La IA en tu mapa de riesgos: ficha por herramienta
Un correo impecable o una voz conocida pueden hacerte bajar la guardia, y una herramienta que te ahorra trabajo puede recibir información sensible. Apunta cada uso de IA de tu empresa en tu mapa de activos y revisa su efecto en el semáforo.
3 min de lectura
Puedes adaptarlo a tu empresa. También puedes imprimir esta página o guardarla como PDF desde tu navegador.
Qué cambia con la IA
La IA generativa produce textos, imágenes o audio a partir de instrucciones; otras técnicas buscan patrones en datos. El riesgo no empieza cuando compras una aplicación nueva: revisa también las funciones de IA del correo, la ofimática, el programa de gestión o los servicios de un proveedor. La pregunta útil es qué información reciben y qué pueden hacer con ella.
Ante un mensaje, la buena ortografía, el logotipo o una voz familiar no bastan para confiar. Fíjate en lo que te piden: pagos, cambios de cuenta, credenciales, códigos o acceso remoto. No necesitas demostrar que hay IA para parar y comprobar con un contacto que ya conoces.
Antes de empezar
- He preguntado a administración, comercial y al proveedor informático qué herramientas de IA usan realmente, incluidas las pruebas y las cuentas personales que se usan para trabajar.
- He revisado las funciones de IA integradas en programas que ya usamos.
- Si no he encontrado usos, he anotado «sin uso identificado tras consultar a…» y una fecha de revisión.
- Describo categorías de información, sin copiar datos personales, contraseñas, contratos ni documentos confidenciales.
Ficha de cada uso de IA
- Herramienta y responsable: qué servicio, función o proveedor es, quién lo usa y quién autoriza su uso.
- Datos que recibe: solo textos públicos o también pedidos, precios, datos personales o trazabilidad, y si alguien ha revisado las condiciones y la configuración.
- Accesos y acciones: si solo propone un texto o puede leer carpetas, enviar mensajes o modificar registros, y con qué cuenta y permisos.
- Proceso y dependencia: para qué trabajo sirve y si podemos continuar de otra forma cuando falla, se equivoca o deja de estar disponible.
- Criticidad y control: qué daño provocaría su pérdida, exposición o alteración, quién revisa la salida y qué acción falta.
Lleva la IA a tu semáforo
Mantén las ocho áreas de tu semáforo de exposición y añade estas comprobaciones a las áreas relacionadas, sin calcular una media que oculte un rojo. Si no sabes si existe una medida, no la des por cubierta.
- Inventario y accesos: identifico los usos de IA, sus responsables y sus permisos, y puedo comprobarlos.
- Web, tienda y datos: conozco los datos que pueden entrar en la IA y se usa una herramienta autorizada con controles revisados.
- Verificación de pagos y formación del personal: el equipo aplica una comprobación independiente ante cambios de cuenta y peticiones sensibles, aunque reconozca la voz.
Tu acción en 15 minutos
- Elige un uso de IA y completa su ficha.
- Actualiza al menos un área de tu semáforo con su evidencia.
- Decide una acción con responsable y plazo. Ejemplo ficticio: el responsable comercial y el informático revisan en siete días la herramienta de traducción, los datos que se pegan y sus permisos.