no tiene una ley de inteligencia artificial vigente. Existe una Política Nacional de Inteligencia Artificial, actualizada mediante el Decreto 12 del Ministerio de Ciencia, publicado el 28 de enero de 2025, que incorpora expresamente la IA generativa. El proyecto de ley que regula los sistemas de IA (boletín 16821-19) pasó de la Cámara al Senado en octubre de 2025, según el Ministerio de Ciencia, y sigue en discusión. Lo que sí está por regir es la nueva normativa de datos personales: revisa nuestro checklist de la Ley 21.719.

¿Por dónde empezar?

Un primer paso realista para esta semana: haz un inventario de las herramientas de IA que usa hoy tu equipo, elige las que aprobarás con plan empresarial y publica una política breve. Después revisa permisos y capacita.