Democratización y gobernanza en la era de la IA
Estamos en una época donde cualquiera puede construir la herramienta que necesita. El problema ya no es técnico: es de gobierno interno.
Una analista de tesorería tenía un problema pequeño: cada viernes dedicaba dos horas a cruzar dos reportes. Lo resolvió en una tarde. Abrió una plataforma de low-code, conectó los archivos y armó un tablero. No pidió permiso. No abrió un ticket. No esperó tres semanas por la respuesta de IT. La herramienta funciona. Y ahí empieza el problema.
Por: Eduardo Vitols – Director de Netnovation, socio de innovación de las empresas desde 2004.
Lo que cambió no vino con la inteligencia artificial: es el costo de desarrollar
Desarrollar software siempre ha sido caro, y también ha sido un oficio de especialistas. Había que traducir un problema de negocio a un lenguaje técnico, conseguir a alguien que lo escribiera, probarlo y mantenerlo en el tiempo. Ese costo —en dinero, en tiempo y en conocimiento— era, en la práctica, el mecanismo de control de las empresas: no es que estuviera prohibido que cada quien hiciera sus herramientas, es que era algo limitado.
Eso se acabó. Las plataformas de low-code y no-code bajaron la barrera para armar un flujo, un formulario o un tablero. Y las herramientas de IA —DeepSeek, ChatGPT y sus equivalentes— bajaron la barrera para escribir el código que hace falta cuando la plataforma no alcanza.
El resultado es una capacidad nueva, y hay que decir que es buena: la persona que entiende el problema ahora puede resolverlo. Sin intermediarios, sin traducciones que se pierden en el camino. Muchas de las mejoras de procesos más útiles de los últimos dos años no salieron de un plan estratégico. Salieron de alguien que estaba cansado de hacer lo mismo a mano y sin la debida atención.
La democratización ya ocurrió. La pregunta no es si va a pasar.
Lo opuesto: herramientas que nacen sin supervisión de IT y Procesos son un activo personal
Cuando una persona construye su herramienta, nadie la registra. No está en el inventario de sistemas, no tiene ficha técnica, no pasó por revisión de seguridad y no tiene plan de continuidad. Vive en una cuenta personal, guarda datos de la empresa y suele ser indispensable para el trabajo diario de quien la hizo.
A eso le llamábamos «shadow IT» cuando eran hojas de cálculo con macros. Hoy es otra cosa: son aplicaciones. Y la escala cambió, porque ya no requiere saber programar.
El riesgo no está en la herramienta. Está en que nadie sabe qué hay.
Y no es una práctica marginal. Una encuesta de UpGuard a 1.500 personas (empresa que vende software para detectar justamente este uso, conviene decirlo) identificó que el 81 % de los empleados y el 88 % de los responsables de seguridad usan herramientas de IA que su empresa no ha aprobado (2025). Es autodeclaración: mide lo que la gente admite, no lo que el sistema detecta.
Los cuatro riesgos concretos
Datos. El punto de partida de casi toda herramienta útil es un archivo: nómina, lista de clientes, facturación, historia clínica. Cuando ese archivo se pega en una herramienta externa, la empresa perdió el control de dónde vive su información y bajo qué condiciones se procesa.
Accesos. Para que la herramienta haga algo, necesita permisos. Casi siempre los pide la cuenta de la persona, que suele tener más acceso del necesario para esa tarea. Si mañana esa persona cambia de rol, los permisos no se van con ella.
Infraestructura. Un formulario interno que de pronto usa toda la empresa, un proceso que corre sin límites y consume recursos, un servidor que se montó para una prueba y quedó en producción sin actualizaciones. Nada de eso es un ataque: es acumulación.
Continuidad. La persona se va, se enferma o cambia de área, y con ella se pierde el conocimiento de qué hacía su herramienta, de dónde tomaba los datos y a quién le avisaba. Lo que parecía una solución se convierte en un proceso que nadie puede sostener.
Los cuatro tienen remedio, y la consecuencia de no atenderlos ya se mide: en el informe Cost of a Data Breach 2026, IBM y el Ponemon Institute encontraron que el 43 % de los incidentes analizados involucró herramientas de IA no aprobadas —el doble que el año anterior, según la métrica del propio informe— y que esas brechas costaron en promedio 5,39 millones de dólares, frente a 4,99 millones del promedio de todas las brechas del informe. Son 602 organizaciones y 3.558 entrevistas en 16 países.
La complejidad que no se ve
Hay un costo menos visible que los cuatro anteriores y que suele ser el que más pesa: la administración.
IT termina dando soporte a cosas que no construyó, sobre plataformas que no eligió. Aparecen licencias duplicadas, compras hechas con tarjeta personal, integraciones que se rompen sin dueño claro. Y cuando hay que auditar, reconstruir el mapa toma semanas.
La facilitación de tareas en los procesos está creando complejidad administrativa, y esa complejidad no se resuelve comprando mejor tecnología. Se resuelve con reglas.
Y la brecha es medible: el 91 % de las organizaciones usa agentes de IA y solo una de cada diez tiene una estrategia para gobernarlos (Okta, 2026).
Seis reglas que sí se pueden aplicar esta semana
Ninguna requiere un presupuesto nuevo. Todas requieren decisiones.
1. Inventario vivo. Una lista de qué herramientas existen, quién las usa, qué datos tocan y quién responde por ellas. Si se mantiene una vez al trimestre, ya cambia la conversación.
2. Clasificación de datos. Definir qué información nunca sale a una herramienta externa. Es más fácil decirlo así que redactar una política de cuarenta páginas.
3. Cuenta corporativa, nunca personal. Todo lo que se construya para el trabajo vive en una cuenta de la empresa. Sin esto, no hay inventario posible.
4. Revisión ligera. Una conversación de una hora antes de que algo toque datos sensibles, en lugar de un comité de tres meses. La burocracia no frena el riesgo: lo esconde.
5. Un espacio para experimentar. Si la única vía para probar es hacerlo a escondidas, la gente la va a tomar. Un ambiente controlado convierte una fuga en un proyecto.
6. Ciclo de vida. Cada herramienta con un dueño, una documentación mínima y un plan de salida. No para castigar a nadie: para que sobreviva a la persona que la creó.
De la aduana a la plataforma
El instinto de IT frente a este fenómeno suele ser cerrar la puerta. Es comprensible y no funciona: la capacidad ya está en manos de la gente.
El papel que sí funciona es otro. IT deja de ser la aduana que autoriza y pasa a ser la plataforma que hace seguro lo que ya está pasando: datos clasificados, identidades claras, un lugar donde construir, un registro de lo construido.
Y si hace falta un dato que no venga de un proveedor, ahí está ISACA: encuestó a más de 3.400 profesionales y solo el 38 % dice que su organización tiene una política formal de IA. Peor: el 56 % no sabría cuánto tardaría en apagar un sistema de IA si algo saliera mal. La adopción ya ocurrió; la capacidad de apagarlo, no.
No se trata de prohibir la democratización. Se trata de que la empresa sepa qué democratizó.
La próxima herramienta que su organización necesite probablemente ya la está construyendo alguien, en su escritorio, sin decírselo a nadie. La decisión que usted tiene enfrente no es si permitirlo. Es si va a enterarse a tiempo.
Fuentes
- UpGuard, The State of Shadow AI (10-nov-2025): encuesta a 500 responsables de seguridad y 1.000 empleados. Proveedor de software de seguridad.
- IBM y Ponemon Institute, Cost of a Data Breach Report 2026 (29-jul-2026): 602 organizaciones y 3.558 entrevistas en 16 países. Estudio patrocinado por IBM.
- Okta, Businesses at Work 2026 (30-abr-2026): telemetría de su plataforma y más de 200 ejecutivos. Proveedor de gestión de identidades.
- ISACA, 2026 AI Pulse Poll (2026): más de 3.400 profesionales de auditoría, gobierno, seguridad y privacidad.
