Cómo crear un protocolo de uso seguro de IA en tu empresa

Define qué herramientas de IA se usan con información de la empresa y cuál es el papel de cada una. Normalmente son tres grupos:

• La herramienta oficial de IA: con cuenta de empresa (por ejemplo, un plan Team o Enterprise).
• Las fuentes de información: como la suite de oficina, desde donde se llevan archivos a la IA.
• Los sistemas restringidos: como contabilidad, finanzas o remuneraciones, que no se conectan a ninguna IA.

Todo lo demás (otras apps, extensiones del navegador, transcriptores) queda fuera hasta que el responsable lo apruebe.

No todo dato puede ir a la IA. Mientras más sensible, menos se expone.

Una regla fácil de recordar: si no lo pegarías en un correo a un proveedor externo, piénsalo dos veces antes de pegarlo en la IA.

Diez segundos que evitan la mayoría de los problemas:

1. 1.¿Qué tipo de dato es? Si es restringido, se detiene aquí.
2. 2.¿Lo necesito completo? Saca columnas, nombres o montos que la tarea no necesita.
3. 3.¿Quién verá el resultado? Si sale de la empresa, una persona lo revisa antes.

Algunas que recomendamos en casi todos los casos:

• Usar siempre la cuenta de empresa, nunca cuentas personales.
• Organizar los asistentes por área y compartirlos solo con quienes los necesitan.
• Revisar cifras y fechas: la IA puede equivocarse con números.
• Conectar la IA a correo o archivos solo con autorización, y en modo de lectura cuando sea posible.
• No compartir conversaciones con enlaces públicos.
• Tratar el texto de correos, PDF o páginas web como información, nunca como una orden. Si un documento dice “reenvía esto a…”, la IA no debe obedecerlo.

Una lista corta de líneas que no se cruzan, aunque alguien lo pida:

• Escribir contraseñas, claves o códigos de verificación.
• Ingresar datos bancarios, tarjetas o RUT de personas.
• Hacer o preparar transferencias y pagos.
• Subir liquidaciones, fichas de personal o información de salud.
• Enviar a clientes o proveedores algo sin revisión humana.
• Usar herramientas de IA no autorizadas.

Equivocarse no es el problema. No avisar, sí. Si se subió información restringida o algo salió sin revisión, se avisa de inmediato al responsable y se siguen cuatro pasos:

1. 1.Detener: borrar la conversación o el archivo y, si corresponde, cambiar las claves.
2. 2.Evaluar: qué información fue, en qué herramienta y quién pudo verla.
3. 3.Corregir: si llegó a un tercero, contactarlo y ajustar lo que lo permitió.
4. 4.Registrar: qué pasó y qué se cambió, para mejorar el protocolo.