Casi todas las plantillas de "política de IA" que circulan hoy cometen el mismo error de partida: se escriben antes de saber qué está pasando de verdad en la empresa. El resultado es un documento que regula un mundo imaginario, mientras el equipo sigue usando, sin decirlo, las herramientas que ya le resuelven el día a día. Antes de escribir una sola frase de política, hay un paso que casi nadie hace: el descubrimiento.
¿Por qué escribir una política de IA sin saber qué se usa ya es perder el tiempo?
Una política de IA que no parte de la realidad de tu empresa no se aplica: se archiva. Si prohíbes o regulas herramientas que nadie usa mientras ignoras las tres que sí se usan a diario, el documento queda bonito y es inútil. El orden correcto es al revés: primero averiguar qué hay, después decidir qué hacer con ello.
Este artículo es el paso previo a cualquier gobernanza. Si ya sabes qué IA usa tu equipo y lo que necesitas es decidir qué hacer con esa información, la plantilla está en nuestra guía de gobernanza de IA en una empresa pequeña.
¿Dónde mirar primero? Los cargos con tarjeta de empresa
El primer sitio, y el más rápido de revisar, es el extracto de la tarjeta de empresa (o de las tarjetas personales que alguien usa para gastos que luego reembolsa la empresa). Ahí aparecen las suscripciones activas: nombres de proveedores de IA que alguien dio de alta por su cuenta, casi siempre para resolver un problema concreto y sin pasar por ningún proceso de aprobación.
No hace falta ninguna herramienta técnica para esto. Basta con revisar los movimientos recurrentes de los últimos meses y preguntar, sin juzgar, qué es cada cargo que no reconoces a la primera.
¿Qué encuentras revisando las extensiones del navegador del equipo?
Muchas herramientas de IA se instalan hoy como una extensión de Chrome o de Edge: un resumidor de reuniones, un asistente de escritura, un traductor con IA. Revisar las extensiones instaladas en los equipos de trabajo (si tu empresa gestiona los dispositivos, puedes verlo de forma centralizada; si no, basta con preguntar de forma directa a cada persona) suele destapar herramientas que ni siquiera aparecen en ningún extracto, porque son gratuitas.
¿Qué muestran los registros de inicio de sesión (SSO/OAuth)?
Este es el sitio que menos se mira y el que más revela. Si tu empresa usa Google Workspace o Microsoft 365 con inicio de sesión único, existe un registro de eventos de OAuth que recoge cada vez que una aplicación de terceros fue autorizada a acceder a los datos de la cuenta corporativa, del tipo "iniciar sesión con Google" o "iniciar sesión con Microsoft". Muchas herramientas de IA se conectan así, sin instalar nada visible, y ese registro las delata sin necesidad de preguntar a nadie.
| Dónde mirar | Qué revela | Coste de revisarlo |
|---|---|---|
| Tarjeta de empresa | Suscripciones de pago activas | Minutos, sin herramienta |
| Extensiones de navegador | Herramientas gratuitas instaladas | Minutos por equipo |
| Registros SSO/OAuth | Apps conectadas con la cuenta corporativa, con o sin coste | Un vistazo al panel de administración |
Este ejercicio es de descubrimiento, no de castigo. El objetivo es saber qué hay, no señalar a quien lo instaló. Cada herramienta que aparece resolvía, en su momento, un problema real de la persona que la activó.
¿Qué haces con la lista una vez la tienes?
Tener el inventario es solo la mitad del trabajo. La otra mitad es clasificar, sin dramatismo, lo que has encontrado en tres cajones simples: lo que sigue funcionando tal cual porque no toca ningún dato sensible, lo que necesita una conversación rápida con quien lo instaló antes de seguir usándolo, y lo que conviene apagar porque el riesgo no compensa el beneficio que aporta.
No hace falta resolver los tres cajones el mismo día. Lo que sí conviene es no dejar la lista en un documento que nadie vuelve a abrir. Revísala cada pocos meses, no una vez y listo: las herramientas que usa un equipo cambian más rápido de lo que cambia cualquier política escrita sobre ellas.
En la práctica: lo que aparece suele sorprender a dirección
Cuando hacemos este ejercicio con una empresa por primera vez, lo habitual es que aparezcan más herramientas de las que dirección esperaba encontrar. Ninguna se instaló con mala intención: cada una resolvía, en su momento, un problema real de quien la activó. El descubrimiento no busca culpables, busca un mapa correcto sobre el que decidir.
Ese mapa es también el primer paso para entender qué riesgo real corres. Si quieres profundizar en qué puede salir mal cuando nadie controla estas herramientas, lo desarrollamos en el problema del shadow AI que ya está en tu empresa. Y si el resultado del descubrimiento es que hace falta poner límites concretos a lo que encontraste, cómo controlar un agente de IA en tu empresa te da el siguiente paso operativo. También conviene vigilar, con el tiempo, si alguna de esas herramientas empieza a decidir sin que nadie la revise: las señales de un agente de IA fuera de control te dicen qué mirar.
El orden importa. Descubre primero, decide después. Una política de IA escrita sobre un mapa real se aplica; una escrita sobre suposiciones se archiva.