Todos los días, en oficinas de todo el país, un empleado copia un contrato, un correo o una hoja de cálculo con datos de clientes y lo pega en un chat de inteligencia artificial para que se lo resuma, lo traduzca o lo redacte mejor. Lo hace sin mala intención y casi siempre sin que nadie en la empresa lo sepa. Ese gesto, tan común hoy, tiene un nombre en el derecho tecnológico: Shadow AI o IA en la sombra.
La expresión describe el uso de herramientas de inteligencia artificial por parte de los trabajadores al margen de cualquier autorización, supervisión o control de la organización. No es exactamente nuevo, ya que desde hace años se habla de Shadow IT para referirse al uso de programas no aprobados por el departamento de tecnología de una organización. Pero la inteligencia artificial le añade un ingrediente distinto y más delicado, porque estas herramientas no solo almacenan la información que reciben, sino que la procesan, la analizan y, en muchos casos, la usan para seguir aprendiendo.
Pensemos en un ejemplo sencillo: Una asistente administrativa recibe la lista de empleados con sus salarios para preparar un informe y, para ahorrar tiempo, le pide a un chatbot gratuito que le ordene la información y le genere una tabla resumen. Un abogado junior copia un contrato con cláusulas de confidencialidad para que una IA se lo traduzca al inglés. Un gerente de ventas sube la base de clientes a una herramienta externa para que le redacte un correo personalizado a cada uno. En ninguno de los tres casos hubo intención de dañar a la empresa. En los tres casos, sin embargo, información sensible salió de las manos de la organización sin que nadie lo autorizara ni lo supiera.
Un problema que ya no es solo tecnológico
Durante mucho tiempo, el uso de aplicaciones no autorizadas en el trabajo se veía como un simple asunto de licencias o de política interna. Con la inteligencia artificial generativa, el problema cambia de categoría, porque lo que está en juego ya no es solo el software, sino la información misma: contratos confidenciales, datos financieros, secretos de negocio y, sobre todo, datos personales de clientes, empleados o proveedores.
Cuando esa información sale de la empresa hacia una plataforma externa, sin que nadie evalúe qué proveedor la recibe, dónde se almacena ni bajo qué condiciones, se generan al menos cuatro tipos de riesgo jurídico.
El primero es la pérdida de control sobre la información empresarial. Si la organización no sabe qué herramientas usan sus trabajadores, tampoco puede saber qué pasó con sus datos ni exigir responsabilidad a quien los recibió.
El segundo es la ciberseguridad. Una herramienta externa que nunca fue evaluada por la empresa puede exponer credenciales, introducir vulnerabilidades o abrir una puerta que nadie estaba vigilando. En este punto entra en juego la Ley núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología, aunque conviene ser claro, debido a que esa norma no convierte automáticamente en delito cualquier uso no autorizado de una aplicación de IA, más bien sanciona conductas específicas contra sistemas y datos informáticos.
El tercero, y quizás el más delicado, es la protección de datos personales. Cuando un trabajador introduce en un chatbot los datos de un cliente o de un compañero, está realizando, le guste o no, un tratamiento de datos personales adicional al que la empresa originalmente autorizó. La Constitución dominicana reconoce el derecho a la intimidad y exige que los datos personales se traten con licitud, lealtad y seguridad. De igual forma, la Ley núm. 172-13 desarrolla ese mandato para el sector público y privado. Y desde la entrada en vigor del nuevo Código Penal, Ley núm. 74-25, el asunto adquiere una dimensión todavía más seria, esto se debe a que su artículo 198 sanciona la captación y el uso no consentido de datos personales mediante procedimientos automatizados. Dicho de otro modo, lo que empieza como un atajo para ahorrar tiempo en la oficina puede, en determinadas circunstancias, puede llegar a escalar hasta el terreno penal.
El cuarto riesgo es de naturaleza laboral. El empleador tiene todo el derecho de proteger sus sistemas y establecer reglas sobre las herramientas que se usan en el trabajo. Pero ese control no puede ser ilimitado, debido a que el Código de Trabajo dominicano reconoce el respeto a la intimidad y la dignidad del trabajador como un derecho básico, lo que significa que la respuesta empresarial no puede consistir en vigilar todo sin criterio, sino en fijar reglas claras desde antes de que ocurra el problema.
Lo que dice el derecho comparado
República Dominicana todavía no cuenta con una ley general sobre inteligencia artificial, pero eso no significa que exista un vacío legal absoluto. El marco jurídico dominicano (protección de datos, delitos de alta tecnología, derecho del trabajo, y ahora el Código Penal) ya ofrece herramientas para analizar buena parte de estos riesgos, aunque ninguna norma fue diseñada pensando específicamente en la Shadow AI.
Ahí es donde resulta útil mirar hacia Europa, no para copiar sus leyes, sino para aprender de su experiencia. El Reglamento General de Protección de Datos de la Unión Europea (RGPD) desarrolló hace años el concepto de responsabilidad proactiva: la idea de que la empresa debe poder demostrar, con hechos y no solo con buenas intenciones, que adoptó medidas razonables para prevenir un mal uso de la información. Y el nuevo Reglamento europeo de Inteligencia Artificial, ya en aplicación desde agosto de este año, introduce algo igual de valioso: la obligación de fomentar la alfabetización en inteligencia artificial entre el personal, es decir, capacitar a los trabajadores en lugar de limitarse a prohibirles el uso de estas herramientas.
Ninguna de esas dos normas es derecho dominicano y no deben tratarse como si lo fueran. Pero sus principios, que consisten en minimizar la información que se comparte, elegir proveedores con garantías adecuadas, documentar las medidas de prevención y formar al personal, son perfectamente aplicables, con sentido común, a cualquier empresa dominicana que quiera adelantarse al problema en lugar de reaccionar cuando ya sea tarde.
Qué puede hacer una empresa hoy mismo
La respuesta frente a la Shadow AI no es prohibir la inteligencia artificial ni fingir que el fenómeno no existe. Ambas posturas son igual de ingenuas, la primera empuja al trabajador de vuelta a la sombra, sin ningún control, y la segunda deja a la empresa completamente expuesta.
Lo razonable es construir una política interna, por sencilla que sea al principio, que responda a tres preguntas iniciales: qué herramientas de inteligencia artificial están autorizadas, qué tipo de información puede introducirse en ellas y qué información está terminantemente prohibida de compartir, como datos personales de clientes, información financiera sensible o secretos comerciales.
A esa política hay que sumarle formación real, no un correo que nadie lee, y una alternativa legítima, ya que, si la empresa no ofrece ninguna herramienta segura, no puede sorprenderse de que el trabajador use la que tiene a mano. Y, sobre todo, hay que asumir que la responsabilidad ante un incidente rara vez recae en una sola parte. Si la empresa nunca estableció reglas, nunca capacitó a su personal y nunca ofreció una vía formal, difícilmente podrá señalar solo al trabajador cuando algo salga mal.
En concreto, cualquier organización, sin importar su tamaño, puede empezar con pasos simples: identificar qué herramientas de IA ya están usando sus equipos sin autorización; definir por escrito, en un lenguaje sencillo, qué información nunca debe salir de la empresa hacia estas plataformas; capacitar al personal sobre los riesgos reales, no con amenazas sino con ejemplos concretos; y designar a alguien responsable de evaluar y aprobar nuevas herramientas antes de que se conviertan en costumbre. Ninguno de estos pasos exige un gran presupuesto ni un departamento legal robusto, sino que exige la decisión de no seguir mirando hacia otro lado.
Una oportunidad, no solo un riesgo
La Shadow AI no es una anomalía pasajera, es la consecuencia lógica de tener, en el bolsillo de cada empleado, una herramienta más poderosa que la que tenía cualquier departamento de tecnología hace apenas una década. República Dominicana ya cuenta con una Estrategia Nacional de Inteligencia Artificial y con un marco legal capaz de abordar buena parte de estos riesgos, aunque falte todavía una ley integral sobre la materia.
Mientras ese debate legislativo avanza, la tarea no puede esperar. Las empresas dominicanas que empiecen hoy a construir una cultura de uso responsable de la inteligencia artificial, con reglas claras, formación y sentido de la proporción, no solo se protegerán de un riesgo legal real. También estarán mejor preparadas para aprovechar, con confianza y sin sobresaltos, todo lo que esta tecnología tiene para ofrecer.
Compartir esta nota