Juan Pablo López. Director de Ciberlegal
Mientras los directorios debaten en tiempo futuro qué hará la inteligencia artificial con los empleos y las industrias, abro mi propia bandeja de entrada y la encuentro en tiempo presente: correos redactados en segundos, informes resumidos solos, actas transcritas por un sistema generativo. La IA no es una tecnología que esté llegando; entró a la oficina antes de que la oficina decidiera cómo recibirla. Y la trajeron los propios trabajadores, no un gran proyecto corporativo.
Esa es la llamada Shadow AI: colaboradores que usan ChatGPT, Copilot o Claude para resolver tareas cotidianas sin autorización ni conocimiento de la empresa. El riesgo no aparece cuando alguien mejora un correo. Aparece cuando se pegan contratos, datos de clientes o información sensible en plataformas externas sobre las que la organización no tiene visibilidad ni control. Ahí ya no hablamos de productividad, sino de protección de datos, confidencialidad y responsabilidad corporativa.
Y conviene mirar también hacia la sala. He escrito antes en este espacio sobre la rendición cognitiva: la lámina que llega ya generada, con la recomendación escrita, y el director que la ratifica en vez de deliberarla. El Estudio de Madurez Digital de Brinca y el Instituto de Directores de Chile (2025) muestra el flanco: un 42% de los directores reconoce familiaridad baja con la IA generativa, en años donde casi ninguna decisión estratégica viene sin componente tecnológico. Cuesta gobernar lo que no se entiende del todo.
El marco legal ya rodea el problema. La Ley 21.719 vuelve responsable a la organización por los datos personales que trata —y pegarlos en una herramienta externa no autorizada es un tratamiento—; la Ley 21.663 obliga a gobernar la infraestructura crítica y reportar incidentes; el artículo 41 de la Ley 18.046 exige al director la diligencia de un buen administrador, que hoy incluye preguntar de dónde viene el análisis que firma. Prohibirla por decreto es ingenuo: la tecnología seguirá usándose, dentro de un marco o por la puerta de atrás.
La pregunta para este 2026 no es qué puede hacer la IA, sino qué riesgos introduce y quién responde por controlarlos. Una primera acción cabe en la próxima sesión: pedir el inventario de herramientas de IA efectivamente en uso —no las autorizadas, las usadas— y con qué información se alimentan. La respuesta, otra vez, será más reveladora que cualquier política que duerma en la intranet.
