La IA ya trabaja en su empresa: ¿alguien la entrevistó?

Contratar una persona implica entrevistas, pruebas técnicas, un contrato y una inducción. Ninguna empresa deja que una persona empiece a trabajar sin pasar por un proceso juicioso de contratación y una vez contratados inicia el proceso de remuneración y desarrollo. Desafortunadamente, con la inteligencia artificial, no ocurre lo mismo.

En la mayoría de las PYMES, la IA entró pasando desapercibida: un empleado que empezó a usar ChatGPT para redactar correos, otro que subió una hoja de cálculo a una herramienta de análisis, un tercero que probó un asistente de código. Nadie sabe lo que firmó, ni preguntó qué información entraba o quién revisaba después el resultado.

Eso fue justamente lo que le pasó a Samsung en 2023, poco después de autorizar el uso de ChatGPT en su división de semiconductores. Algunos empleados subieron información confidencial a la herramienta para resolver tareas puntuales: código fuente, actas de reuniones internas, secuencias de prueba de los chips. Esa información salió de los sistemas de la empresa y quedó en los servidores de un tercero. Samsung terminó prohibiendo internamente la herramienta y desarrollando una propia, con límites estrictos de lo que se puede escribir en ella.

El riesgo no se limita a la fuga de información. En febrero de 2024, un tribunal canadiense obligó a una aerolínea a responder por una promesa que su propio chatbot le había hecho a un cliente, y que la empresa no quería cumplir. Su defensa —que el chatbot era una entidad separada, responsable de sus propias respuestas— no fue aceptada. Para el tribunal, la empresa responde por lo que dice su IA igual que respondería por cualquier otro canal de atención.

En enero de 2026, una corte federal de Estados Unidos fue todavía más allá en el caso Trinidad v. OpenAI: desestimó una demanda por apropiación de secretos empresariales porque la demandante había desarrollado esas metodologías dentro de ChatGPT. Al hacerlo, había renunciado a las medidas de confidencialidad que la ley exige para proteger algo como secreto. El conocimiento que una empresa construye dentro de una IA pública puede dejar de ser, para efectos legales, un secreto.

Colombia todavía no tiene una ley integral de inteligencia artificial. El país cuenta con lineamientos generales, como el Documento CONPES 3975 de 2019, y con el régimen de protección de datos personales de la Ley 1581 de 2012, que sí aplica de lleno a buena parte de lo que ocurre cuando un empleado introduce información de un cliente en una herramienta de IA. La ausencia de una norma específica no es una licencia para esperar: es, más bien, la razón para empezar a ordenar la casa conforme a la normatividad vigente aplicable y como preparación para la llegada de una norma especial en la materia.

Todo esto implica empezar a estructurar la gobernanza de la IA en la empresa, incluso en una PYME. Pero eso no significa arrancar por un sistema de gestión complejo ni por una certificación costosa. Significa lo mismo que exige contratar bien: saber qué sistemas se están usando, para qué, con qué información y bajo qué reglas. Por ahí pueden empezar las pymes: identificando qué herramientas de IA se usan hoy en la empresa, conociéndolas, y fijando reglas básicas sobre si pueden o no usarse y qué usos se les puede dar.