Gobernanza de IA en equipos legales: políticas mínimas antes de escalar

Cuando una organización responde a la aparición de la IA generativa con una prohibición general, el efecto observable no es que deje de usarse. Es que se usa desde dispositivos personales, sin registro y sin criterio. La política existe en el papel y el riesgo real aumenta.

Una política que funciona parte de una clasificación honesta del uso. Hay tareas donde no hay información sensible y el riesgo es bajo: redactar un correo, resumir un texto público, reformular un párrafo. Hay tareas con datos internos donde importa qué servicio se usa y bajo qué condiciones contractuales. Y hay tareas con datos personales, información privilegiada o material sujeto a confidencialidad reforzada, donde corresponden reglas estrictas o directamente la prohibición.

Esa clasificación es más útil que una lista de herramientas aprobadas, porque las herramientas cambian cada pocos meses y los criterios sobreviven. Además permite que las personas decidan bien frente a un caso nuevo, en vez de buscar en un listado que siempre estará desactualizado.

El segundo componente es la verificación. Toda salida de un sistema generativo que vaya a producir efectos externos necesita un responsable humano identificable que la revisó. No como formalidad, sino como práctica: quien firma responde. Esto resuelve buena parte de la discusión sobre responsabilidad sin necesidad de doctrina nueva.

El tercero es el registro. Saber qué se está usando, para qué y con qué frecuencia. No con propósito de control disciplinario, que destruye la información, sino para entender dónde la organización está apoyándose en estos sistemas y dónde conviene invertir en criterios o formación. Un registro que la gente teme se llena de mentiras y deja de servir.

Hay un cuarto elemento que suele faltar: qué hacer cuando algo sale mal. Un canal claro para reportar un error, sin consecuencias para quien lo reporta, es lo que permite corregir a tiempo. Sin eso, los errores se descubren tarde y por el peor camino.

Sobre quién debe redactar la política, mi opinión es que legal no puede hacerlo solo. Necesita a tecnología para entender qué es técnicamente posible, a seguridad para el tratamiento de datos y a las áreas que van a usarla para que las reglas sean cumplibles. Una política escrita sin ese contacto suele prohibir cosas inofensivas y omitir las que importan.

El objetivo no es eliminar el riesgo, que no es posible, sino hacerlo visible y gestionable. Una organización que sabe cómo se está usando la IA en su interior está en mucho mejor posición que una que cree que no se usa.

Felipe Besnier — Legalmente Ágil