La inteligencia artificial ya se utiliza para redactar textos, generar código, analizar documentos, diseñar materiales, resumir reuniones o acelerar tareas de investigación. Sin embargo, muchas empresas han centrado sus primeras reglas en la protección de datos personales o en la confidencialidad, dejando en segundo plano otro activo crítico: la propiedad intelectual.
El riesgo no se limita a que un empleado introduzca información sensible en una herramienta externa. También puede afectar a quién posee un contenido generado con IA, si una empresa puede utilizarlo comercialmente, cómo se demuestra la autoría de un diseño o qué ocurre cuando una herramienta procesa código, planos, metodologías o documentación propia.
Por este motivo, el uso corporativo de IA debe integrarse en las políticas de propiedad intelectual, seguridad de la información, contratación, desarrollo de producto y gestión de terceros. No se trata de prohibir la tecnología, sino de establecer unas condiciones de uso que permitan aprovecharla sin perder control sobre los activos que diferencian a la organización.
Qué se considera propiedad intelectual en el uso de IA
Antes de redactar una política, la empresa debe identificar qué tipos de activos quiere proteger. La propiedad intelectual no se limita a patentes o marcas. En el contexto empresarial también puede incluir:
- Código fuente, scripts, configuraciones y arquitecturas técnicas.
- Diseños, planos, prototipos, modelos, ilustraciones y materiales creativos.
- Manuales, metodologías, procedimientos y documentación interna.
- Estrategias comerciales, estudios de mercado, propuestas y hojas de ruta.
- Bases de conocimiento, taxonomías, instrucciones internas y procesos de trabajo.
- Secretos empresariales y otra información cuyo valor depende de que no sea pública.
- Contenidos elaborados por empleados, colaboradores o proveedores bajo contrato.
Esta clasificación debe conectarse con el inventario de información de la organización. No todos los activos tienen el mismo nivel de sensibilidad ni requieren las mismas medidas. Un texto publicitario genérico no debe gestionarse igual que un algoritmo propio o el diseño de un producto aún no anunciado.
Si la empresa no sabe qué conocimiento es estratégico, tampoco puede definir cómo debe utilizarse con IA.
El primer control: clasificar la información antes de introducirla
Una política eficaz debe indicar qué materiales pueden utilizarse en cada tipo de herramienta. La clasificación puede ser sencilla, siempre que sea comprensible y aplicable en el trabajo diario.
Por ejemplo, una organización puede establecer cuatro niveles:
- Información pública: contenidos publicados o autorizados para difusión abierta.
- Información interna: materiales destinados al funcionamiento de la empresa, pero no divulgados externamente.
- Información confidencial: información de clientes, proveedores, proyectos, código o documentos sujetos a restricciones.
- Información estratégica o reservada: secretos empresariales, activos críticos, diseños no publicados y conocimiento cuya exposición podría causar un perjuicio relevante.
La regla general debería ser que la información confidencial, estratégica o reservada no se introduzca en herramientas de IA no aprobadas. En algunos casos, el uso podría autorizarse mediante una solución corporativa con garantías contractuales y técnicas adecuadas, pero esa decisión debe basarse en una evaluación previa y no en la percepción del usuario.
También conviene prohibir la combinación de fragmentos. Un empleado puede pensar que cada parte aislada carece de importancia, aunque la suma de varios documentos revele la arquitectura de un producto, una estrategia comercial o una metodología propietaria.
Diferenciar herramientas aprobadas y no aprobadas
No todas las plataformas de IA ofrecen las mismas condiciones. La empresa debe mantener un catálogo de herramientas autorizadas y documentar, al menos, quién es el proveedor, qué funcionalidades se utilizan, qué datos procesa, dónde se almacenan y qué controles existen sobre las entradas y salidas.
La evaluación debería incluir preguntas como:
- ¿El proveedor utiliza las consultas o los archivos para entrenar sus modelos?
- ¿Se puede desactivar ese uso y queda constancia contractual?
- ¿Qué ocurre con los datos al cancelar la cuenta?
- ¿Qué subcontratistas participan en el servicio?
- ¿Cómo se gestionan los accesos, los registros y la eliminación de información?
- ¿Existen restricciones sobre el uso comercial de los resultados?
- ¿Cómo se notifican cambios relevantes en las condiciones del servicio?
Estas cuestiones no sustituyen a una revisión jurídica o contractual cuando el riesgo sea elevado. Además, la aprobación de una herramienta no debe interpretarse como autorización para introducir cualquier tipo de información. El catálogo debe estar vinculado a las reglas de clasificación y a los casos de uso permitidos.
Regular la titularidad y el uso de los resultados
La política debe explicar qué pasos seguir antes de utilizar comercialmente un resultado generado o transformado con IA. El hecho de que una herramienta produzca un texto, una imagen o una pieza de código no resuelve automáticamente las cuestiones de autoría, titularidad, originalidad o posibles derechos de terceros.
Para reducir incertidumbres, la empresa puede establecer controles como:
- Identificar cuándo se ha utilizado IA durante la creación de un activo.
- Conservar una descripción del propósito, la herramienta y el nivel de intervención humana.
- Revisar los resultados antes de incorporarlos a productos, campañas, documentación o código.
- Verificar que no contienen información confidencial de la empresa, clientes o terceros.
- Comprobar licencias, restricciones y condiciones de uso aplicables a la herramienta.
- Evitar presentar como completamente original un material que no haya sido revisado.
- Documentar la aprobación del área responsable cuando el activo tenga valor estratégico.
La trazabilidad no pretende convertir cada tarea en un expediente burocrático. Debe ser proporcional al riesgo. Para una lluvia de ideas interna bastará con una referencia en el proyecto. Para una librería de software, un diseño industrial o una campaña comercial, puede ser necesario conservar más evidencias y realizar una revisión especializada.
Protección del código y del conocimiento técnico
El código es uno de los ámbitos donde la falta de control puede tener consecuencias más amplias. Introducir una función, un fragmento de arquitectura o un error concreto en una herramienta externa puede revelar información sobre el producto y generar dudas sobre licencias o reutilización.
Las reglas internas deberían establecer que el código propietario solo puede procesarse mediante herramientas aprobadas y dentro de los repositorios o entornos definidos por la empresa. También conviene limitar el acceso según la función, registrar el uso cuando sea viable y aplicar revisiones técnicas antes de incorporar sugerencias generadas por IA.
El resultado debe someterse a los controles habituales de desarrollo seguro: revisión por pares, análisis de dependencias, pruebas, comprobaciones de licencias y validaciones de seguridad. La IA puede acelerar la programación, pero no sustituye la responsabilidad del equipo que mantiene el software.
Integrar la política en contratos y procesos
La protección de la propiedad intelectual no depende únicamente de los empleados. Los contratos con proveedores, consultoras, colaboradores y desarrolladores externos deben definir cómo pueden utilizarse herramientas de IA durante el servicio.
Es recomendable concretar:
- Quién conserva los derechos sobre los materiales entregados.
- Qué información puede procesar el proveedor y con qué herramientas.
- Qué obligaciones de confidencialidad se aplican a las entradas y resultados.
- Si el proveedor debe informar de cualquier uso de IA relevante.
- Qué revisiones, evidencias y garantías debe proporcionar.
- Qué sucede con los materiales al finalizar la relación contractual.
Estas condiciones deben reflejarse también en los procesos de compras, desarrollo, marketing, investigación, recursos humanos y gestión documental. Una política que solo se publica en la intranet y no aparece en los flujos reales de trabajo tendrá una eficacia limitada.
Formación, supervisión y respuesta ante incumplimientos
Las personas necesitan ejemplos concretos para aplicar la política. No basta con indicar que la información confidencial está prohibida. La formación debe mostrar casos habituales: resumir un contrato, corregir código, traducir documentación técnica, preparar una oferta o generar una imagen para un producto no anunciado.
También debe existir un canal para consultar dudas y comunicar usos no autorizados sin temor a ocultar el problema. Si se detecta una exposición, la respuesta puede incluir la identificación de la información afectada, la revisión de registros, la solicitud de eliminación cuando sea posible, la evaluación contractual y la adopción de medidas para evitar que se repita.
Los controles técnicos pueden ayudar, pero no deben plantearse como una solución absoluta. La prevención puede combinar gestión de identidades, restricciones de acceso, herramientas corporativas, filtrado de información sensible, registros de actividad y revisiones periódicas. La supervisión debe centrarse especialmente en los casos de uso de mayor impacto.
Acciones concretas para empezar
Una empresa que aún no tenga un marco de control puede avanzar con un plan gradual:
- Elaborar un inventario de activos de propiedad intelectual y conocimiento estratégico.
- Clasificar la información con reglas fáciles de interpretar.
- Identificar qué herramientas de IA se utilizan realmente, incluidas las no autorizadas.
- Crear un catálogo de soluciones aprobadas y casos de uso permitidos.
- Incorporar requisitos de IA y propiedad intelectual en contratos y compras.
- Definir cuándo se requiere revisión jurídica, técnica o de seguridad.
- Formar a los equipos con ejemplos relacionados con sus tareas.
- Revisar la política al cambiar las herramientas, los procesos o el contexto regulatorio.
El objetivo no es eliminar toda incertidumbre, sino hacerla visible y gestionable. La inteligencia artificial puede mejorar la productividad y la innovación, pero su uso debe respetar el valor del conocimiento empresarial. Una política clara, respaldada por controles proporcionados y responsabilidad de la dirección, ayuda a que la empresa innove sin entregar accidentalmente sus activos más importantes.
