En este artículo
Una política de IA en la empresa se reduce a tres decisiones de gestión: qué herramientas se aprueban y con qué cuenta, qué datos no entran nunca en ellas y quién ve qué en Microsoft 365 antes de activar Copilot. Se toman en una reunión, caben en una hoja A4 y evitan la fuga de datos más común de 2026. Esta guía muestra el orden correcto y lo que la Ley de IA europea (AI Act) ya exige a las pymes.
El punto de partida: la IA ya está en sus ordenadores
Según el Data Breach Investigations Report de Verizon de 2026, el 45 % de los trabajadores ya usa IA con regularidad en equipos de la empresa; el año anterior eran el 15 %. Y el 67 % lo hace con cuentas que no pertenecen a la empresa. La llamada IA en la sombra, es decir, herramientas usadas sin aprobación, ya es la tercera acción interna no maliciosa más frecuente en los registros de fugas de datos.
La conclusión práctica es que prohibir no funciona. Sin una herramienta oficial y reglas claras, la gente recurre a su cuenta personal y la empresa deja de saber qué sale.
Dónde está el riesgo, en dos escenarios
Escenario 1: datos sensibles en cuentas personales
Nadie actúa de mala fe: alguien de contabilidad pega un extracto para resumirlo, un comercial pega el correo de un cliente, recursos humanos pide ayuda para reformular una evaluación.
Lo que decide el riesgo son las condiciones de uso. OpenAI indica que, en los servicios para particulares, el contenido de las conversaciones puede usarse para entrenar modelos, salvo que el usuario desactive esa opción. En los planes empresariales y en la API ocurre lo contrario: por defecto, el contenido no se usa para entrenar. La diferencia está en una cuenta de la empresa, gestionada por la empresa.
Una imagen útil: usar IA con una cuenta personal es discutir un contrato en una terraza llena: no sabe quién escucha ni qué queda registrado. La cuenta empresarial es la sala de reuniones, con normas propias y registro de entradas.
Escenario 2: Copilot deja al descubierto los permisos mal configurados
Microsoft 365 Copilot no se salta los permisos. Microsoft documenta que solo muestra datos de la organización a los que el usuario ya tiene al menos acceso de lectura. El problema está precisamente ahí.
En las auditorías de DataRoad aparecen con frecuencia recursos compartidos olvidados: la carpeta de dirección abierta a todos, un enlace para cualquier persona de la organización creado hace tres años para el archivo de nóminas, un sitio de SharePoint de un proyecto antiguo sin restricciones. Hasta ahora nadie se daba cuenta. Con Copilot, basta con preguntar por los salarios del equipo comercial y, si los permisos lo permiten, la respuesta aparece.
La secuencia correcta es revisar primero los permisos en SharePoint, OneDrive y Teams y solo después activar Copilot en un grupo piloto. Es configuración de Microsoft 365 gestionado, no una compra.
La hoja de normas, lista para firmar
La hoja debe firmarla la dirección, no el departamento de IT.
| Norma | En la práctica | Responsable |
|---|---|---|
| 1. Herramientas aprobadas, cuenta de la empresa | Lista corta de herramientas autorizadas; cuentas personales fuera del trabajo. | Dirección e IT |
| 2. Datos prohibidos | Datos personales de clientes y empleados, salud, salarios, contraseñas, contratos y propuestas confidenciales. | Cada usuario |
| 3. Permisos antes de Copilot | Revisión de recursos compartidos y enlaces abiertos; Copilot primero en un grupo piloto. | IT |
| 4. Validación humana | La IA prepara, una persona confirma cifras, nombres y hechos antes de enviar a un cliente. | Responsables de equipo |
| 5. Formación registrada | Sesión breve para todos, con lista de asistencia: la base de la alfabetización en IA. | Recursos humanos |
Estas normas se suman a las políticas internas de ciberseguridad que cualquier empresa de más de 10 personas debería tener por escrito.
Antes de activar Copilot, compruebe
- MFA Autenticación multifactor activa en todas las cuentas.
- Cuentas antiguas Antiguos empleados eliminados y licencias recuperadas.
- Enlaces abiertos Recursos compartidos con cualquier persona revisados y, si es posible, desactivados.
- Carpetas sensibles Dirección, recursos humanos y finanzas restringidas a quien las necesita.
- Piloto Grupo de 5 a 10 personas y plazo para evaluar.
Lo que la Ley de IA ya pide a una pyme
El Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689— está en vigor desde el 1 de agosto de 2024 y se aplica por fases. Para quien usa ChatGPT o Copilot en el día a día:
- 2 de febrero de 2025 Empiezan a aplicarse las prácticas prohibidas y el artículo 4: quien usa IA debe garantizar que su personal tiene conocimientos suficientes para usarla con criterio.
- Julio de 2026 El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, aplazó las normas de alto riesgo al 2 de diciembre de 2027 (sistemas autónomos) y al 2 de agosto de 2028 (integrados en productos). La obligación de alfabetización se mantuvo.
- Alto riesgo Incluye selección de personal, biometría e infraestructuras críticas. Si usa IA para filtrar candidatos, consulte a su abogado.
Para quien usa IA para redactar correos, resumir documentos o preparar propuestas, la ley no exige certificaciones. Exige que las personas conozcan la herramienta, sus límites y las precauciones con los datos, y que la empresa pueda demostrarlo. La norma 5 cubre esto.
DataRoad no presta asesoramiento jurídico. Implanta la parte técnica —cuentas, permisos y registros— y ayuda a preparar la formación.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Ejemplo: las mismas normas en tres oficinas
Velv by OnRising desarrolla software desde oficinas en Oporto, Lisboa y Río de Janeiro y tiene unos 200 puestos con contrato IT Unlimited con DataRoad. Los clientes internacionales suponen el 45 % de su cartera y el contrato incluye la gestión del firewall, la seguridad de red y las políticas de protección.
Aquí, saber qué datos de clientes pueden ir a una herramienta de IA es una cuestión diaria, y la respuesta tiene que ser idéntica en las tres oficinas. Por eso las normas de IA no son un proyecto aparte: se integran en las políticas existentes y las aplica el equipo que ya gestiona cuentas, permisos y equipos.
Tres pasos para esta semana
- Levantamiento: pregunte al equipo qué herramientas de IA está usando.
- Elección: defina una herramienta oficial con cuenta empresarial.
- Revisión: solicite una auditoría de permisos antes de cualquier piloto de Copilot.
Si el MFA aún no está resuelto, empiece por ahí: es el primer paso de Zero Trust en cuatro pasos para pymes. Y recuerde que la IA también sirve a quien ataca: prepare al equipo frente al phishing y los deepfakes.
Preguntas frecuentes
¿Tiene sentido prohibir ChatGPT?
Prohibir sin alternativa empuja a la gente a sus cuentas personales, fuera del control de la empresa. Es más seguro aprobar una herramienta con cuenta empresarial y definir los datos que nunca deben entrar en ella.
¿Puede Copilot mostrar archivos a quien no debería verlos?
Solo muestra lo que la persona ya tiene permiso para ver. Si hay carpetas compartidas con todos o enlaces antiguos abiertos, Copilot hace evidente ese error. De ahí la importancia de revisar los permisos antes de activarlo.
¿La alfabetización en IA se aplica también a las pequeñas empresas?
Sí. El artículo 4 de la Ley de IA se aplica desde el 2 de febrero de 2025 a quien usa IA de forma profesional, sea cual sea su tamaño. Una formación breve, normas por escrito y un registro de asistencia son un buen comienzo; para la interpretación jurídica, hable con su abogado.
¿Hacen falta licencias nuevas?
No siempre. La mayor parte del trabajo consiste en configurar lo que ya existe: MFA, permisos y cuentas empresariales en las herramientas aprobadas. Las licencias de Copilot tienen sentido después de esa base.
Permisos revisados y normas de IA en 10 días laborables
DataRoad revisa los recursos compartidos de su Microsoft 365, le muestra lo que Copilot pasaría a exponer y entrega la hoja de normas lista para firmar. La seguridad forma parte de los planes IT Unlimited Premium, con ciberseguridad gestionada de principio a fin.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Solicite una propuesta sin compromiso.
Fuentes
- Verizon — 2026 Data Breach Investigations Report, Executive Summary
- Microsoft Learn — Datos, privacidad y seguridad de Microsoft 365 Copilot
- OpenAI — How your data is used to improve model performance
- EUR-Lex — Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial)
- EUR-Lex — Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA)
- Comisión Europea — Acuerdo para simplificar las normas de IA
