Cómo auditar el uso de IA en su empresa cuando nadie le ha dicho que existe

Puntos clave

El problema no suele ser que se apruebe el uso de IA con reservas, sino que ocurre sin que nadie en dirección lo sepa
Preguntar al equipo no es evidencia: nadie declara con detalle una herramienta que usa en una cuenta personal
La evidencia útil se reúne mirando el tráfico y las herramientas reales, no las declaraciones
El resultado debe ser un informe de hechos técnicos, no un veredicto sobre si su organización cumple o no

Hay una pregunta que casi ningún responsable de organización puede contestar con seguridad: ¿qué herramientas de inteligencia artificial está usando su equipo ahora mismo, y con qué información?

No es una pregunta retórica. Si la respuesta es “creo que ninguna” o “solo las que hemos aprobado”, conviene mirarlo, porque la experiencia dice otra cosa.

Por qué esto no es una cuestión de confianza en su equipo

Vamos a quitar esto de en medio primero, porque condiciona todo lo demás.

Cuando alguien de su equipo pega el borrador de un contrato en ChatGPT para que se lo resuma, no lo hace por descuido ni por saltarse una norma. Lo hace porque tiene una entrega para mañana y esa herramienta le ahorra dos horas. Es una decisión perfectamente racional desde su puesto.

El problema es que esa decisión, tomada individualmente y en silencio por varias personas a la vez, construye un flujo de datos que nadie ha diseñado, nadie ha aprobado y nadie está mirando.

Y como se toma en cuentas personales y fuera de cualquier proceso, no deja rastro en ningún sitio donde usted vaya a mirar. No aparece en una factura, ni en una alta de proveedor, ni en el inventario de aplicaciones. Ocurre y no se ve.

Por eso no sirve de nada abordarlo como un asunto de disciplina. No es gente saltándose las reglas: es gente resolviendo su trabajo con herramientas que la organización no ha decidido si quiere.

Lo que “auditar el uso de IA” significa en la práctica

Mucha gente busca exactamente eso: cómo auditar el uso de IA en su empresa. Es la formulación natural del problema, y describe bien lo que se necesita — saber qué está pasando, con evidencia.

Pero conviene aclarar la palabra, porque auditoría tiene un significado técnico que aquí no encaja del todo.

Una auditoría, en sentido propio, la hace alguien independiente de lo auditado. El auditor mira, emite un juicio y no tiene interés en el resultado. Esa independencia es justo lo que le da valor.

Cuando quien examina sus flujos de datos es también quien vende la solución para arreglarlos, esa independencia no existe. Y llamarlo auditoría de todas formas sería usar una palabra que promete algo que no se está dando.

Por eso el servicio que responde a esta necesidad no se llama auditoría. Se llama Diagnóstico de exposición de datos en IA. Es la misma utilidad práctica — saber qué está saliendo y por dónde — sin apropiarse de una palabra que implica una independencia que no hay.

Si lo que usted necesita es una auditoría en sentido estricto, con un tercero independiente que emita un juicio formal, eso existe y no somos nosotros. Merece la pena que lo sepa antes de seguir leyendo.

Qué evidencia sirve, y cuál no

Aquí está la parte práctica, y es donde la mayoría de los intentos internos se quedan cortos.

Lo que NO funciona:

Preguntar al equipo. Ni una encuesta, ni una ronda de reuniones, ni un correo pidiendo que declaren qué herramientas usan. No porque la gente mienta, sino porque:

No recuerda todas las veces que lo hizo
No considera “usar IA” el pegar un párrafo suelto una tarde
Y sí, hay un incentivo evidente a no detallar demasiado si intuye que la respuesta correcta era no hacerlo

Revisar la política interna. Lo que dice el reglamento sobre qué está permitido no le dice nada sobre lo que ocurre. Son dos cosas distintas y confundirlas es el error más común.

Mirar las licencias contratadas. Justamente el uso que no ha pasado por ningún proceso no aparece en ninguna licencia. Si estuviera ahí, ya lo sabría.

Lo que sí funciona:

Mirar el tráfico real de la organización hacia servicios de IA, inventariar qué herramientas están efectivamente en uso, y reconstruir a partir de ahí qué tipo de información está circulando por ellas: datos de clientes, expedientes, documentación interna.

Es la diferencia entre preguntar qué pasa y observar qué pasa. Solo lo segundo es evidencia.

Qué recibe al final: un informe, no un veredicto

Y esto es importante, porque marca el límite de lo que un ejercicio así puede darle.

El resultado de un Diagnóstico es un documento que describe hechos técnicos: qué herramientas se están usando, por qué vía sale la información, con qué frecuencia, y qué categorías de datos están implicadas.

Lo que ese documento no contiene es una calificación jurídica. No dice si su organización cumple o incumple normativa, ni si un flujo concreto es lícito. Eso no es una carencia del informe — es que esa valoración corresponde a su asesoría legal, y hacerla sin serlo sería meterse en un terreno que no nos toca.

La secuencia correcta es esa, además: primero saber qué ocurre, después valorar qué implica. Un asesor legal no puede pronunciarse sobre flujos de datos que nadie ha documentado. Con un inventario de hechos delante, esa conversación es útil desde el primer minuto.

Por dónde empezar

Si al leer esto no puede responder con seguridad qué herramientas de IA usa su equipo y con qué información, ya tiene el dato más importante: no lo sabe. Y no saberlo no es un fallo de gestión, es la situación normal en casi cualquier organización ahora mismo.

Lo que sí sería un problema es decidir qué hacer sin averiguarlo antes.

El Diagnóstico de exposición de datos en IA reúne esa evidencia y la entrega en un informe: qué sale, por qué vía y con qué frecuencia. Sin veredictos legales y sin suposiciones — hechos, para que la conversación siguiente parta de algo sólido.