En muchas organizaciones, la inteligencia artificial ya forma parte de la jornada. Las personas la usan para redactar documentos, revisar información, escribir software, preparar presentaciones y resolver problemas que antes tomaban más tiempo. La dirección no siempre ha aprobado ese uso. Aun así, ocurre.
Eso es útil. También deja un vacío. Hace unos días hablé con un responsable de TI incómodo por la forma en que las personas de su organización estaban adoptando estas herramientas. No le preocupaba la tecnología en sí. Quería que los empleados obtuvieran el beneficio sin poner en riesgo la información de la organización.
El mismo vacío aparece en otras empresas. Las personas avanzan. Las políticas, los procesos y la gobernanza a menudo siguen alcanzándolas.
Una advertencia de seguridad y un problema de gobernanza
El 21 de octubre de 2026, Sam Altman, director ejecutivo de OpenAI, habló en la Stanford Graduate School of Business sobre ciberseguridad y sistemas de IA más capaces. Argumentó que estos sistemas podrían encontrar y explotar vulnerabilidades a una escala que las defensas tradicionales quizá no puedan manejar. También argumentó que proteger a las organizaciones podría exigir métodos distintos, incluido el uso de la IA como parte de la defensa. Abajo están la grabación y un reportaje publicado dos días después.
La advertencia merece atención. Para las empresas, en especial las pequeñas y medianas, hay un segundo problema más cerca de la operación diaria. Las personas ya tienen acceso a herramientas potentes. Las reglas, las responsabilidades y las salvaguardas de ese acceso a menudo siguen incompletas.
Son riesgos distintos. Los ataques que usan IA son un problema de seguridad externo. La adopción sin reglas es un problema de gobernanza interno. Atender uno no resuelve el otro. Los dos merecen atención de quienes dirigen el negocio.
Usar la IA no es lo mismo que estar preparado
No recomendaría bloquear todas las herramientas de IA. Con cierto cuidado, pueden subir la productividad, reducir el trabajo repetitivo, aprovechar mejor la información que la empresa ya tiene y dejar espacio para ideas nuevas. Dar acceso a la IA a los empleados no significa que la empresa haya pensado qué ocurre después.
Hay situaciones fáciles de pasar por alto hasta que ya son normales.
Alguien carga un documento confidencial en una plataforma de IA sin saber cómo trata los datos ese proveedor. Un equipo de desarrollo conecta un asistente de programación a repositorios internos antes de que alguien revise los permisos. Un área enciende una automatización y nunca decide qué resultados siguen necesitando la aprobación de una persona. O una empresa compra un producto de IA costoso sin nombrar el problema de negocio que debe resolver.
Ninguna de estas situaciones significa, por sí sola, que ya haya ocurrido un daño. Cada una sí abre preguntas que deberían tener respuesta antes de que la herramienta se vuelva rutina. ¿Quién es responsable? ¿A qué información puede llegar? ¿Qué controles existen? ¿Cómo sabrá alguien si vale lo que cuesta?
Cuando se habla de preparación para la IA, se suele pensar en infraestructura, datos o capacidad técnica. Eso importa. No es todo el tema. Una empresa puede tener acceso a modelos avanzados y, aun así, no tener un proceso para usarlos con responsabilidad. Otra puede tener menos recursos, una idea más clara de dónde ayuda la IA, responsabilidades definidas y una forma práctica de adoptarla.
Prefiero ver un caso de uso con gobernanza real que diez herramientas que nadie ha examinado. La tecnología no cambia por sí sola la forma de trabajar. Lo que importa es cómo entra al negocio.
Cinco preguntas antes de seguir
Antes de empujar más la adopción, un equipo de dirección puede avanzar mucho si responde cinco preguntas.
- ¿Dónde se usa ya la IA? No se puede gobernar lo que no se ha identificado. Empiece por las herramientas que la gente usa y por el trabajo que ahora sostienen.
- ¿Qué información se está compartiendo? Revise qué datos salen hacia plataformas externas, cómo los tratan esos proveedores y qué categorías necesitan más protección.
- ¿Quién responde? Alguien tiene que aprobar herramientas, evaluar el riesgo, administrar el acceso y revisar los resultados del trabajo asistido por IA.
- ¿Qué problemas vale la pena resolver así? No todo proceso necesita IA. Elija por valor para el negocio, viabilidad y riesgo, no por lo que se esté promoviendo este mes.
- ¿Cómo sabrá si está funcionando? Defina indicadores de productividad, calidad, costo, adopción y del desempeño real de la operación. Donde una decisión tenga consecuencias serias, deje a una persona en posición de revisarla.
Esas respuestas no eliminan todos los riesgos. Son un punto de partida más firme que sumar herramientas sin un plan.
Espacio para usar las herramientas
En muchas conversaciones de tecnología, la gobernanza se trata como lo contrario de la innovación. Yo la veo como lo que permite avanzar sin adivinar. Cuando los empleados saben qué herramientas pueden usar, qué pueden compartir y cuándo una persona debe revisar el resultado, pueden probar dentro de límites conocidos. Cuando la dirección ve el riesgo y el beneficio esperado, las decisiones de inversión son más fáciles. Cuando los equipos de tecnología entran temprano, pueden ayudar a integrar la IA en los procesos existentes en lugar de tener que resolver después problemas evitables.
Esto pesa más cuando estos sistemas dejan de solo generar texto y empiezan a interactuar con sistemas de negocio, API y flujos operativos. Cuanta más autonomía tienen, más necesita la empresa entender sus permisos, sus límites y quién responde por el resultado. El objetivo no es frenar el trabajo. Es que la adopción sea algo que la organización pueda sostener.
En Code Castle, la preparación para la IA parte de esa foto de la organización antes de recomendar una herramienta. Vemos los objetivos del negocio, los procesos actuales, los datos disponibles y los lugares donde la IA podría valer el esfuerzo. A partir de ahí, el trabajo es una hoja de ruta práctica que conecta estrategia, gobernanza y ejecución. Una evaluación de ciberseguridad, o controles más específicos, puede seguir siendo necesaria según los riesgos y las tecnologías. La preparación para la IA no sustituye ese trabajo.
La advertencia de Altman recuerda que estas capacidades avanzan rápido y que las prácticas de seguridad quizá tengan que cambiar con ellas. Para un equipo de dirección, la lección más cercana es más simple. Saber usar una herramienta no significa que la organización esté lista para lo que viene con ella. No digo que las empresas deban temer a la inteligencia artificial. Digo que necesitan cuidado al adoptarla sin entender lo que están asumiendo. Ahí es exactamente donde creo que la dirección debería invertir tiempo antes de ampliar la adopción de IA. No toda organización tiene que volverse una empresa de IA. Toda organización sí tiene que decidir, con una vista clara de las consecuencias, cómo esta tecnología afectará su operación, su gente, su información y sus clientes.
Referencias
- Stanford Graduate School of Business: Sam Altman, Staying Human While Scaling Superintelligence, 21 de octubre de 2026.
- Xataka: la advertencia de Sam Altman sobre el futuro de la ciberseguridad, 23 de octubre de 2026.
- NIST: AI Risk Management Framework.