La pregunta no es solo “¿qué puede hacer la IA?”
También debemos preguntar “¿qué información estamos entregando para que lo haga?”. Una herramienta útil puede convertirse en un canal de exposición si se introducen datos que no deberían salir de los entornos autorizados.
1. No pegues información sensible por defecto
Contratos, credenciales, datos de clientes, información financiera, secretos comerciales, vulnerabilidades no corregidas o expedientes internos requieren controles específicos.
2. Usa herramientas aprobadas por la organización
Las versiones empresariales pueden ofrecer condiciones de tratamiento, retención y administración diferentes a las cuentas personales. La política interna debe indicar qué herramientas están permitidas.
3. Minimiza
Si la tarea puede resolverse con una muestra ficticia o anonimizada, no uses el documento real.
4. Revisa la clasificación de la información
Una etiqueta como pública, interna, confidencial o restringida permite aplicar reglas comprensibles y repetibles.
5. No uses la IA como almacén de secretos
Nunca introduzcas claves API, contraseñas, tokens, certificados privados o datos de acceso para “que te ayude a configurarlos”.
6. Comprueba el resultado
Una respuesta convincente puede contener errores. Las decisiones de seguridad, cumplimiento o configuración técnica deben validarse.
7. Registra usos de alto impacto
Cuando la IA participa en análisis de riesgo, decisiones de seguridad o documentación regulada, puede ser necesario conservar evidencia sobre fuentes, revisión humana y aprobación.
8. Forma a los equipos con ejemplos reales
Una política de veinte páginas sirve de poco si nadie sabe si puede copiar una captura de pantalla, un correo de cliente o un fragmento de código.
La mejor política de IA no es la que prohíbe todo: es la que deja claro qué se puede hacer, con qué herramienta y con qué datos.
