No puede gobernar lo que no ve

Parte de la serie The AI Governance Reality Check

Pregunte a cualquier líder de seguridad o cumplimiento normativo cuánto uso de la IA ocurre en su organización fuera de las herramientas autorizadas y obtendrá una respuesta sincera. No lo saben. Ni «es bajo». Ni «estamos en ello». Sinceramente, no lo saben. Y la forma en que la mayoría de las empresas intentan averiguarlo empeora la cifra, no la mejora.

La paradoja del puerto seguro

Esta es la trampa. Si descubrir el uso no autorizado de la IA conlleva medidas disciplinarias, los empleados tienen motivos de sobra para ocultarlo. Así, el proceso de descubrimiento fracasa antes de que empiece la 1.ª auditoría. Usted pide a las personas que confiesen algo que les meterá en problemas, a través de los mismos canales que se utilizarán en su contra.

Esto no es hipotético. El Data Breach Investigations Report de Verizon de 2026 reveló que la IA en la sombra se ha convertido en la 3.ª acción interna no maliciosa más común detectada en entornos empresariales, un aumento de 4 veces respecto al año anterior. La Workforce AI Survey de Salesforce de 2026 reveló que el 67% de los empleados ahora utiliza herramientas de IA en el trabajo, mientras que solo el 18% de las organizaciones cuenta con una política formal de seguridad de la IA. Esa brecha entre comportamiento y política no es un problema de formación. Es un problema de incentivos. El descubrimiento punitivo empuja su uso aún más a la clandestinidad.

La solución no es más vigilancia. Es la amnistía. Los profesionales que han gestionado esto bien plantean la auditoría como un mapeo de capacidades, no como un control de cumplimiento normativo, con una promesa explícita: no habrá consecuencias por revelarlo. Los empleados encontraron una herramienta útil y nadie les dijo que infringía la política. Trate esto como un fallo disciplinario por su parte en lugar de una deficiencia de gobernanza de la IA por parte de la empresa, y le garantizamos que nunca verá el panorama completo.

El espectro de detección

Incluso con mejores incentivos, la detección se sitúa en un espectro, y cada nivel capta menos de lo que la directiva asume.

Listas de denegación. Bloquear dominios y aplicaciones de IA conocidos. Esto atrapa las herramientas de las que todos han oído hablar y omite el resto, incluido el 70% de las interacciones con IA que Gartner prevé que ocurran a través de funciones integradas dentro de productos SaaS ya aprobados, donde no hay un dominio independiente que bloquear.

Inspección de paquetes y texto. Herramientas DLP que marcan cadenas de texto sensibles dirigidas a terminales de IA. Mejor, pero solo ve lo que atraviesa una ruta de red monitorizada. El estudio de Netskope de 2026 concluyó que el 47% de los usuarios de IA generativa accede a las herramientas a través de cuentas personales, lo que sortea exactamente este tipo de inspección.

Señales de comportamiento. Observar la forma del trabajo asistido por IA: un volumen inusual de resultados, patrones de redacción, cambios en el flujo de trabajo. Usted no observa la herramienta; observa el trabajo. Este es el nivel más prometedor y el menos maduro, y plantea su propia cuestión de gobernanza de la IA. ¿En qué punto la monitorización del trabajo de las personas se convierte en un problema de confianza?

Ninguno de estos niveles, por sí solo o en conjunto, cierra la brecha real.

La brecha de gobernanza

La incómoda verdad: lo que usted puede detectar y lo que necesita saber son 2 listas distintas, y la coincidencia es menor de lo que asumen la mayoría de los programas de gobernanza de la IA. Usted puede detectar que alguien accedió al dominio de un chatbot. No puede detectar que el equipo de finanzas procesó datos de compensación en él, ni que recursos humanos subió un organigrama para resumir una reestructuración. No a menos que alguien se lo diga, lo cual nos devuelve directamente al problema de los incentivos.

Las herramientas de detección responden a «¿tuvo la IA acceso a esto?». Rara vez responden a «¿debería la IA haber tenido acceso a esto?», «¿qué pasó con los datos después?» o «¿cambió esto una decisión importante?». Esas son las preguntas que la gobernanza de la IA realmente necesita responder. Ninguna de ellas aparece en un panel de control de red.

La capa humana: la gobernanza como paternidad

El modelo más útil aquí no es el teatro de la seguridad. Es la paternidad. Los buenos padres no mantienen seguros a sus hijos con una vigilancia constante. Primero construyen el criterio, a través de la enseñanza, para que los niños tomen decisiones razonables cuando nadie mira, y reservan la disciplina para los momentos en que el criterio no basta. Un hogar gobernado por cámaras y cerraduras produce niños que son buenos ocultando cosas, no niños que son buenos decidiendo.

La misma lógica se aplica aquí. Los empleados que comprenden por qué la información de identificación personal de los clientes no debe introducirse en un modelo público toman mejores decisiones cuando ningún panel les observa que aquellos a los que solo se les dijo que no se dejen atrapar. La educación es lo primero. La disciplina es el respaldo, no la estrategia.

Si es ciego al riesgo, también lo es al valor

Cada caso para mejorar la visibilidad de la IA se enmarca como una reducción de riesgos. Lo es, pero ese enfoque se queda corto. Las empresas que no pueden ver lo que hace su personal con la IA tampoco pueden ver lo que funciona. No pueden detectar el flujo de trabajo que descubrió el departamento de finanzas y que debería extenderse a toda la empresa, ni el hábito de redacción que desarrolló el de marketing y que el departamento legal debería adoptar.

Si usted es ciego al riesgo, es ciego al valor. La visibilidad no es una iniciativa de seguridad añadida a la gobernanza de la IA. Es la condición previa para que la gobernanza tenga algún sentido.

Fuentes: Verizon, «2026 Data Breach Investigations Report», citado por Tech Times, junio de 2026; Salesforce, «2026 Workforce AI Survey: Adoption, Governance, and Risk»; Netskope, «2026 Cloud & Threat Report»; Dr Logic, «Your AI Tools Are Now in Scope for Cyber Essentials», 2026; JumpCloud, «11 Stats About Shadow AI in 2026», sobre la cuota de interacción de la IA integrada