Política de IA en la empresa: cinco reglas para ChatGPT y Copilot

Muy probablemente, sí. El informe anual de Verizon sobre brechas de datos (edición 2026) muestra que el 45% de las personas recurre habitualmente a la IA en los ordenadores del trabajo, frente al 15% un año antes. Peor aún: el 67% accede a esos servicios con cuentas que la empresa no controla.

La IA utilizada al margen de la organización, la llamada IA en la sombra, se ha convertido en la tercera causa interna no maliciosa más registrada en las filtraciones de datos. Prohibir, por tanto, no resuelve nada. Sin una alternativa oficial, el equipo usa el móvil y la cuenta personal, y la empresa pierde el rastro de lo que sale.

Todo lo que se pegue en la conversación. Los ejemplos son corrientes: un extracto bancario enviado para resumir, el mensaje de un cliente reescrito por el comercial, una evaluación de desempeño mejorada por recursos humanos.

Lo que lo cambia todo son las condiciones del servicio. En las versiones para consumidores, OpenAI puede usar las conversaciones para entrenar sus modelos, salvo que el usuario desactive ese ajuste. En las suscripciones empresariales y en la API, el comportamiento por defecto es el contrario: el contenido queda fuera del entrenamiento. La línea que separa ambos mundos es una cuenta empresarial, administrada por la empresa.

Comparación sencilla: hablar de un negocio con una IA en una cuenta personal es como negociar por teléfono en un tren lleno. Con una cuenta empresarial, la conversación pasa a una sala cerrada, con las normas de la casa y registro de quién estuvo presente.

Puede, si los permisos ya están mal. Microsoft 365 Copilot no fuerza ninguna puerta: según la documentación de Microsoft, solo devuelve información a la que el usuario ya puede acceder, como mínimo, en lectura. El peligro está en los permisos compartidos que nadie ha revisado.

Es lo que encontramos en las auditorías con regularidad. Una carpeta de la dirección abierta a toda la organización. Un enlace creado hace tres años a la hoja de nóminas, válido para cualquier compañero. Un sitio de SharePoint de un proyecto cerrado, sin restricciones. Durante años pasó desapercibido. Con Copilot, una pregunta sobre la retribución del equipo comercial puede tener respuesta inmediata.

El orden es innegociable: primero limpiar los accesos en SharePoint, OneDrive y Teams; después abrir Copilot a un grupo reducido. Se trata de configurar bien el Microsoft 365 de la empresa, no de comprar más licencias.

Bastan cinco. Caben en una página, y quien firma es la dirección, no el técnico.

Intégrelas en el conjunto de políticas internas de seguridad que cualquier organización de más de 10 personas debería tener documentadas.

Lista de comprobación antes del primer piloto

• Autenticación MFA activada en todas las cuentas, sin excepciones.
• Bajas Usuarios de quienes ya se fueron eliminados y licencias devueltas.
• Enlaces públicos Enlaces de "cualquier persona" auditados y desactivados donde sea posible.
• Áreas reservadas Dirección, personal y finanzas accesibles solo para quien las necesita.
• Grupo de prueba Entre 5 y 10 usuarios, con fecha fijada para evaluar.

Exige alfabetización en IA. El Reglamento (UE) 2024/1689 está en vigor desde el 1 de agosto de 2024 y se aplica de forma escalonada. Para una empresa que usa ChatGPT o Copilot en el trabajo diario, cuentan tres puntos:

• Desde el 2 de febrero de 2025 Se aplican las prácticas prohibidas y el artículo 4. Quien utiliza IA tiene que asegurarse de que las personas tienen la preparación suficiente para usarla con criterio.
• Julio de 2026 El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de la IA, aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 (sistemas autónomos) y al 2 de agosto de 2028 (sistemas integrados en productos). La alfabetización siguió siendo obligatoria.
• Alto riesgo Abarca, por ejemplo, la selección de candidatos, la biometría y las infraestructuras críticas. Si la IA interviene en la contratación, pida asesoramiento jurídico.

Quien usa IA para redactar mensajes, resumir informes o preparar propuestas no necesita certificación. Necesita demostrar que el equipo conoce la herramienta, sabe dónde falla y trata los datos con cuidado. La regla 5 garantiza esa prueba.

DataRoad no presta asesoramiento jurídico. Ejecutamos la parte técnica (cuentas, accesos, registros) y ayudamos a preparar la sesión de formación.

Velv by OnRising desarrolla software en Oporto, Lisboa y Río de Janeiro, con unos 200 puestos gestionados por DataRoad en IT Unlimited. Casi la mitad de la facturación (45%) procede de clientes internacionales, y el contrato cubre firewall, seguridad de red y políticas de protección.

Para un equipo así, decidir qué información de clientes puede pasar por una IA es rutina, y la regla tiene que ser la misma en las tres ciudades. La política de IA se incorpora al paquete de políticas que ya existe y la ejecuta el mismo equipo que gestiona identidades, accesos y equipos.

1. Preguntar: averigüe qué servicios de IA usa hoy el equipo.
2. Oficializar: elija una herramienta y dótela de cuentas empresariales.
3. Auditar: encargue la revisión de accesos antes de cualquier prueba de Copilot.

Sin MFA generalizada, esa es la prioridad: es el arranque de un modelo Zero Trust adaptado a pymes. Y no olvide que los atacantes también usan IA: merece la pena preparar a las personas contra el phishing y los deepfakes.

DataRoad audita los permisos compartidos de su Microsoft 365, le muestra lo que Copilot haría visible y le entrega la hoja de normas lista para firmar. La protección forma parte del plan IT Unlimited Premium y de nuestra ciberseguridad gestionada completa. Pida una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.

• Verizon DBIR 2026 (resumen ejecutivo)
• Microsoft Learn: privacidad y protección de datos en Copilot
• OpenAI: uso de los datos para entrenar modelos
• EUR-Lex: texto del AI Act, Reglamento (UE) 2024/1689
• EUR-Lex: Ómnibus Digital de la IA, Reglamento (UE) 2026/1744
• Comisión Europea: nuevas fechas para los sistemas de alto riesgo