En seis meses, una pyme puede pasar de cero herramientas de IA a diez suscripciones, tres cuentas gratuitas y varios empleados usando la suya propia. Nadie lo decidió: pasó. El problema no es el gasto, es que los datos de clientes circulan por sitios que no controlas y que nadie puede explicar después.
Una auditoría de uso de IA no requiere un consultor ni un mes de trabajo. Con una lista de herramientas, una conversación con cada persona y una revisión de los datos que se envían tienes el mapa suficiente para decidir qué se queda, qué se corta y qué necesita contrato.
Inventario de herramientas y cuentas
Pregunta a cada persona qué usa, con qué cuenta y para qué. Incluye lo que no es oficial: extensiones del navegador, asistentes integrados en el correo, traductores, generadores de imágenes. Anota si la cuenta es de empresa o personal y si tiene factura a tu nombre.
El inventario debe caber en una hoja. Si necesitas tres, probablemente estás inventariando funciones en lugar de herramientas. Nombre, proveedor, usuario, finalidad y datos que toca: con esas cinco columnas se toma la mayoría de decisiones. Y si dos personas usan la misma herramienta con cuentas distintas, anota las dos.
- Herramientas con suscripción de empresa.
- Cuentas gratuitas usadas con correo corporativo.
- Extensiones y asistentes dentro del navegador.
- Integraciones dentro de tu ERP o CRM.
- Usos con datos de clientes o empleados.
Qué datos salen de la empresa
Clasifica la información en tres niveles: pública, interna y sensible. Pregunta qué se ha pegado de cada nivel. La respuesta suele sorprender: contratos, nóminas, listados de clientes y correos completos acaban en herramientas que nadie ha contratado ni revisado. Cada nivel necesita una regla distinta, y la mayoría de las fugas ocurre en el interno.
No busques culpables. Si el equipo usa cuentas personales es porque el acceso oficial no existía o era incómodo. Corrige el acceso antes de prohibir, porque una prohibición sin alternativa solo traslada el uso a un móvil personal. Un canal oficial lento es la causa habitual de que la gente vuelva a su cuenta.
Una cuenta gratuita puede usar tus conversaciones para entrenar el modelo. Con datos de clientes, eso es un tratamiento sin base jurídica ni contrato de encargado.
Riesgos reales frente a riesgos teóricos
Los riesgos que más veces se materializan son tres: fuga de datos por prompts, contenido erróneo publicado sin revisar y dependencia de una herramienta que sube de precio o cierra. Los debates sobre una IA general fuera de control importan menos que estos tres en el día a día.
Puntúa cada caso de uso por impacto y probabilidad. Un chat para redactar correos internos no es igual que un modelo que clasifica solicitudes de financiación. Esa puntuación decide dónde pones el esfuerzo y dónde basta con una regla escrita.
Controles y frecuencia de revisión
Define un responsable, una lista de herramientas aprobadas y una regla de datos: qué se puede introducir y qué no. Revisa el inventario cada seis meses y siempre que entre alguien nuevo o cambie un proveedor. Anota las decisiones, aunque sean provisionales.
Deja un canal para pedir herramientas nuevas. Si el proceso es fácil, la gente no se busca la vida por su cuenta. Y si algo se rechaza, explica el motivo: un no sin explicación se interpreta como desconfianza y se ignora.
Preguntas frecuentes
¿Cada cuánto hay que auditar?
Cada seis meses en una pyme estable y cada trimestre si el equipo crece o prueba muchas herramientas. Además, revisa el inventario cuando cambie un proveedor, se incorpore alguien o aparezca una norma nueva que afecte al sector.
¿Qué hago con las cuentas personales?
Primero ofrece una alternativa aprobada. Después pide que se migren los usos legítimos y se dejen de usar las personales con datos de empresa. Prohibir sin dar herramienta solo empuja el uso a escondidas.
¿Necesito un registro de actividades de tratamiento?
Si tratas datos personales de forma habitual, sí. Añade las herramientas de IA que tocan esos datos y actualízalo cuando cambie la finalidad o el proveedor. Es un documento vivo, no un trámite de una vez.