La inteligencia artificial entró a las pequeñas empresas antes que cualquier política sobre su uso. Hoy un colaborador puede filtrar información confidencial sin descargar nada, sin recibir un correo malicioso y sin que aparezca una sola alerta. El problema no es la herramienta, es la ausencia de reglas sobre qué información puede pasar por ella.
La información que sale por un cuadro de texto no activa ninguna de las defensas que tu empresa ya tiene instaladas.
En Perú y Latinoamérica la adopción de inteligencia artificial en las micro y pequeñas empresas avanzó de forma silenciosa: sin presupuesto, sin proyecto y sin aprobación formal. Una persona probó una herramienta gratuita, le funcionó, se la recomendó a un compañero y en pocas semanas media empresa la estaba usando con información real de clientes. Ese patrón tiene nombre —shadow AI o IA en la sombra— y es hoy una de las vías de fuga de datos más difíciles de detectar.
Por qué las mypes están más expuestas que las grandes empresas
Una corporación tiene un área de tecnología que revisa cada herramienta antes de aprobarla. Una empresa de quince personas no. Y esa diferencia se traduce en riesgo concreto.
- No hay filtro previo. El colaborador decide solo qué herramienta usar y con qué información alimentarla.
- Las cuentas son personales. La empresa no tiene acceso, ni registro, ni forma de revocar nada cuando esa persona se va.
- El equipo es multifunción. La misma persona que atiende clientes maneja facturación y contratos, así que la información que pega en un asistente suele ser la más sensible del negocio.
- No existe un inventario. Nadie sabe cuántas herramientas de IA se están usando ni desde qué dispositivos.
El resultado es que la mype adopta la tecnología con la misma velocidad que una empresa grande, pero sin ninguna de las capas de control que esa empresa sí tiene.
El cuadro de texto es el canal de salida que nadie vigila
Durante años la seguridad se concentró en el correo saliente, los USB y las descargas. Ninguna de esas defensas mira lo que una persona escribe dentro de un navegador.
Y el volumen no delata la gravedad. Un párrafo corto puede contener:
- La lista de precios con los descuentos reales por cliente.
- Los términos de una propuesta que todavía no se presentó.
- Datos personales de clientes o trabajadores: nombres, DNI, teléfonos, direcciones.
- Credenciales o rutas internas pegadas dentro de un mensaje de error que se quiso hacer analizar.
Nada de eso viaja como archivo adjunto ni supera un umbral de tamaño. Simplemente se envía a la infraestructura de un tercero, y a partir de ese momento la empresa perdió el control legal y técnico sobre esa información. No hay forma de retractarse.
La IA que ya tenías aprobada también abre huecos
Existe una idea cómoda: si la herramienta no se instaló, no hay riesgo. La realidad es distinta.
Buena parte de la exposición actual no viene de aplicaciones clandestinas, sino de funciones de IA que se activaron solas dentro de programas que la empresa ya venía usando. El paquete de ofimática, la plataforma de videollamadas, el sistema de facturación y hasta el navegador incorporaron capacidades generativas mediante actualizaciones automáticas.
Nadie evaluó ese cambio porque nadie lo decidió. La casilla venía marcada por defecto. Así, la transcripción automática de una reunión con un cliente o el resumen de una conversación interna pueden estar procesándose fuera del negocio sin que exista un solo registro al respecto.
El costado legal: la responsabilidad es de la empresa, no del trabajador
Este es el punto que más sorprende a los dueños de negocio. La Ley 29733 de protección de datos personales sigue plenamente vigente y aplica sin importar el tamaño de la empresa.
Si un colaborador pega datos de clientes en un servicio alojado fuera del país, la empresa acaba de realizar una transferencia internacional de datos personales sin base legal, sin encargado de tratamiento identificado y sin haberla autorizado. Ante la Autoridad Nacional de Protección de Datos Personales, la responsabilidad recae en la organización, no en la persona que copió el texto.
A eso se suma el reglamento de la Ley 31814, vigente desde enero de 2026, que incorpora principios de transparencia y supervisión humana en el uso de IA. Las mypes recibieron plazos diferenciados de dos a tres años, pero ese plazo es para adecuarse, no para ignorar el tema.
Prohibir la IA no funciona
La reacción instintiva es bloquear: un memorando, unos sitios restringidos y el asunto se da por cerrado.
Lo que ocurre en la práctica es que el uso migra a donde nadie lo ve: el celular personal, la laptop de casa, la cuenta particular. La empresa no eliminó el riesgo, eliminó lo único que le quedaba, que era la visibilidad. Y el colaborador que ya venía usando la herramienta ahora tiene un motivo para no reportar un error cuando lo cometa.
La prohibición fracasa porque compite contra un beneficio real: quien usa IA entrega su trabajo más rápido, que es exactamente lo que el negocio le pide.
Cómo poner reglas sin frenar al equipo
No hace falta un proyecto de seis meses ni un área de tecnología. Con cuatro medidas concretas se cubre la mayor parte del riesgo.
- Levanta primero qué se está usando. Nadie puede controlar lo que no ha inventariado. Revisa qué herramientas de IA usa cada área, desde qué equipos y con qué tipo de información.
- Define categorías de información, no listas de aplicaciones. Una lista de programas prohibidos queda obsoleta en semanas. Una regla clara sobre qué datos nunca salen del negocio —datos personales, contratos, precios, credenciales— sobrevive a cualquier herramienta nueva.
- Da una alternativa que funcione. Si la empresa habilita una opción contratada, con control sobre la retención de datos, el uso migra solo. La puerta principal tiene que servir mejor que la de atrás.
- Capacita con ejemplos reales. La charla útil no explica qué es un modelo de lenguaje: muestra qué no se pega en un cuadro de texto, con casos del día a día de ventas, administración y soporte.
El punto de partida de todo esto es la visibilidad sobre los equipos. Saber qué software se instaló, qué extensiones corren en cada navegador y qué cambió en la última actualización es lo que convierte una política escrita en un control verificable. La herramienta RMM de Xcitione permite justamente eso: mantener el inventario y el monitoreo continuo del parque de equipos, de modo que la adopción de nuevas herramientas deje de ser un punto ciego.
Conclusión
La inteligencia artificial no es peligrosa por sí misma para una empresa peruana. Lo peligroso es adoptarla más rápido de lo que se define quién puede usarla, con qué datos y bajo qué registro.
Esa brecha entre velocidad de adopción y madurez de control es la superficie de exposición que más crece en las mypes, y a diferencia de otros riesgos no requiere que nadie te ataque: basta con que un colaborador con buenas intenciones haga su trabajo más rápido. Cerrar esa brecha no exige frenar al equipo, exige decidir las reglas antes de que la herramienta las decida por ti.
