Llevamos meses hablando de productividad, de automatización, de agentes de IA que gestionan correos y toman decisiones. Y está bien. Es una conversación necesaria.
Pero hay otra conversación que casi nadie está teniendo. Y desde el ámbito legal, cada vez me preocupa más:
La mayoría de compañías que conozco están integrando herramientas de IA en sus procesos sin haberse hecho todavía las preguntas básicas. No las técnicas. Las de siempre: ¿quién responde si algo sale mal?, ¿qué pasa con la información confidencial?, ¿hemos informado a quien toca?
Cuando un agente de IA tiene acceso al correo corporativo, está procesando datos de clientes, de empleados, de proveedores. El RGPD no distingue si quien trata esa información es una persona o un sistema automatizado. La responsabilidad sigue siendo de la empresa. Y el contrato con el proveedor — el DPA, el Data Processing Agreement — importa mucho más de lo que solemos revisar.
Si además ese sistema influye en decisiones laborales, el artículo 64.4.d) del Estatuto de los Trabajadores obliga a informar a los representantes de los trabajadores. No es una novedad del AI Act: lleva vigente desde 2021. Pocos lo aplican.
Pero hay algo que me parece todavía más urgente, porque ya está pasando ahora mismo en casi todas las organizaciones: la «shadow IA».
Empleados que usan su cuenta personal de ChatGPT o Claude para hacer su trabajo. Sin política, sin control, sin que nadie lo haya decidido. Pegan en esa ventana del chat un contrato, un correo de un cliente, datos internos. Nadie lo ha autorizado. Nadie sabe que ocurre. Y sin embargo, la empresa sigue siendo responsable de esos datos.
No lo hacen con mala intención. Lo hacen porque son eficientes y porque nadie les ha dicho ni cómo ni hasta dónde.
Eso es un problema de gobernanza, no de tecnología.
Lo mínimo que debería tener cualquier empresa hoy no es un sistema de IA sofisticado. Es una política clara de uso, saber qué herramientas está usando realmente su gente, y haber revisado los contratos con los proveedores.
La IA está transformando cómo trabajamos. Pero la velocidad no puede ser una excusa para saltarse lo que ya es obligatorio.