La IA progresa a una velocidad que supera la regulación corporativa: peligros de implementar inteligencia artificial sin una evaluación exhaustiva
La presión por integrar la inteligencia artificial (IA) en los entornos corporativos genera una contradicción: mientras las nuevas soluciones prometen agilizar procesos, disminuir gastos y elevar la productividad, su incorporación también puede desencadenar vulnerabilidades de seguridad, revelar datos confidenciales y multiplicar decisiones difíciles de controlar. En este contexto, los expertos del sector coinciden en que el reto para las organizaciones ya no consiste únicamente en adoptar IA, sino en saber distinguir qué iniciativas merecen pasar a producción y cuáles deben permanecer en fase experimental.
Esta advertencia adquiere especial relevancia en octubre, Mes de la Ciberseguridad, y en medio de una transformación tecnológica que avanza más rápido que la capacidad de muchas compañías para establecer controles internos. El fenómeno del shadow AI, que implica el uso de herramientas de IA fuera del control de los departamentos de sistemas, se destaca como uno de los riesgos más evidentes.
Para Yamandú Giménez Wenzel, director senior de soluciones en Aditi Consulting, empresa global de consultoría tecnológica e ingeniería enfocada en la transformación digital, la lección principal que pueden extraer las organizaciones de la IA es reconocer qué proyectos no deben escalarse. Desde otra perspectiva, Facundo Balmaceda, especialista en ciberseguridad de SONDA Argentina, compañía de servicios tecnológicos y transformación digital, alerta sobre la falta de responsabilidad y supervisión con la que se están introduciendo estas herramientas.
Ambas posturas convergen en un mismo problema: la rapidez de la innovación está dejando atrás la madurez de los mecanismos de gobernanza, seguridad y control empresarial.
La IA se introdujo en las empresas antes de que existieran normas para su uso
La IA generativa transformó los hábitos laborales en un lapso muy breve. Profesionales de diversas áreas empezaron a emplear asistentes digitales para redactar documentos, analizar datos, revisar contratos, crear propuestas comerciales y automatizar tareas.
Sin embargo, en numerosos casos esa adopción se produjo antes de que las organizaciones establecieran qué tipo de información podía compartirse y cuáles eran las herramientas autorizadas.
“La IA generativa irrumpió en las empresas por la ventana, no por la puerta principal: fueron los empleados quienes la adoptaron antes que los equipos de sistemas”, señaló Balmaceda.
Según el experto de SONDA, la consecuencia es que hoy existen sistemas de IA procesando datos y participando en decisiones empresariales sin un marco suficientemente definido sobre sus permisos y responsabilidades.
Un caso típico es el de un empleado que introduce un contrato o una base de clientes en un chatbot gratuito para acelerar una tarea. Aunque la intención no sea maliciosa, puede ocasionar la fuga de información sensible fuera del entorno controlado por la empresa.
Este fenómeno, conocido como shadow AI, representa una evolución de los problemas vinculados al uso de tecnologías no autorizadas dentro de las organizaciones, tradicionalmente agrupados bajo el concepto de shadow IT.
Motivos por los que no todas las soluciones de IA deben pasar a producción
El desafío no se limita a la ciberseguridad. También afecta las decisiones de inversión y los costos asociados a la implementación de tecnologías que evolucionan constantemente.
Giménez Wenzel afirma que los ciclos de innovación se están acortando cada vez más. Mientras las empresas intentan comprender las capacidades de una generación de modelos, emergen nuevas versiones, agentes autónomos y herramientas de automatización.
En este escenario, la pregunta central deja de ser cuán rápido se puede incorporar una tecnología y pasa a ser si realmente conviene emplearla en un proceso de negocio.
Para enfrentar este reto, Aditi Consulting creó AI Labs, un espacio interno de experimentación donde se prueban nuevas herramientas antes de recomendarlas o implementarlas en proyectos de clientes.
El propósito es detectar fallas, costos, limitaciones y requisitos de control antes de trasladar los desarrollos a una operación real.
“Si todo lo que se prueba termina escalándose, probablemente no estamos aprendiendo lo suficiente”, comentó Giménez Wenzel.
El ejecutivo sostiene que las empresas deben diseñar procesos de experimentación que sirvan tanto para validar iniciativas como para descartarlas. De lo contrario, el entusiasmo por incorporar novedades puede traducirse en inversiones que no generan los resultados esperados.
Posibilidad de reducir costos y reactivar proyectos pospuestos
Más allá de los riesgos, la IA también puede transformar la estructura de costos de determinados proyectos tecnológicos.
Giménez Wenzel cita como ejemplo la modernización de sistemas legacy, es decir, aplicaciones antiguas que continúan soportando procesos críticos en las organizaciones.
En muchos casos, ese software fue creado hace décadas por profesionales que ya no forman parte de la empresa. Antes de reemplazarlo, los equipos tecnológicos deben comprender su funcionamiento, una tarea que tradicionalmente podía requerir meses de trabajo.
Desde Aditi Consulting desarrollaron una solución basada en IA capaz de analizar ese código y generar documentación que facilite su modernización.
El sistema se probó inicialmente con desarrollos internos y luego se incorporó a proyectos de clientes.
Según el especialista, esta tecnología permite disminuir parte del trabajo manual necesario y ejecutar iniciativas con equipos más reducidos y plazos más ajustados.
La mejora en eficiencia también abre oportunidades para empresas que habían pospuesto inversiones tecnológicas debido a sus costos o al número de recursos humanos requeridos.
No obstante, Giménez Wenzel advierte que una herramienta que funciona correctamente en una prueba no garantiza estar preparada para operar a gran escala.
Datos confidenciales, algoritmos manipulados y decisiones sin supervisión
Los peligros se intensifican cuando las organizaciones empiezan a integrar IA en procesos que manejan información sensible o decisiones de alto impacto económico.
Balmaceda detecta vulnerabilidades tanto en plataformas externas como en asistentes diseñados específicamente para una empresa.
“Un chatbot corporativo mal desarrollado equivale a dejar una puerta trasera abierta en la recepción de tu compañía”, advirtió.
Uno de los problemas surge cuando estos sistemas carecen de restricciones adecuadas para determinar qué documentos pueden consultar y qué información está autorizada a divulgar.
También aumentan los intentos de manipulación mediante las denominadas inyecciones de prompt, técnicas que buscan alterar el comportamiento de una IA introduciendo instrucciones dentro del contenido que debe procesar.
El especialista menciona casos en los que documentos incluyen texto oculto, mediante letras blancas sobre fondo blanco o fuentes diminutas, con el objetivo de influir en evaluaciones realizadas por sistemas automatizados.
Estas prácticas pueden afectar procesos de selección de personal, análisis de currículos o evaluación de presupuestos comerciales.
Aunque esas instrucciones no siempre serán obedecidas por la IA, pueden introducir sesgos si no existen controles adecuados.
El riesgo también se extiende a decisiones empresariales como la aprobación de créditos, la gestión de accesos informáticos o la elección de candidatos para cubrir puestos laborales.
“Cuanto mayor sea el impacto de una decisión sobre un cliente, un empleado o el negocio, mayor deberá ser el nivel de supervisión humana. La IA puede acelerar procesos, pero la responsabilidad final debe permanecer en manos de las personas”, sostuvo Balmaceda.
Gobernanza de datos: el nexo entre innovación y ciberseguridad
Aunque provienen de problemáticas distintas, los expertos coinciden en la necesidad de instaurar mecanismos de gobernanza desde las etapas iniciales de adopción de IA.
Para Balmaceda, las organizaciones deben comenzar por clasificar la información y determinar cuáles son los datos críticos, sensibles o públicos.
“La clave es la gobernanza de datos. Antes de preguntarse qué herramienta usar, la empresa debe identificar qué información es crítica, cuál es sensible y cuál es pública. En resumen, no se trata de prohibir la IA, sino de establecer reglas claras”, explicó.
Desde Aditi Consulting, Giménez Wenzel plantea que los procesos de experimentación deben incorporar controles de costos, trazabilidad y cumplimiento normativo desde el inicio.
Esto implica que, cuando un agente de IA tome una decisión o cometa un error, la organización pueda reconstruir qué ocurrió y cuáles fueron los factores que intervinieron.
Sin esos mecanismos, incluso un desarrollo exitoso en su fase experimental puede convertirse en una fuente de riesgos al ser utilizado masivamente.
Las soluciones empresariales con permisos y políticas de seguridad gestionadas por las organizaciones representan una alternativa frente al uso indiscriminado de herramientas gratuitas. Sin embargo, su incorporación tampoco elimina la necesidad de capacitar a los empleados y revisar los procesos internos.
El reto para las compañías: innovar sin perder el control
La rapidez con la que evoluciona la IA plantea una dificultad adicional para los responsables corporativos: tomar decisiones de inversión sobre tecnologías cuyas capacidades y costos pueden cambiar en pocos meses.
Giménez Wenzel conside…
Fuente: Ambito.com
