Encuentra tus tres mayores riesgos de IA en 15 minutos

En una sesión de 15 minutos debes salir con tres exposiciones concretas, un plan de 30 días y una política base que puedas copiar. Esta guía es orientación operativa para fundadores y equipos pequeños que ya usan herramientas de IA. No es asesoramiento legal.

Auditoría de 15 minutos

Responde en un documento compartido. Si no sabes la respuesta, cuéntala como exposición.

1. Inventario de datos

• Escribe las cinco clases de información que han entrado en una herramienta de IA en los últimos 30 días: ________.
• ¿Alguien ha pegado un documento de cliente entero en un chat? Sí / No / No lo sé.
• ¿Existe una lista escrita de datos que no pueden salir de la empresa (secretos, salud, menores, claves, identificadores completos)? Sí / No.
• ¿Los prompts incluyen nombres, importes o contactos que no hacen falta para la tarea? Sí / No.
• El dato que más te preocuparía ver en el historial de un proveedor: ________.

2. Herramientas y proveedores aprobados

• Lista cada herramienta de IA en uso, incluidas extensiones del navegador y funciones de IA en CRM, correo u ofimática: ________.
• ¿Hay una lista escrita de herramientas aprobadas y de quién puede usarlas? Sí / No.
• ¿Alguien usa una cuenta personal para trabajo? Sí / No / No lo sé.
• Para las dos más usadas: quién paga, a nombre de quién está la cuenta, y si el uso de datos para entrenar modelos está desactivado: ________.
• ¿Habéis leído las condiciones de tratamiento de esas dos herramientas? Sí / No.

3. Acceso y mínimo privilegio

• Nombres (no roles) con acceso a cada herramienta: ________.
• ¿Hay contraseñas, claves API o hilos compartidos en Slack, Notion o un gestor sin dueño claro? Sí / No.
• ¿Un contratista ve los mismos historiales que el fundador? Sí / No / No aplica.
• ¿Se retira el acceso el mismo día en que alguien deja de colaborar? Sí / No.
• ¿Alguna integración (plugin, API, automatización) tiene más permiso que la tarea que cumple? Sí / No / No lo sé.

4. Revisión humana y usos prohibidos

• ¿Un resultado de IA puede llegar a un cliente sin que una persona lo lea entero? Sí / No.
• ¿Qué salidas exigen un revisor con nombre (ofertas, contratos, código en producción, contenido público)? ________.
• ¿Está prohibido presentar una respuesta de IA como dictamen legal, médico, fiscal o de inversión? Sí / No.
• ¿Está prohibido inventar testimonios o casos, o hacerse pasar por una persona? Sí / No.
• Un uso que el equipo ya hace y no querríais ver escrito: ________.

5. Baja, exportación e incidentes

• Si un cliente pide borrar o exportar lo pegado sobre él, ¿sabéis en qué herramientas buscar y cómo hacerlo? Sí / No.
• Persona a la que avisar si se pega un dato por error: ________.
• Fecha de la última revisión de accesos: ________.
• ¿Existe una nota de incidente de cuatro líneas (qué, cuándo, quién, siguiente paso)? Sí / No.
• ¿Alguien se lleva historial en un portátil o cuenta personal al irse? Sí / No / No lo sé.

Cómo priorizar el riesgo

No uses estadísticas inventadas. Marca impacto y probabilidad en cada hallazgo.

Impacto

• Alto: daño a un cliente, filtración difícil de deshacer, o dato sensible (salud, menores, secretos, identificadores).
• Medio: retrabajo serio, un error público corregible, o pérdida de confianza interna.
• Bajo: molestia o mal hábito sin dato sensible.

Probabilidad

• Frecuente: cada semana, o está en el flujo diario.
• Ocasional: cada mes, o cuando hay prisa.
• Rara: posible, pero no es el trabajo habitual.

Primero lo de impacto alto y probabilidad frecuente u ocasional. Si hay empate, elige lo que ya ocurrió una vez.

Tus tres exposiciones principales

Rellena con lo que salió de la auditoría, no con riesgos genéricos.

Si no llegas a tres, no inventes. Si tienes más de tres de impacto alto, quédate con las que un solo dueño puede cerrar en 30 días.

Plan de 30 días

Ahora: corta lo irreversible. Pasa las cuentas principales a plan de empresa, desactiva el entrenamiento con vuestros datos, deja de pegar contratos enteros y nombra a quién avisar si hay un incidente.

Próximos 7 días: lista de herramientas, clases de datos prohibidas y quién tiene acceso. Quita cuentas personales de trabajo y accesos de quien ya no colabora.

Próximos 30 días: política base publicada en el canal del equipo, un uso prohibido que deje de hacerse, y una prueba de que sabéis exportar o borrar un hilo.

Una acción sin dueño no cuenta. La evidencia es un artefacto con fecha, no una intención.

Política base de uso de IA

Copia, rellena los corchetes y publícala. Adáptala a tu empresa. No la uses como dictamen legal.

1. Alcance. Aplica a [empresa] y a cualquiera que use IA en nuestro trabajo, también con cuenta personal si la tarea es de la empresa.

2. Clases de datos. No se introduce en herramientas de IA: [salud, menores, contraseñas, tarjetas, secretos de cliente, DNI completo]. Los datos de cliente se recortan a lo necesario. Si hay duda, no se pega y se pregunta a [nombre].

3. Herramientas aprobadas. Solo: [herramienta 1, cuenta de empresa, entrenamiento desactivado; herramienta 2]. Cualquier otra requiere OK de [nombre] antes del primer uso. Las cuentas de trabajo no se mezclan con las personales.

4. Usos prohibidos. No enviar a un cliente un texto de IA sin lectura humana. No inventar testimonios, métricas o casos. No suplantar a una persona. No usar IA como si fuera un profesional colegiado (legal, médico, fiscal, inversión). No eludir una confidencialidad con un cliente o un empleado.

5. Revisión humana. [Nombre o rol] revisa antes de enviar o publicar: ofertas, contratos, código a producción y contenido con nombre de cliente. El responsable del envío es el revisor, no el modelo.

6. Transparencia. Si un cliente pregunta si usamos IA en su trabajo, respondemos: [frase corta]. No ocultamos el uso cuando el resultado le afecta.

7. Propiedad intelectual. No pegamos material de terceros si la licencia no lo permite. Lo generado para un cliente sigue la misma regla que el resto de entregables: [cesión o uso interno]. No damos por hecho derechos que el contrato del proveedor no otorga.

8. Incidentes. Si se pega un dato por error o un resultado sale sin revisión: avisar el mismo día a [nombre], anotar qué / cuándo / quién / siguiente paso, y no borrar pruebas hasta que [nombre] lo indique.

9. Acceso y baja. Cada herramienta tiene un dueño de cuenta. El acceso es el mínimo necesario. El mismo día de la baja se revocan cuentas, claves y extensiones, y se exporta lo que la empresa deba conservar.

10. Revisión trimestral. Cada [meses] el dueño [nombre] revisa herramientas, accesos y las tres exposiciones, y actualiza esta política si cambia una herramienta o un tipo de dato.

Ejemplo: servicios B2B, cinco personas

Un estudio que redacta propuestas y hace seguimiento comercial. No es un molde para una clínica, una fintech o un equipo de producto.

En 15 minutos vieron: RFPs enteras en un chat de cuenta personal; el autónomo de copy sigue dentro; algunas propuestas salen sin lectura del socio; no saben borrar un hilo si el cliente lo pide.

Tres exposiciones: documentos de cliente en cuenta personal (impacto alto, frecuente); envío a cliente sin revisión (impacto alto, ocasional); acceso de quien ya no debería (impacto medio, ya ocurrió).

Plan: hoy, cuenta de empresa y prohibición de RFPs completas. En 7 días, revocar al autónomo y publicar qué no se pega. En 30 días, el socio revisa toda propuesta y hay un dueño que sabe exportar hilos. La política cabe en una página en el canal del equipo.

Un fundador solo, sin datos de cliente, puede cerrar con el inventario y dos reglas, sin este formalismo.

¿Cuándo pedir una auditoría de negocio?

Si sois pocos, usáis dos o tres herramientas y no manejáis datos sensibles ni flujos hacia clientes, basta esta checklist.

Considera una auditoría de negocio (proceso, proveedores y responsabilidades; no un sello legal) solo si se cumple al menos una condición: datos sensibles o de cliente bajo confidencialidad; varios proveedores de IA; flujos recurrentes que ya alimentan entregables; equipo o colaboradores externos; o un riesgo de cumplimiento que ya nombra un cliente, un contrato o una norma.

Si no se cumple ninguna, no compres un diagnóstico. Cierra las tres exposiciones y revisa en 90 días.