En resumen
- La IA ya está presente en su empresa, con o sin autorización: 45% de los trabajadores la utilizan regularmente en equipos de la empresa y 67% acceden con cuentas personales (Verizon, 2026).
- Los dos riesgos reales: datos de clientes colados en herramientas gratuitas y Copilot mostrando archivos que ya estaban mal compartidos en SharePoint y en OneDrive.
- Cinco reglas caben en una página y resuelven la mayor parte del problema. La más importante: obtener las permisos antes de activar el Copilot.
- La Ley AI ya obliga: a partir del 2 de febrero de 2025, quien utilice IA en la empresa deberá promover la alfabetización en IA de su personal (artículo 4).
En este artículo
- La IA ya está siendo utilizada. La cuestión es cómo.
- Risco 1: datos de clientes en herramientas gratuitas
- Risco 2: el Copilot ve lo que sus permisos permiten ver
- Las 5 reglas en una página
- Ley de IA en lenguaje simple: lo que ya se aplica
- Un caso real: 200 puestos en tres oficinas, las mismas reglas
- Qué hacer esta semana
- Preguntas frecuentes
- Reglas de IA y permisos revisados en 10 días laborables
IA en la empresa Sin reglas no hay innovación — es una fuga de datos en espera de ocurrir. La respuesta breve: antes de generalizar el ChatGPT o conectar el Copilot, defina qué herramientas están aprobadas, qué datos nunca entran allí y quién puede ver qué en Microsoft 365. Son decisiones de gestión, no de informática, y se toman en una reunión.
La IA ya está siendo utilizada. La cuestión es cómo.
El informe sobre violaciones de datos de Verizon de 2026 midió lo que sucede en los ordenadores de las empresas: 45% de los trabajadores ya son usuarios habituales de IA en los equipos de la empresa (eran 15% el año anterior) y 67% acceden a estos servicios con cuentas que no pertenecen a la empresa. La llamada “IA oculta” — herramientas utilizadas sin autorización — ya es la tercera acción interna no maliciosa más común en los registros de fuga de datos.
Prohibir no resulta. Sin una herramienta aprobada y reglas claras, las personas utilizan la cuenta personal y la empresa pierde el control de lo que sale.
Risco 1: datos de clientes en herramientas gratuitas
Nada de esto es malicioso: la contabilidad añade un extracto para “resumir”, un comercial añade el correo electrónico de un cliente, los recursos humanos piden ayuda para reescribir una evaluación de desempeño.
El problema está en los términos de uso. Por ejemplo, OpenAI indica que en los servicios para particulares puede usar el contenido de las conversaciones para entrenar los modelos, a menos que el usuario desactive esa opción. En los planes empresariales y en la API, la regla es la inversa: el contenido no se utiliza para entrenamiento por defecto. La diferencia entre ambas situaciones es que en el caso de las cuentas empresariales, la gestión está a cargo de la empresa.
Risco 2: el Copilot ve lo que sus permisos permiten ver
Microsoft 365 Copilot no “invade” nada. Microsoft misma explica que el Copilot solo muestra datos de la organización a la que cada usuario ya tiene, al menos, permiso de lectura. Ahí está el riesgo.
En las auditorías que realizamos, es frecuente encontrar compartimientos antiguos que nadie ha revisado: la carpeta de dirección compartida con “Todos”, un vínculo “para cualquier persona de la organización” creado hace tres años para un archivo de salarios, un sitio SharePoint de un antiguo proyecto abierto a todo el mundo. Hasta hoy, nadie se dio cuenta de ello. Con Copilot, basta preguntar “¿Cuáles son los salarios del equipo comercial?” — y la respuesta aparece, si las permisos lo permiten.
La orden correcta: primero revisar las permisos en SharePoint, OneDrive y Teams; luego conectar el Copilot a un grupo de pilotaje. Es un trabajo de configuración. Microsoft 365 para empresas, No una compra nueva.
Las 5 reglas en una página
Una hoja A4 para todo el equipo, firmada por la administración —no por la informática—.
| Regla | ¿Qué significa en la práctica? | Quién garantiza |
|---|---|---|
| 1. Solo herramientas aprobadas con cuenta de la empresa | Lista corta de herramientas autorizadas. Nada de cuentas personales para el trabajo. | Administración + TI |
| 2. Datos que nunca entran | Datos personales de clientes y colaboradores, salud, salarios, contraseñas, contratos y propuestas confidenciales. | Cada usuario |
| 3. Autorizaciones concertadas antes del Copilot | Revisiones de compartimentos y enlaces abiertos en SharePoint, OneDrive y Teams. Copilot primero en un grupo piloto. | TI |
| 4. Un humano revisa y firma | La IA prepara; una persona confirma números, nombres y hechos antes de enviarlos a un cliente. | Jefaturas |
| 5. Formación y registro | Sesión corta para todos, con registro de asistencia. Es la base de la obligación de alfabetización en IA. | Recursos humanos |
Estas reglas encajan naturalmente en políticas internas de ciberseguridad que cualquier empresa con más de 10 personas debería tenerlo por escrito.
Lista de verificación antes de encender el Copilot
- Autenticación multifactorial activa en todas las cuentas.
- Contas de ex-colaboradores eliminadas y licencias recuperadas.
- Enlaces de compartir “cualquier persona” revisados y, cuando sea posible, desactivados.
- Direcciones de personal, recursos humanos y finanzas con acceso restringido a quienes lo necesitan.
- Grupo piloto definido (de 5 a 10 personas) y plazo para evaluar los resultados.
Ley de IA en lenguaje simple: lo que ya se aplica
El Reglamento Europeo sobre Inteligencia Artificial (Reglamento (UE) 2024/1689) está en vigor desde el 1 de agosto de 2024 y se aplica en fases. Para una PYME que utiliza ChatGPT o Copilot, lo esencial es lo siguiente:
- Desde el 2 de febrero de 2025 se aplican las prácticas prohibidas y el artículo 4.º, sobre alfabetización en IA: las empresas que utilizan sistemas de IA deben tomar medidas para que su personal tenga conocimientos suficientes para utilizarlos con criterio.
- En julio de 2026, El Reglamento (UE) 2026/1744 — el llamado “Omnibus Digital” sobre IA — aplazó las normas para los sistemas de alto riesgo: el 2 de diciembre de 2027 para los sistemas autónomos y el 2 de agosto de 2028 para los integrados en productos. El deber de alfabetización se mantuvo.
- “Alto riesgo” abarca usos como el reclutamiento, la biometría o las infraestructuras críticas — si se utiliza IA para seleccionar candidatos, consulte a su abogado.
DataRoad no ofrece asesoramiento jurídico: implementamos las medidas técnicas — cuentas, permisos, registros — y ayudamos a preparar la formación.
Un caso real: 200 puestos en tres oficinas, las mismas reglas
A Velv por OnRising, empresa de desarrollo de software con oficinas en el Porto, en Lisboa y en Río de Janeiro, tiene cerca de 200 puestos de trabajo en contrato IT Unlimited con DataRoad. Los clientes internacionales representan el 45% de la cartera, y el contrato incluye la gestión de la firewall, la seguridad de red y las políticas de protección.
En una empresa así, la pregunta “¿qué datos de clientes pueden ir a una herramienta de IA?” no es teórica —y la respuesta debe ser igual en los tres departamentos. Las reglas de IA no son un proyecto aparte: se incluyen en las políticas que ya protegen a la empresa y se aplican por la misma plantilla que gestiona cuentas, permisos y equipos.
Qué hacer esta semana
Pregúntese a la empresa qué herramientas de IA utiliza, elija una herramienta oficial con una cuenta empresarial y solicite una revisión de permisos antes de cualquier piloto del Copilot. Si la autenticación multifactorial aún no está resolvida, comience por ahí: es el primer paso. Cero Confianza para PYME y lo protege con o sin IA. La IA también está del lado de quien ataca: vale la pena Entrenar a los equipos para phishing y deepfakes.
Preguntas frecuentes
¿Debería prohibir el ChatGPT en la empresa?
Prohibir sin alternativa empuja a las personas hacia cuentas personales, donde la empresa no tiene control. Es más seguro aprobar una herramienta con una cuenta empresarial y definir que los datos nunca entran allí.
¿El Copilot puede mostrar a un colaborador ficheros que él no debería ver?
El Copilot solo muestra lo que esa persona ya tiene permiso para ver. Si las permisos están mal configuradas —carpetas compartidas con todos, enlaces abiertos antiguos— el Copilot hace visible este error. Por eso, las permisos se revisan antes de activarlas.
¿La obligación de alfabetización en IA se aplica a una PYME?
Sí. El artículo 4.º del AI Act se aplica a partir del 2 de febrero de 2025 a quienes utilizan sistemas de IA en la actividad profesional, independientemente de su tamaño. Una formación breve, reglas escritas y registro de asistencia son un buen punto de partida; para la lectura jurídica, consulte a su abogado.
¿Necesito licencias nuevas para usar IA de forma segura?
No necesariamente. La mayor parte del trabajo consiste en configurar lo que ya tiene la empresa: autenticación multifactorial, revisión de permisos y cuentas empresariales en las herramientas aprobadas. Las licencias de Copilot solo tienen sentido después de esta base.
Reglas de IA y permisos revisados en 10 días laborables
Revisamos las comparticiones de su Microsoft 365, mostramos lo que el Copilot haría visible y entregamos la página de reglas lista para firmar. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. La seguridad está incluida en los planes IT Unlimited Premium, con ciberseguridad gestionada de punta a punta.
Reglas de IA listas en 10 días laborables
Las licencias de Microsoft 365 y la política de IA en una página.
Fuentes
- Verizon — Informe de Investigación de Brechas de Seguridad de Datos 2026, Resumen Ejecutivo
- Microsoft Learn — Datos, privacidad y seguridad de Microsoft 365 Copilot
- OpenAI — Cómo se utiliza tu información para mejorar el rendimiento del modelo
- EUR-Lex — Reglamento (UE) 2024/1689 (Reglamento sobre Inteligencia Artificial)
- EUR-Lex — Reglamento (UE) 2026/1744 (Omnibus Digital sobre IA)
- Comisión Europea — Acuerdo para simplificar las normas sobre IA (nuevas fechas para los riesgos de alto nivel)
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
