Desde redactar correos electrónicos hasta analizar datos, las pequeñas y medianas empresas de todo el mundo están adoptando herramientas de IA para ahorrar tiempo y aumentar la eficiencia. 

Sin embargo, la adopción suele avanzar más rápido que la gobernanza. Si bien los empleados pueden estar ansiosos por utilizar la inteligencia artificial para aumentar la productividad, las empresas que carecen de políticas y salvaguardas claras pueden exponer involuntariamente información sensible, crear problemas de cumplimiento e introducir riesgos de ciberseguridad.

Nuestra encuesta reciente a propietarios de pequeñas empresas reveló que casi el 88% ya utiliza herramientas de IA, ¡pero el 54% las usa sin ninguna directriz o política formal!

La buena noticia es que no tiene que elegir entre innovación y seguridad. Al comprender los riesgos comunes relacionados con la IA y establecer algunos límites prácticos, las pequeñas empresas pueden aprovechar la IA al mismo tiempo que ayudan a proteger sus operaciones, empleados y clientes. 

Riesgos comunes de la IA para las pequeñas empresas 

Compartir información sensible con herramientas públicas de IA 

Uno de los riesgos de la IA más comunes ocurre cuando los empleados ingresan información sensible en plataformas públicas de IA. Un empleado podría copiar y pegar información financiera confidencial, datos de clientes, informes internos o el texto de un contrato en un chatbot para resumir un documento o mejorar su redacción. Es importante destacar que la información compartida con sistemas públicos de IA podría ser almacenada o procesada por terceros.  

Esto puede plantear riesgos para la información comercial patentada, la privacidad del cliente y el cumplimiento normativo. Es posible que los empleados no se den cuenta de que los datos ingresados en una herramienta de IA pueden salir del control directo de la organización. Antes de adoptar la IA, defina claramente por escrito qué información se puede y no se puede compartir con plataformas externas.

Uso de IA para revisar código o sistemas patentados

Los desarrolladores y profesionales de TI ahora suelen utilizar herramientas de IA para solucionar problemas de código, generar scripts y acelerar proyectos. Si bien estas herramientas pueden ser útiles, pueden generar riesgos si los empleados cargan código fuente patentado, estructuras de bases de datos o documentación técnica sensible. Compartir esta información puede exponer la propiedad intelectual o revelar detalles sobre los sistemas internos que nunca se pretendió que salieran de la organización. En muchos casos, es posible que los empleados ni siquiera se den cuenta de que la información que comparten podría considerarse sensible.

Al igual que con los demás empleados, establezca directrices claras sobre cómo los desarrolladores y los equipos técnicos pueden utilizar las herramientas de IA de forma segura.

Confiar en la IA sin verificación: "alucinaciones"

Los sistemas de IA pueden generar contenido que parece preciso y profesional, incluso cuando contiene errores. Este fenómeno, a menudo llamado "alucinación", ocurre cuando un modelo de IA presenta información incorrecta como si fuera un hecho. Obviamente, esto puede crear enormes problemas para las pequeñas empresas y para todos los demás. Los empleados pueden utilizar contenido generado por IA para comunicaciones con clientes, informes comerciales, documentación de cumplimiento o desarrollo de software. Si ese contenido se publica o se implementa sin revisión, los errores se propagan a la velocidad de internet.

La IA debe ser tratada como una herramienta que ayuda en la toma de decisiones humanas, no como un reemplazo de ella. Todo el material generado por IA necesita revisión humana.

El auge de la IA en la sombra (shadow AI)

Muchos empleados descubren nuevas herramientas de IA por su cuenta y comienzan a usarlas sin la aprobación de los líderes o del personal de TI. Esta práctica, llamada "shadow AI", plantea desafíos de visibilidad y seguridad. Las extensiones de navegador no aprobadas, los asistentes de IA y las aplicaciones de terceros pueden recopilar datos, almacenar credenciales o integrarse con los sistemas de la empresa de formas que no se comprenden por completo. Cuando las organizaciones no saben qué herramientas de IA utilizan los empleados, resulta muy difícil gestionar el riesgo. Un incidente de seguridad que involucre un servicio de "shadow AI" que sus empleados no saben que están usando podría exponer información comercial sensible o datos de clientes.

Mejores prácticas de IA para pequeñas empresas

Ahora que conoce los riesgos, aquí tiene una lista de verificación de lo que puede hacer.

Crear una Política de Uso Aceptable (AUP) de IA

Toda empresa debería establecer reglas básicas para el uso de la IA. Una Política de Uso Aceptable (AUP) de IA ayuda a los empleados a comprender cómo se puede utilizar la IA de forma segura y responsable en el lugar de trabajo. Como mínimo, la política debe identificar claramente qué tipos de información nunca deben ingresarse en herramientas públicas de IA. Esto puede incluir información de identificación personal (PII), información de salud protegida, registros financieros, datos de clientes, secretos comerciales y código fuente patentado. Su AUP también puede enumerar las herramientas de IA aprobadas que los empleados están autorizados a utilizar.

Elegir plataformas de IA adecuadas para empresas

No todos los servicios de IA ofrecen el mismo nivel de protección de privacidad y seguridad. Las pequeñas empresas deberían considerar versiones comerciales o empresariales de las herramientas de IA que brindan una protección contractual más sólida en torno al manejo de datos y el entrenamiento de modelos. Estas ofertas suelen incluir controles administrativos, funciones de seguridad y compromisos de privacidad que podrían no estar disponibles con las versiones de consumo gratuitas. Al igual que con cualquier tecnología, revise la política de privacidad, los controles de seguridad y las prácticas de retención de datos de una plataforma de IA.

Mantener a los humanos en el proceso

La supervisión humana sigue siendo, tal vez, la salvaguarda más importante al utilizar la IA. Los empleados deben verificar el contenido generado por IA antes de compartirlo externamente o usarlo para tomar decisiones comerciales. Los desarrolladores de software deben revisar el código generado por IA antes de implementarlo en entornos de producción. Los equipos de marketing deben verificar los hechos del contenido generado por IA antes de su publicación. Trabaje con su equipo para crear un proceso de revisión.

Capacitar a los empleados sobre los riesgos de la IA

Los empleados necesitan orientación práctica sobre cómo utilizar la IA de manera responsable. Las sesiones de capacitación cortas y enfocadas pueden ayudar al personal a comprender los errores comunes y aprender a evitarlos. La capacitación debe cubrir temas como la protección de la información sensible, el reconocimiento de ataques de phishing y deepfakes generados por IA, y la comprensión de las diferencias entre las herramientas públicas de IA y las soluciones aprobadas para empresas. Nuestra encuesta reveló que más del 40% de los propietarios de pequeñas empresas dijeron que una capacitación corta (de 15 a 30 minutos) es su herramienta más necesaria, ¡así que piense en mantener la capacitación corta, amena y frecuente!

La adopción segura de la IA comienza con expectativas claras 

La IA tiene el potencial de ayudar a las pequeñas empresas a trabajar de manera más eficiente y competir en un mercado que cambia rápidamente. Sin embargo, como toda tecnología, introduce nuevos riesgos que las empresas deben gestionar. Las pequeñas empresas más exitosas que ven oportunidades en la IA serán aquellas que establezcan expectativas claras, capaciten a sus empleados e implementen salvaguardas escritas prácticas. 

Lea la encuesta a propietarios de pequeñas empresas que impulsó este artículo y regístrese en CyberSecure My Business de la NCA para obtener más información. Además, ¡suscríbase a nuestro boletín informativo gratuito por correo electrónico para obtener más mejores prácticas de ciberseguridad!