Si eres responsable de legal, riesgos o cumplimiento, lo más probable es que ya tengas este problema y todavía no lo hayas puesto en una reunión: alguien de tu equipo comercial pegó un contrato en ChatGPT para resumirlo, alguien de finanzas subió un reporte con cifras reales a una herramienta de IA para pedirle un análisis, y nadie en la empresa sabe con certeza qué información puede entrar ahí y cuál nunca debería salir.
El problema no es la IA, es no tener reglas
Prohibir el uso de IA no funciona: la gente la va a usar igual, solo que desde su celular personal y sin que nadie se entere. A esto ya le pusieron nombre: shadow AI, el equivalente de IA al software que la gente instalaba sin avisarle a sistemas. La diferencia es que acá el riesgo no es una licencia pirata, es información confidencial de la empresa saliendo hacia un servidor que nadie en legal revisó.
La alternativa real es escribir las reglas antes de que un incidente te obligue a escribirlas con prisa. Y acá suele pasar algo contraintuitivo: el área legal, que normalmente actúa como freno, es la que mejor puede convertirse en la que habilita el uso de IA en el resto de la empresa, siempre que sea la primera en tener su propio criterio claro en vez de esperar a que otra área se lo pida.
Qué debe decir una política de uso de IA, como mínimo
- ▸Qué herramientas de IA están aprobadas para uso corporativo y cuáles no
- ▸Una clasificación simple de la información: pública, interna y confidencial, y en qué herramienta puede usarse cada una
- ▸Revisión humana obligatoria antes de que cualquier output de IA salga de la empresa o se use para decidir algo
- ▸Responsables claros: quién aprueba una herramienta nueva y quién responde si algo sale mal
Ninguno de estos cuatro puntos requiere que legal sepa programar ni entender cómo funciona un modelo por dentro. Requiere entender los riesgos reales —datos personales, propiedad intelectual, sesgos, respuestas inventadas— y traducirlos a reglas que el resto de la empresa pueda seguir sin pensarlo dos veces.
El caso típico: revisión de contratos con IA
Es el uso más obvio y, a la vez, el más delicado. Usar IA para resumir cláusulas, comparar versiones de un contrato o detectar riesgos puede ahorrar horas reales en un área donde el tiempo del equipo legal suele ser el cuello de botella de todo el negocio. El problema aparece cuando esa revisión reemplaza el criterio humano en vez de acelerarlo. La regla que funciona en la práctica es simple: la IA propone, una persona con firma y responsabilidad legal revisa y decide. Nunca al revés.
Esto implica trabajar con documentos reales, y ahí es donde muchas empresas se trancan: nadie quiere exponer contratos reales a un proceso de capacitación externo. La salida práctica es trabajar bajo acuerdo de confidencialidad, en las herramientas que la empresa ya aprobó, o directamente con documentos anonimizados cuando el caso lo permite. Lo importante es que el equipo practique con el tipo de documento que va a revisar después en su trabajo diario, no con ejemplos genéricos que no se parecen a nada de lo que realmente cruza su escritorio.
Legal no tiene que ser el área que frena la IA en tu empresa. Puede ser la que la habilita, siempre que sea la primera en escribir sus propias reglas antes de que otra área las necesite.
Qué nivel de madurez necesita tu equipo antes de empezar
Ninguno. Y esto suele sorprender a quien pospone la conversación esperando "el momento ideal". No hace falta que tu equipo legal ya use IA, ni que la empresa tenga comité de riesgos, ni que exista un área de datos formal. Lo único que hace falta es admitir que la gente ya está usando estas herramientas con información de la empresa, y que cada semana sin una regla clara es una semana más de exposición sin que nadie la esté midiendo.
Lo que sí cambia según el tamaño de la empresa es el alcance de la política, no si hace falta tenerla. Un equipo de veinte personas puede resolver esto con un documento de dos páginas y una sesión de media hora para explicarlo. Una empresa de quinientos necesita además un proceso de aprobación por área y alguien que lo mantenga actualizado conforme aparecen herramientas nuevas, que en IA es constante.
Esto no reemplaza la asesoría legal de tu país
Vale aclararlo porque suele generar confusión: un programa de este tipo forma a tu equipo para que entienda los riesgos de la IA y escriba sus propias reglas, trabajando los principios generales de protección de datos personales y cómo se aplican al uso de IA. La revisión puntual de la normativa de cada país —que cambia de Perú a México a Colombia— la sigue haciendo el equipo legal de la empresa, con su propio criterio. La política final siempre la aprueba la empresa, no un proveedor externo.
Cómo armar esto sin parar la operación del área
Esto no sale bien de un documento redactado a puertas cerradas ni de un webinar de dos horas. En DataPath lo trabajamos como un programa corto —AI Governance para el área legal—, con sesiones en vivo de 12 horas repartidas para no detener el trabajo diario del área. El equipo sale con tres entregables concretos: la política de uso de IA redactada y lista para aprobar, la información de la empresa ya clasificada, y un flujo de revisión documental asistido por IA con una persona que firma al final.
No es solo para empresas grandes con comité de compliance
El error típico es pensar que esto solo aplica a bancos o aseguradoras con un área de riesgos de veinte personas. En la práctica, cualquier empresa mediana que ya tiene gente usando ChatGPT o Claude para trabajar —y hoy eso es casi cualquier empresa— tiene exactamente el mismo problema, solo que sin nadie dedicado a notarlo. Mientras más pequeño el equipo legal, más valioso es tener una política simple y clara, porque no hay margen para resolver cada caso dudoso en una reunión aparte.
El escenario que casi siempre destraba la conversación con la gerencia es este: alguien sube una lista de clientes o un contrato con cifras reales a una cuenta gratuita de IA para "ahorrar tiempo", y esa información queda en manos de un tercero sin que nadie lo haya autorizado ni lo sepa. No hace falta que ocurra un escándalo público para que sea grave. Basta con que un cliente, un socio o un regulador pregunte qué pasó con su información y la respuesta sea "no estamos seguros".
Esto no se resuelve con un webinar suelto
Llevamos más de 1,500 profesionales formados y más de 100 empresas en LATAM —entre ellas Entel, BCP y Scotiabank— con un proceso de cuatro pasos sin vueltas: conversamos sobre el problema real, hacemos un diagnóstico sin costo, diseñamos el plan a la medida del área y lo dictamos con instructores que siguen trabajando hoy en el puesto que enseñan. Todo el detalle de cómo formamos equipos completos, incluida la parte legal, está en /empresas.
Para seguir avanzando
Revisa el programa completo de AI Governance para el área legal, conversemos sin costo en /empresas, o revisa qué tan lista está tu empresa para adoptar Claude para empresas con las reglas correctas desde el día uno.
