Tu empresa ya usa IA. ¿Podés demostrar que está bajo control?

La IA entró en la empresa antes de que existiera un plan para controlarla

En la mayoría de las empresas, la inteligencia artificial no llegó como parte de un programa formal. Entró de manera gradual: una función generativa dentro del CRM, un asistente para redactar propuestas, una herramienta que resume reuniones, un modelo conectado al producto o una automatización creada por un equipo para resolver una tarea puntual.

Cada incorporación puede parecer razonable de manera aislada. El problema aparece cuando se observan todas juntas. Muchas organizaciones ya utilizan IA en distintas áreas, pero no tienen una visión completa de dónde se usa, qué información recibe, quién autorizó cada caso ni qué ocurre si el resultado es incorrecto.

Mientras nadie haga preguntas, esa falta de orden puede pasar inadvertida. Pero cuando un cliente enterprise, un inversor, una licitación o una cadena de valor necesita evaluar el riesgo, la conversación cambia. Ya no alcanza con decir que la empresa usa proveedores reconocidos o que el equipo técnico revisa los resultados. Hay que poder mostrar cómo se toman las decisiones y qué controles existen.

El riesgo comercial no surge por usar IA. Surge cuando la empresa no puede explicar con claridad cómo la utiliza.

La pregunta que puede aparecer en tu próxima venta

Las empresas están incorporando preguntas sobre inteligencia artificial dentro de sus procesos habituales de evaluación de proveedores. No siempre mencionan una norma ni utilizan lenguaje especializado, preguntan cosas concretas.

Quieren saber qué funciones del producto dependen de IA, si los datos del cliente se envían a modelos externos, si esa información puede utilizarse para entrenamiento, quién revisa las respuestas, cómo se informa un error y qué sucede cuando cambia el proveedor o la versión del modelo.

Estas preguntas pueden aparecer dentro de un security review, una evaluación de privacidad, un due diligence, una renovación contractual o una licitación. En algunos casos llegan cuando la oportunidad comercial ya está avanzada y los equipos tienen poco tiempo para responder.

Una empresa que tiene la información ordenada puede contestar con precisión y respaldar cada afirmación. Una empresa que no la tiene debe reconstruir decisiones dispersas entre producto, tecnología, seguridad, legales y proveedores. Eso demora el proceso y aumenta la percepción de riesgo del comprador.

En ventas enterprise, la incertidumbre tiene costo. Puede traducirse en nuevas reuniones, cláusulas más restrictivas, revisiones adicionales o una decisión que se posterga.

Usar IA de terceros no elimina la responsabilidad de la empresa

Existe una idea equivocada: que estos controles solo son necesarios para compañías que desarrollan modelos propios. Sin embargo, gran parte del uso empresarial de IA depende de servicios externos.

Una empresa puede utilizar un modelo comercial para resumir documentos, clasificar consultas, analizar conversaciones, generar código, recomendar acciones o asistir a usuarios. Aunque no haya entrenado ese modelo, sigue tomando decisiones relevantes: qué proveedor contratar, qué datos enviar, para qué finalidad utilizar el resultado y cuánto control humano mantener.

También debe entender qué ocurre cuando el proveedor modifica sus condiciones, actualiza el modelo o incorpora nuevas funciones. Una herramienta aprobada para un uso interno limitado puede convertirse, con el tiempo, en parte de un proceso que afecta a clientes o empleados.

La responsabilidad empresarial no depende únicamente de quién creó la tecnología. Depende de cómo se la incorpora, qué decisiones se apoyan en ella y qué consecuencias puede producir.

Los cinco puntos que una empresa necesita tener claros

Dónde se está usando IA

El primer problema suele ser la falta de un inventario real. Las áreas contratan herramientas, activan funciones nuevas o prueban servicios sin que exista un registro central. Además, muchos productos tradicionales incorporan capacidades de IA después de haber sido aprobados.

El inventario no debería limitarse a los sistemas desarrollados internamente. Debe incluir proveedores, funcionalidades embebidas, automatizaciones, agentes, modelos utilizados mediante API y herramientas contratadas directamente por los equipos.

Para cada caso conviene registrar la finalidad, el responsable, los usuarios, los datos involucrados, el proveedor y el impacto potencial de una falla.

Qué datos recibe cada sistema

No todos los usos presentan el mismo riesgo. Una herramienta que mejora un texto público no tiene la misma exposición que un sistema que procesa contratos, historias clínicas, información financiera, código fuente o datos de clientes.

La empresa debe saber qué información se comparte, dónde se procesa, cuánto tiempo se conserva y qué compromisos ofrece el proveedor. También necesita definir qué datos no deberían introducirse y cómo controlar que esa regla se cumpla en la práctica.

Una política general puede indicar que no se cargue información confidencial. Sin visibilidad, capacitación y controles, esa declaración tiene poco valor operativo.

Quién autoriza un nuevo uso

Cuando no hay un proceso definido, la aprobación queda implícita. Un líder de área asume que tecnología revisó la herramienta; tecnología supone que legales validó las condiciones; legales se entera cuando el servicio ya está funcionando.

No todos los casos necesitan una evaluación extensa. El objetivo es establecer criterios proporcionales. Los usos de bajo impacto pueden seguir un circuito simple. Los que involucran datos sensibles, decisiones automatizadas o interacción directa con clientes deberían requerir una revisión más completa.

Lo importante es que exista una decisión identificable: quién evaluó el caso, con qué información y bajo qué condiciones fue aprobado.

Cuánto control humano existe

Decir que una persona participa del proceso no garantiza un control efectivo. Hay que precisar cuándo interviene, qué puede revisar, si cuenta con información suficiente y si tiene capacidad real para corregir el resultado.

En algunas tareas, una revisión posterior puede ser suficiente. En otras, la persona debe aprobar la salida antes de que produzca un efecto. El criterio depende de las consecuencias posibles y no solo de la precisión promedio del modelo.

La supervisión también requiere tiempo y capacitación. Un control que existe únicamente en una política, pero que nadie puede ejecutar durante la operación normal, no reduce el riesgo.

Qué ocurre cuando algo cambia o falla

Los sistemas de IA no permanecen estáticos. Cambian los modelos, las fuentes de datos, las instrucciones, las integraciones y los proveedores. También pueden aparecer errores que no fueron detectados durante la prueba inicial.

La empresa necesita definir qué cambios obligan a revisar un caso de uso, cómo se reporta un incidente, quién decide suspender una función y qué evidencia debe conservarse. Sin ese seguimiento, una aprobación realizada meses atrás puede dejar de representar el funcionamiento actual.

El error de responder con una política que nadie aplica

Cuando llega el primer cuestionario serio sobre IA, muchas empresas reaccionan redactando una política. Es un paso útil, pero insuficiente.

Una política puede afirmar que todos los usos deben ser autorizados, aunque la organización no sepa cuántos existen. Puede exigir revisión humana sin definir en qué momento ocurre. Puede prohibir determinados datos sin contar con mecanismos para detectar su utilización.

El comprador no necesita solamente una declaración. Necesita confianza en que la empresa puede sostener lo que declara.

Por eso, la documentación debe estar conectada con responsables, evaluaciones, aprobaciones, controles y revisiones reales. La calidad del sistema no se mide por la extensión de sus documentos, sino por la capacidad de demostrar que las decisiones se cumplen de forma consistente.

Cómo empezar sin frenar la adopción de IA

Ordenar el uso de inteligencia artificial no implica detener todos los proyectos ni crear una burocracia que trate cada experimento como un sistema crítico. El objetivo es distinguir niveles de riesgo y aplicar controles razonables.

El punto de partida es relevar los usos actuales. Antes de diseñar un proceso ideal, la empresa necesita entender qué ya está ocurriendo. Esa revisión suele revelar herramientas desconocidas, funciones activadas por defecto y casos que comenzaron como pruebas pero ya forman parte de la operación.

Después conviene clasificar cada uso según algunos criterios simples: tipo de datos, personas afectadas, nivel de autonomía, impacto de un error, exposición del cliente y dependencia del proveedor. Esa clasificación permite concentrar el trabajo en los casos más relevantes.

El siguiente paso es asignar responsables. Debe quedar claro quién propone, quién revisa, quién aprueba y quién controla cada caso. En una empresa pequeña, una misma persona puede cumplir más de una función. Lo importante es evitar responsabilidades difusas.

Finalmente, hay que conservar evidencia. El inventario, las evaluaciones, las aprobaciones, las condiciones impuestas y las revisiones posteriores deben quedar registradas en un lugar accesible. De lo contrario, la empresa volverá a reconstruir la historia cada vez que alguien haga una pregunta.

ISO 42001: un marco para ordenar lo que la empresa ya debería poder explicar

ISO/IEC 42001:2023 es un estándar internacional para crear y mejorar un sistema de gestión de inteligencia artificial. No evalúa si un modelo es perfecto ni reemplaza las pruebas técnicas del producto. Su aporte principal es ayudar a que la empresa organice responsabilidades, riesgos, controles, documentación y seguimiento.

La norma puede ser útil tanto para organizaciones que desarrollan IA como para aquellas que la integran o utilizan mediante terceros. También permite conectar este trabajo con otros sistemas ya existentes, como ISO 27001, privacidad, gestión de proveedores o continuidad operativa.

La certificación no tiene que ser el primer objetivo. Una empresa puede aplicar los principios de ISO 42001 para ordenar su operación antes de decidir si necesita una auditoría formal.

Esa decisión debería responder a una necesidad concreta: vender a clientes más exigentes, participar en determinadas cadenas de valor, reducir exposición, profesionalizar un producto basado en IA o presentar una señal independiente de madurez.

La norma es el marco. El resultado de negocio es poder explicar y demostrar que el uso de IA está bajo control.

Cuándo el desorden se transforma en un riesgo comercial

No todos los problemas producen una crisis visible. En muchos casos, el impacto aparece de manera gradual.

Una venta tarda más porque nadie puede responder qué datos recibe el modelo. Un cliente exige una cláusula especial porque la empresa no tiene criterios claros para usar su información. Una integración queda en pausa mientras legales revisa a un proveedor que ya estaba en producción. Un inversor detecta que una función central depende de un tercero sin un plan alternativo.

Estos escenarios no necesariamente indican un mal uso de IA. Indican que la empresa no preparó la evidencia necesaria para demostrar lo contrario.

En mercados B2B, esa diferencia importa. Los clientes enterprise no evalúan únicamente las capacidades del producto. También evalúan si el proveedor puede sostenerlas de manera segura, previsible y responsable.

Cómo ayuda Certenza

El desafío no termina cuando se completa un inventario o se aprueba una política. La información debe mantenerse actualizada y estar disponible cuando un cliente, auditor, inversor o licitación la solicita.

Certenza permite centralizar los riesgos, controles, políticas, responsables, aprobaciones y evidencias relacionados con ISO 42001 junto con otros estándares como ISO 27001 y SOC 2. De esta manera, la gestión de IA no queda aislada en una planilla ni obliga a crear una operación paralela.

La plataforma ayuda a registrar decisiones, asignar tareas, establecer vencimientos y mantener trazabilidad sobre cambios y revisiones. Las integraciones reducen la recolección manual de evidencia, mientras Leo, el agente de compliance de Certenza, asiste en la preparación de borradores, documentación y respuestas a cuestionarios utilizando información validada por la empresa.

El objetivo no es certificar una norma como fin en sí mismo. Es construir una forma sostenible de demostrar que la empresa conoce sus riesgos, aplica controles y puede responder con evidencia cuando una oportunidad de negocio lo exige.

La ventaja no está en decir que usás IA, sino en demostrar que la controlás

La adopción de inteligencia artificial ya no diferencia por sí sola a una empresa. Muchas organizaciones utilizan herramientas similares y acceden a los mismos proveedores. La diferencia aparece en la capacidad de incorporarlas sin perder control sobre los datos, las decisiones y la relación con los clientes.

Esperar al primer pedido formal obliga a trabajar bajo presión. Empezar antes permite definir criterios razonables, detectar los casos más sensibles y preparar respuestas consistentes.

La pregunta que va a importar en una negociación no será solamente qué puede hacer la IA de tu empresa. Será quién responde por ella, qué límites tiene y qué podés mostrar para demostrarlo.