Cómo los flujos de trabajo basados en la inteligencia artificial están cambiando la forma en que las empresas abordan el riesgo relacionado con los datos
Durante años, el riesgo relacionado con los datos tenía un perfil relativamente conocido. A las empresas les preocupaba dónde se almacenaban los datos, quién podía acceder a ellos, si estaban cifrados, si los sistemas tenían las actualizaciones instaladas y si una filtración pondría en peligro la información de los clientes o de los empleados. El modelo no era sencillo, pero al menos resultaba reconocible: proteger la base de datos, controlar los permisos, supervisar a los proveedores, formar a los empleados y prepararse para los incidentes.
Los flujos de trabajo basados en la inteligencia artificial han cambiado esa situación.
El riesgo ya no es solo ese datos podrían ser robados, filtrados o utilizados indebidamente por un empleado. El riesgo radica en que los datos circulan por sistemas automatizados, se combinan con otra información, son interpretados por un modelo, se convierten en la base de una recomendación y, a continuación, influyen de forma discreta en una decisión empresarial. En esa cadena, es posible que una empresa no siempre sepa qué datos se utilizaron, si eran precisos, si se deberían haber utilizado en absoluto o quién es responsable del resultado.
Ese es el verdadero cambio. La IA no solo genera nuevos riesgos relacionados con los datos por el hecho de consumir más datos, sino que modifica la lógica operativa del propio riesgo.
Un agente de atención al cliente puede consultar los tickets de asistencia, las políticas internas y los registros del CRM antes de redactar una respuesta. Un flujo de trabajo financiero puede analizar facturas, detectar anomalías y activar un proceso de escalación. Una herramienta de selección de personal puede clasificar a los candidatos. Un asistente jurídico puede buscar contratos. Una herramienta de ventas puede generar las mejores acciones a seguir a partir del comportamiento de los clientes. Un flujo de trabajo de cumplimiento normativo puede examinar transacciones y señalar patrones sospechosos.
Cada uso puede parecer eficaz por sí solo. En conjunto, convierten los datos de la empresa en una capa de toma de decisiones en tiempo real.
El riesgo relacionado con los datos ha pasado de la base de datos al flujo de trabajo
La gobernanza tradicional de los datos suele comenzar con la clasificación: públicos, internos, confidenciales, restringidos. Esto sigue siendo necesario. Sin embargo, los flujos de trabajo basados en la inteligencia artificial plantean una cuestión más compleja: ¿qué ocurre con los datos una vez que el sistema los ha leído?
Un documento que antes se encontraba a buen recaudo en un repositorio seguro ahora puede ser recuperado por un asistente de IA, resumido, combinado con otros documentos y utilizado para generar una recomendación. Un agente puede acceder al expediente de un cliente para redactar una respuesta de atención al cliente. Un contrato confidencial puede consultarse a través de un sistema de búsqueda que facilite la localización de sus cláusulas. Un empleado que quiera ahorrar tiempo puede subir una hoja de cálculo a una herramienta externa de IA.
El riesgo no es solo el acceso. Es la transformación.
Una vez que la IA empieza a transformar la información, las empresas deben prestar atención a la procedencia, el contexto, la precisión, la conservación y el uso posterior. ¿Era fiable la fuente? ¿Estaba actualizado el documento? ¿Confundió el modelo un borrador de política con una política aprobada? ¿Resumió una cláusula de forma demasiado tajante? ¿Combinó datos personales con datos de otro sistema de una forma que la empresa nunca había previsto?
Reuters Legal ha advertido recientemente de que los agentes autónomos de inteligencia artificial plantean problemas de privacidad, ya que pueden acceder al correo electrónico, a documentos y a bases de datos, tratar datos personales a gran escala, conservar la memoria y tomar decisiones sin el tipo de supervisión humana que se da por sentado en muchos acuerdos de privacidad vigentes. (reuters.com)
Por eso, la gestión de los riesgos relacionados con la IA no puede recaer únicamente en el departamento de seguridad informática. Ahora es responsabilidad de los departamentos jurídico, de cumplimiento normativo, de riesgos, de operaciones, de compras, de gobernanza de datos y de los equipos de negocio que realmente utilizan los flujos de trabajo.
El nuevo riesgo no es solo la fuga de datos. Es el uso indebido a gran velocidad.
Una filtración de datos resulta evidente en cuanto se descubre. Se expone un archivo, se ve comprometido un sistema, se filtran registros, se notifica a las autoridades reguladoras y se ponen en marcha los planes de respuesta ante incidentes. El riesgo relacionado con los datos derivado de la inteligencia artificial suele ser menos visible.
Un modelo puede generar una respuesta incorrecta a partir de datos válidos porque malinterpreta el contexto. Puede generar una respuesta plausible a partir de datos erróneos porque la fuente estaba desactualizada. Puede revelar información confidencial a través de una indicación, un complemento o un sistema conectado. Puede animar a los empleados a confiar en resultados que nadie ha validado. Puede modificar de forma silenciosa las decisiones operativas a gran escala.
Por eso los flujos de trabajo basados en la inteligencia artificial pueden hacer que los riesgos relacionados con los datos sean más sutiles. Es posible que la empresa no sufra una filtración dramática, sino que experimente muchas pequeñas pérdidas de criterio.
El informe de Deloitte titulado “El estado de la IA en la empresa en 2026” sostiene que una gobernanza eficaz de la IA debe integrarse en las estructuras de riesgo y supervisión existentes, en lugar de quedar relegada a funciones «paralelas» independientes. Asimismo, destaca la necesidad de identificar las aplicaciones de alto riesgo, aplicar prácticas de diseño responsable y recurrir a la validación independiente cuando sea pertinente. (deloitte.com)
Se trata de una norma útil, ya que los riesgos relacionados con la IA rara vez se circunscriben exclusivamente a un solo departamento. Un flujo de trabajo de marketing puede generar un riesgo para la privacidad. Un flujo de trabajo de finanzas puede generar un riesgo de auditoría. Un flujo de trabajo de selección de personal puede generar un riesgo de discriminación. Un flujo de trabajo jurídico puede generar un riesgo relacionado con el secreto profesional. Un flujo de trabajo de atención al cliente puede generar un riesgo para la protección del consumidor.
El flujo de trabajo es donde confluyen esos riesgos.
La IA convierte la calidad de los datos en un tema de interés para el consejo de administración
La calidad de los datos solía ser una cuestión técnica. Los equipos encargados de los datos se preocupaban por los duplicados, los campos que faltaban, las etiquetas incoherentes, los metadatos deficientes y los sistemas fragmentados. Los responsables empresariales solían considerarlo una cuestión de gestión operativa.
La IA cambia la importancia de esas tareas domésticas.
Si un analista humano detecta un dato dudoso, puede darse cuenta de ello, cuestionarlo o solicitar más información. Un flujo de trabajo basado en la inteligencia artificial puede procesarlo con total seguridad y seguir adelante. La mala calidad de los datos se vuelve más peligrosa cuando se automatiza en la toma de decisiones.
La encuesta «El estado de la IA en 2025» de McKinsey reveló que las empresas están empezando a rediseñar sus flujos de trabajo, a reforzar la gobernanza y a mitigar más riesgos en su intento por obtener valor de la IA generativa. El informe también señala que la gestión de riesgos y la gobernanza de los datos se encuentran entre los elementos más importantes de la implantación de la IA. (mckinsey.com)
Esa centralización no es burocracia por el simple hecho de serlo. Refleja una realidad práctica. Si los sistemas de IA utilizan datos erróneos, la empresa amplifica los errores de juicio. Si los distintos departamentos utilizan conjuntos de datos contradictorios, la IA puede acentuar las incoherencias internas. Si los empleados no saben qué fuente es la más fiable, las herramientas de IA pueden ofrecer respuestas pulidas pero basadas en fundamentos débiles.
Por eso el linaje de los datos, los metadatos, los derechos de acceso y la calidad de las fuentes están adquiriendo un carácter estratégico. Una empresa que desea implementar flujos de trabajo de IA pero que cuenta con una gobernanza de datos deficiente está construyendo su automatización sobre una base inestable.
Los empleados ya avanzan más rápido que los mecanismos de gobernanza
Uno de los problemas más acuciantes en materia de riesgos relacionados con los datos es la «IA en la sombra».
Los empleados no esperan a que la arquitectura empresarial sea perfecta. Utilizan cualquier herramienta que les ayude a trabajar más rápido: chatbots públicos, complementos para el navegador, herramientas para resumir reuniones, aplicaciones de transcripción, asistentes para hojas de cálculo, herramientas de redacción basadas en IA y automatizaciones no oficiales. A veces utilizan estas herramientas con buenas intenciones, tratando de ahorrar tiempo o mejorar la calidad. El problema es que los datos confidenciales pueden salir de los entornos controlados antes de que la empresa haya evaluado la herramienta.
El Informe sobre la adopción de la IA y los riesgos de Cyberhaven para 2026, basado en miles de millones de movimientos de datos en aplicaciones SaaS de IA generativa, aplicaciones de IA para terminales y agentes de IA, sostiene que la adopción de la IA en las empresas está creando una brecha en materia de gobernanza y seguridad de los datos, ya que los empleados utilizan las herramientas más rápido de lo que las empresas pueden protegerlas. (cyberhaven.com)
Aquí es donde fracasan muchas políticas. Decir a los empleados que no utilicen la IA rara vez funciona si la competencia, los clientes y los compañeros de trabajo sí la están utilizando. Pero permitir su uso sin restricciones es una imprudencia.
El mejor enfoque es la capacitación regulada. Proporciona a los empleados herramientas autorizadas, normas claras, formación práctica y flujos de trabajo seguros. Haz que sea más fácil hacer lo correcto que eludir el sistema.
Una empresa que prohíbe el uso de la IA sin ofrecer alternativas genera un riesgo oculto. Una empresa que permite el acceso sin controles se expone a riesgos. El camino más sensato se encuentra entre esos dos extremos.
Los agentes autónomos suben el listón
La siguiente fase no consiste únicamente en que los empleados den instrucciones a las herramientas de IA, sino en que haya agentes autónomos o semiautónomos que actúen en distintos sistemas.
Un agente puede leer información, realizar acciones, utilizar herramientas, actualizar registros, enviar mensajes, crear tickets, activar flujos de trabajo y escalar decisiones. Esto lo hace más potente que un chatbot y más arriesgado que un script de automatización tradicional.
Un flujo de trabajo tradicional sigue unas reglas fijas. Un agente puede interpretar un objetivo y decidir cómo proceder. Esa flexibilidad resulta útil, pero también hace que el riesgo sea más difícil de predecir. El agente puede acceder a más datos de los necesarios, conservar el contexto durante más tiempo del esperado, actuar siguiendo instrucciones ambiguas o tomar decisiones que ningún humano haya aprobado explícitamente.
El estudio de McKinsey de 2026 sobre la confianza en la IA advierte de que, a medida que los sistemas de IA se vuelven más autónomos y se integran en flujos de trabajo críticos, las deficiencias en materia de gobernanza y gestión de riesgos resultan cada vez más costosas. En él se sostiene que las organizaciones necesitan una rendición de cuentas clara, controles sólidos y mecanismos de supervisión si quieren ampliar el uso de la IA sin socavar la confianza. (mckinsey.com)
Se trata de un nivel de gestión totalmente distinto. Las empresas deben decidir qué pueden hacer los agentes, a qué datos pueden acceder, qué acciones requieren aprobación humana, cómo se registran las decisiones, cómo se detectan los errores y cómo se desactivan los agentes si su comportamiento se vuelve peligroso.
En otras palabras, la gobernanza de los agentes es, a la vez, gobernanza de los datos, gobernanza de la privacidad, gobernanza de la ciberseguridad y gobernanza operativa.
El cumplimiento normativo debe incorporarse en una fase más temprana del flujo de trabajo
En muchas empresas, las revisiones de cumplimiento se realizan demasiado tarde. Un equipo de negocio elige una herramienta, la prueba en una fase piloto, demuestra su utilidad y, a continuación, solicita a los equipos jurídicos, de protección de datos o de gestión de riesgos que aprueben su implantación a mayor escala. Con los flujos de trabajo basados en la inteligencia artificial, esa secuencia de pasos resulta cada vez más peligrosa.
El riesgo suele estar integrado en el diseño. ¿Qué datos utiliza el modelo? ¿Son datos personales? ¿Son confidenciales? ¿Están sujetos a normativa? ¿Se envían a un proveedor externo? ¿Pueden utilizarse para el entrenamiento del modelo? ¿Se utilizan los resultados para tomar decisiones relacionadas con el empleo, el crédito, la sanidad, los seguros, el ámbito jurídico o que afecten a los clientes? ¿Existe el derecho a una explicación o a una revisión? ¿Se puede auditar la decisión?
Estas cuestiones deben plantearse al principio, no una vez que el flujo de trabajo ya esté implantado.
La Ley de IA de la UE ha reforzado esta orientación mediante la creación de un marco basado en el riesgo para los sistemas de IA. Los casos de uso de alto riesgo, entre los que se incluyen algunos contextos relacionados con el empleo, el crédito, la educación, la aplicación de la ley y los servicios esenciales, conllevan obligaciones más estrictas en materia de gestión de riesgos, gobernanza de datos, documentación, transparencia y supervisión humana. La Comisión Europea describe la Ley como el primer marco jurídico integral para la IA, diseñado para abordar los riesgos y, al mismo tiempo, fomentar una IA fiable. (digital-strategy.ec.europa.eu)
Incluso las empresas de fuera de Europa deberían prestar atención, ya que los clientes, los proveedores y las operaciones multinacionales suelen trasladar las expectativas propias de la UE a las prácticas empresariales globales. La lección general es sencilla: el diseño de los flujos de trabajo de IA se está convirtiendo en una cuestión de cumplimiento normativo.
El coste de una filtración es solo una parte del riesgo
Las empresas suelen plantearse el riesgo relacionado con los datos en términos del coste de una filtración. Esto sigue siendo importante. El informe de IBM «El coste de una filtración de datos en 2025» situó el coste medio mundial de una filtración de datos en 4,44 millones de dólares y destacó la creciente importancia de la inteligencia artificial y la automatización tanto en la defensa de la seguridad como en la exposición al riesgo. (ibm.com)
Sin embargo, los flujos de trabajo basados en la inteligencia artificial amplían el riesgo más allá del escenario tradicional de violación de la seguridad.
Una empresa puede sufrir un daño a su reputación porque una herramienta de IA ofrezca un consejo erróneo a un cliente. Puede enfrentarse a riesgos legales porque un empleado suba datos confidenciales de clientes a una herramienta no autorizada. Puede tomar decisiones estratégicas erróneas porque el análisis generado por la IA se base en datos internos obsoletos. Puede discriminar de forma involuntaria porque un flujo de trabajo utilice variables proxy. Puede perder la confianza porque nadie pueda explicar cómo se tomó una decisión automatizada.
Estos fallos no siempre se presentan como incidentes de ciberseguridad. Algunos parecen fallos operativos. Otros, fallos de cumplimiento normativo. Y otros, fallos de gobernanza.
Por eso, las funciones de gestión de riesgos relacionados con los datos deben ampliar su perspectiva. La pregunta ya no es solo “¿podrían quedar expuestos estos datos?”, sino también “¿podrían estos datos utilizarse, interpretarse, conservarse o utilizarse como base para tomar decisiones de forma incorrecta?”.”
Lo que deben hacer las empresas ahora
El primer paso consiste en trazar un mapa de los flujos de trabajo de IA, no solo de las herramientas de IA. Un inventario de herramientas indica a la empresa qué se ha adquirido. Un mapa de flujos de trabajo muestra en qué puntos la IA interactúa con los datos, las decisiones, los clientes, los empleados y los procesos regulados.
El segundo paso consiste en clasificar los casos de uso según su nivel de riesgo. Una herramienta de lluvia de ideas para marketing no es lo mismo que un sistema de inteligencia artificial utilizado para la concesión de créditos, la selección de personal, la clasificación de pacientes, la investigación de fraudes o el asesoramiento jurídico. La gobernanza debe ser proporcionada, pero los flujos de trabajo de alto riesgo requieren una revisión más exhaustiva.
El tercer paso consiste en definir los permisos de acceso a los datos a nivel de tarea. Un asistente de IA no debería tener un acceso amplio simplemente porque un empleado humano lo tenga. Los agentes y los flujos de trabajo deberían disponer del mínimo de datos necesarios para la tarea concreta.
El cuarto paso consiste en mejorar el linaje de los datos. Las empresas deben saber qué fuentes utilizan los sistemas de IA, qué grado de actualidad tienen dichas fuentes, si son fiables y cómo se puede rastrear el origen de los resultados.
El quinto paso consiste en establecer una supervisión humana allí donde sea necesario. La revisión humana no debe ser meramente simbólica. El revisor necesita tiempo, autoridad e información suficiente para cuestionar los resultados.
El sexto paso consiste en supervisar el comportamiento de la IA tras su implementación. Los flujos de trabajo de IA deben evaluarse de forma continua, ya que los modelos, los datos, el comportamiento de los usuarios y las condiciones empresariales cambian.
El séptimo paso consiste en formar a los empleados con ejemplos prácticos. Las políticas abstractas sobre IA rara vez son suficientes. El personal debe saber qué puede subir, qué no debe subir, cuándo debe verificar los resultados, cómo notificar los incidentes y qué herramientas están autorizadas.
El nuevo modelo operativo de datos y riesgos
Las empresas que lo gestionen adecuadamente no considerarán la gobernanza de la IA como un asunto secundario. La integrarán en los controles habituales de la empresa.
El departamento de compras evaluará a los proveedores antes de adquirir las herramientas. El departamento jurídico revisará las condiciones relativas al tratamiento de datos y a la responsabilidad civil. Los equipos de protección de datos llevarán a cabo evaluaciones de impacto. El departamento de ciberseguridad analizará los riesgos de acceso y fuga de datos. Los equipos de datos gestionarán el linaje y la calidad de los datos. La auditoría interna comprobará si los controles funcionan correctamente. Los responsables de negocio seguirán siendo responsables de los resultados.
El trabajo de Deloitte sobre la gobernanza de la IA deja esto muy claro: las organizaciones líderes integran la gobernanza en las estructuras de riesgo y supervisión ya existentes, en lugar de crear funciones aisladas. (deloitte.com)
Ese es el único modelo realista. La inteligencia artificial está cada vez más integrada en el trabajo como para poder regularla desde fuera. Debe incorporarse a la forma en que las empresas aprueban, supervisan y mejoran los procesos.
La dificultad radica en el aspecto cultural. Los equipos comerciales suelen considerar que la evaluación de riesgos supone un obstáculo. Por su parte, los equipos de gestión de riesgos pueden percibir la adopción de la IA como una exposición incontrolada. Las mejores empresas crearán un lenguaje común: utilizarán la IA allí donde genere valor, la restringirán cuando el riesgo sea desproporcionado y establecerán controles lo suficientemente claros como para que los equipos puedan actuar sin tener que improvisar.
La IA cambia el significado de la confianza
En el antiguo modelo de riesgo de datos, la confianza solía equivaler a la confidencialidad. ¿Podemos proteger los datos?
En el modelo de flujo de trabajo de la IA, la confianza cobra mayor importancia. ¿Podemos proteger los datos? ¿Podemos demostrar su procedencia? ¿Podemos mostrar cómo se han utilizado? ¿Podemos explicar la decisión? ¿Podemos corregir el resultado? ¿Podemos detener el sistema? ¿Podemos defender el proceso ante un organismo regulador, un cliente, un empleado o el consejo de administración?
Por eso la gobernanza de la IA se está convirtiendo en una función de confianza, y no solo en una función de cumplimiento normativo.
Una empresa que no pueda responder a esas preguntas puede que, aun así, consiga mejorar su productividad gracias a la IA. Sin embargo, le resultará difícil implementar la IA de forma segura a gran escala, sobre todo en flujos de trabajo sensibles.
La próxima ventaja competitiva no vendrá de aplicar la IA en todos los ámbitos. Vendrá de aplicar la IA en aquellos ámbitos en los que la organización pueda demostrar que el flujo de trabajo es seguro, legal, lo suficientemente preciso, supervisado y responsable.
Conclusión
Los flujos de trabajo basados en la inteligencia artificial están transformando el riesgo asociado a los datos, ya que modifican el recorrido que siguen estos a lo largo de la organización.
Los datos ya no solo se almacenan, se consultan y se protegen. Se recuperan, se interpretan, se resumen, se combinan, se utilizan para tomar medidas y, en ocasiones, son utilizados por agentes autónomos. Esto genera nuevas posibilidades de eficiencia y una mejor toma de decisiones, pero también crea nuevos puntos de fallo.
Las empresas que se adapten dejarán de considerar el riesgo relacionado con los datos como una cuestión técnica de carácter defensivo. Lo abordarán como parte del diseño empresarial.
Antes de implementar un flujo de trabajo de IA, preguntarán de dónde proceden los datos, si el sistema debe acceder a ellos, cómo se utilizarán los resultados, quién puede cuestionar el resultado, qué ocurre si el modelo se equivoca y cómo se puede auditar todo el proceso.
Esa es la nueva norma. No se trata de “¿tenemos IA?”, sino de “¿podemos confiar en el flujo de trabajo?”.”
La IA no eliminará el riesgo relacionado con los datos. Lo convertirá en algo más dinámico, más operativo y más estrechamente vinculado al criterio empresarial.
