Su colega utiliza un asistente de IA para redactar sus actas de reunión. Otro lo usa para clasificar candidaturas. Un tercero genera visuales para una presentación a un cliente. Ninguno de estos usos ha sido validado por la dirección, y nadie sabe exactamente qué herramientas están en juego. Este escenario afecta hoy en día a la mayoría de las pymes francesas, y las obligaciones relacionadas con la AI Act y la directiva NIS2 hacen que esta zona gris sea cada vez más arriesgada.
Usos informales de la IA en la empresa: cartografiar antes de regular
Antes de redactar una carta o prohibir cualquier cosa, el primer paso es saber lo que realmente está sucediendo. Una pyme cuyos empleados utilizan ChatGPT, Copilot, Gemini o una herramienta similar puede ser considerada como “desplegadora” en el sentido de la AI Act. Este estatus implica identificar los usos, evaluar los riesgos y formar a los equipos.
El problema es que estas herramientas se instalan sin validación informática. Un empleado crea una cuenta gratuita, pega datos de clientes, obtiene un resultado satisfactorio y repite al día siguiente. La herramienta se convierte en un reflejo, no en una elección técnica aprobada.
Para cartografiar estas prácticas, un cuestionario anónimo enviado a los equipos es suficiente como punto de partida. Tres preguntas ya ofrecen una visión útil: ¿qué herramienta utiliza, para qué tarea y qué datos transmite?
Este censo permite distinguir los usos de bajo riesgo (reformulación de texto interno) de aquellos que plantean un verdadero problema (clasificación de CV, análisis de datos personales). De hecho, encontrará información informática en Planet X Tech que detalla estas distinciones entre niveles de riesgo.
AI Act y NIS2: lo que la regulación ya exige de las pymes
Quizás haya leído que algunos plazos de la AI Act se habían pospuesto. Es parcialmente cierto. El calendario regulatorio se ha modificado en 2026, pero los requisitos de formación y transparencia siguen siendo aplicables. Esperar hasta el último momento para actuar equivale a acumular una deuda de cumplimiento difícil de resolver.
Concretamente, la AI Act impone a los desplegadores garantizar que las personas que utilizan sistemas de IA tengan un nivel suficiente de comprensión de estas herramientas. Para una pyme de veinte personas, esto significa que debe existir un mínimo de sensibilización documentada, incluso informal.
NIS2 amplía el alcance más allá de la ciberseguridad clásica
La transposición francesa de NIS2 sigue siendo un punto de vigilancia. El dispositivo previsto contempla una responsabilidad aumentada de los directivos sobre la gestión de riesgos, incluidos los relacionados con la cadena de suministro. Los editores de software también están incluidos, lo que supera el enfoque tradicional centrado únicamente en el sistema de información interno.
Entre las obligaciones previstas por NIS2, varias se refieren directamente al uso de herramientas de IA no supervisadas:
- La gestión de riesgos de proveedores, lo que incluye los servicios en la nube y las API de IA utilizadas por los empleados sin contrato formalizado.
- La autenticación fuerte y la continuidad del negocio, dos áreas debilitadas cuando los datos circulan en plataformas no controladas.
- La notificación gradual de incidentes, que supone saber qué herramientas están en juego cuando ocurre una fuga de datos.
La conexión entre la IA informal y la ciberseguridad es directa: una herramienta de IA no inventariada es un punto ciego en la gestión de incidentes.
Regular los usos de la IA sin bloquear la productividad
Prohibir todas las herramientas de IA no funciona. Los empleados que han ganado tiempo gracias a estos asistentes eludirán la prohibición, y la empresa perderá productividad sin reducir el riesgo. El enfoque efectivo se basa en un marco claro que distinga lo que está permitido, lo que requiere validación y lo que está prohibido.
Tres categorías para estructurar una carta interna de IA
La lógica es simple. Clasifique cada uso identificado durante la cartografía en una de estas categorías:
- Uso libre: reformulación de textos internos, búsqueda de información general, lluvia de ideas. Ningún dato sensible sale de la empresa.
- Uso regulado: generación de contenidos destinados a los clientes, síntesis de documentos que contienen datos de negocio. Estos usos requieren la validación del responsable y el uso de una herramienta aprobada.
- Uso prohibido: cualquier tratamiento que implique datos personales (CV, fichas de clientes, datos médicos) en una herramienta no contractualizada. Estos casos están directamente relacionados con la AI Act cuando afectan a sistemas de alto riesgo.
Esta cuadrícula no necesita ser perfecta desde el primer día. Debe existir, ser comunicada y evolucionar a medida que la regulación se precise.
Formar sin convertir a cada empleado en jurista
La AI Act exige que los usuarios comprendan las herramientas que manejan. En la práctica, una sesión de una hora por trimestre que cubra lo básico es suficiente para una pyme: qué datos nunca pegar en un asistente de IA, cómo verificar una respuesta generada, a quién informar sobre un uso dudoso.
El formato más efectivo sigue siendo el ejemplo concreto. Muestre un caso real donde un asistente de IA produjo una respuesta falsa pero creíble. Muestre una exportación de conversación que contenga datos de clientes. Estas demostraciones impactan más que un documento de diez páginas sobre cumplimiento regulatorio.
Datos, seguridad y gobernanza: la base técnica a establecer
La cartografía de usos y la carta interna no son suficientes si la infraestructura técnica no acompaña. Un punto a menudo descuidado se refiere a los datos que transitan por estas herramientas. Cuando un empleado pega una tabla de Excel en un asistente de IA gratuito, esos datos se almacenan potencialmente y se utilizan para entrenar el modelo.
La respuesta técnica pasa por la elección de herramientas con garantías contractuales sobre el tratamiento de datos. Varios editores ahora ofrecen versiones profesionales donde los datos no se conservan ni se reutilizan para el entrenamiento. El sobrecoste es modesto en comparación con el riesgo de una fuga.
En cuanto a la gobernanza, designar a una persona referente (incluso a tiempo parcial) para centralizar las cuestiones relacionadas con la IA permite evitar que cada departamento invente sus propias reglas. Este referente no necesita ser un especialista en inteligencia artificial. Debe conocer los procesos internos y saber orientar las solicitudes hacia los recursos adecuados, ya sean legales o técnicos.
El desafío para los próximos meses no es bloquearlo todo, sino pasar de una situación en la que nadie sabe lo que está sucediendo a un marco donde los usos sean visibles, clasificados y ajustables. Las empresas que hayan establecido esta base antes de la entrada en vigor completa de la AI Act y de NIS2 ganarán un tiempo considerable en la conformidad final.
