Casi la mitad ( 48.5 %) de las empresas mexicanas con más de 100 trabajadores declaró utilizar tecnología de inteligencia artificial (IA), de acuerdo con el Banco de México, sin embargo, el sondeo no indaga si esas compañías cuentan con lineamientos para su uso.
Sobre ese vacío Gustavo Sánchez, CEO de TecnetOne, aseveró que gobernar la IA es una tarea de la dirección y del área de tecnología, y que debe resolverse antes de que ocurra un incidente.
Para Sánchez, gobernar a la Inteligencia Artificial es una decisión de dirección, comparable al presupuesto o al cumplimiento normativo, y debe tomarse antes de que haga falta. Tras un incidente, concluyó, sólo queda explicar por qué nadie la tomó.
Una encuesta de Gartner a 302 líderes de ciberseguridad encontró que 69 por ciento de las organizaciones sospecha, o tiene evidencia, de que su personal recurre a herramientas públicas de IA generativa que la empresa había prohibido.
El estudio de privacidad 2026 de Cisco, aplicado a más de 5 mil 200 profesionales de tecnología, seguridad y privacidad en 12 mercados, entre ellos México, muestra otra brecha. Tres de cada cuatro participantes afirman que su organización ya cuenta con un comité de gobierno de IA, pero solo 12 por ciento lo califica como maduro.
En la práctica, el control suele limitarse a una hoja de cálculo con las herramientas permitidas, un correo que pide no compartir información sensible y una política en PDF poco consultada. Cada área, además, paga su propia suscripción con la tarjeta corporativa, y las cuentas personales sustituyen a la herramienta aprobada cuando esta no existe o no llega a quien la necesita.
Para el CEO de TecnetOne, la respuesta comienza con un reparto de funciones donde la dirección define qué información puede salir de la empresa y quién responde si sale.
Sin esa división—agrega--, el área técnica queda como la que prohíbe sin respaldo, y el personal migra a sus cuentas personales.
El propio estudio de Cisco advierte que las prohibiciones totales son difíciles de hacer cumplir en el trabajo diario.
“Cuando una empresa prohíbe la IA sin ofrecer una alternativa, los colaboradores la siguen usando desde sus cuentas personales donde nadie las ve. La IA sin control se convierte en un riesgo de ciberseguridad”, afirmó Sánchez.
La recomendación de Sánchez empieza por un inventario: saber qué herramientas usa hoy el personal y ofrecer una aprobada antes de retirar las demás. A partir de ahí, gobernar la IA se resume en cuatro decisiones que caben en una junta. Se trata de definir qué información puede entrar, por cuál herramienta, quién aprueba lo que la IA propone y qué queda registrado de cada paso. Con esas respuestas por escrito, la empresa puede explicar qué hace cada herramienta con sus datos y quién responde si algo falla.
TecnetOne tiene su sede en México, opera en América Latina y Europa y cuenta con la certificación ISO 27001. En su centro de operaciones de seguridad, agentes de IA realizan la primera revisión de las alertas. Una persona define antes los parámetros de detección, contención y reacción, e interviene cuando se requiere criterio o cuando alguien debe responder por una decisión. El agente propone y el cliente aprueba.
La compañía resume este enfoque en tres exigencias para su propia operación. La IA debe ser observable, gobernable e interrumpible.
“Cada acción queda registrada con la propuesta del agente y el registro de quien la aprobó. Esa es la diferencia entre usar inteligencia artificial y gobernarla”, dijo Sánchez.
Mientras se decide si se escribe la regla, la IA ya trabaja dentro de la empresa. Resume contratos, prepara cotizaciones y opera desde cuentas personales sin pedir autorización.