Su empresa ya está usando inteligencia artificial, pero … ¿Quién la está gobernando?

Ahora mismo, en algún rincón de su empresa, es probable que la inteligencia artificial ya esté redactando un correo, revisando un contrato o resumiendo información interna, sin que nadie se haya detenido a preguntar si eso debería estar permitido.

Este no es un escenario hipotético, sino la realidad operativa de muchas empresas hoy en día. La pregunta relevante ya no es si su empresa “utiliza” inteligencia artificial, esa discusión quedó atrás. La pregunta que ahora debe ocupar a la gerencia es otra: ¿quién está autorizando su uso, qué información puede entrar en esos sistemas y quién responde si algo sale mal?

El vacío que nadie está analizando

Es posible que la IA ya opere dentro de su empresa, pero la estructura para gestionarla, aun no. Empleados, gerentes e incluso contratistas externos utilizan estas herramientas por iniciativa propia y muchas veces con buena intención para ahorrar tiempo, mejorar un texto, o acelerar un análisis. El problema no es la herramienta, el problema es la ausencia de estructura alrededor de su uso.

Sin una política definida, su empresa pierde control sobre preguntas básicas pero críticas tales como ¿qué tipo de información financiera, de clientes, contractual o estratégica se está introduciendo en las plataformas externas? ¿Hasta qué punto esas plataformas conservan esa información para entrenar sus propios modelos? ¿Existió algún filtro humano antes de que un resultado generado por IA se convirtiera en una comunicación oficial de la empresa, una cláusula contractual o en una decisión de negocio?

Cuando estas preguntas no tienen respuesta, su empresa no solo enfrenta un riesgo operativo, sino más bien un riesgo legal concreto, uno que los tribunales apenas están empezando a definir.

Lo que están diciendo las Cortes

Desde principios de 2026, varias decisiones judiciales federales comenzaron a examinar, bajo criterios encontrados, si los prompts y los resultados generados con inteligencia artificial conservan la protección de “privilegio”; —entendido como la confidencialidad que ampara las comunicaciones entre un abogado y su cliente— o la de “work product”; —el resguardo que protege el trabajo y las estrategias que un abogado prepara en anticipación de un litigio—, o si, por el contrario, dichos intercambios podrían ser requeridos como prueba en juicio, es decir, si la contraparte en un litigio especifico podría exigir tener acceso a ellos.

En United States v. Heppner (Distrito Sur de Nueva York) 1 , la corte determinó que las conversaciones de un particular con una plataforma de IA de uso público no están protegidas y por ende no son confidenciales. La corte explicó que ni los prompts ni las respuestas reflejaban el criterio o la estrategia de un abogado, que no hubo comunicación con un abogado en torno a esas conversaciones, y que usar una plataforma pública no genera, por sí sola, una expectativa razonable de confidencialidad.

En Warner v. Gilbarco (Distrito Este de Michigan) 2 , otra corte llegó a la conclusión contraria y negó la solicitud de la contraparte de obligar a la empresa demandada a entregar los registros de su interacción con una plataforma de IA. La corte indico que la IA es una herramienta, no una persona, y su uso no elimina, por sí solo, ninguna protección legal existente.

En Morgan v. V2X (Distrito de Colorado) 3 , la corte reconoció que los materiales generados con ayuda de IA sí pueden gozar de cierta protección procesal, aunque exigió que la parte revelara con transparencia qué herramienta específica había utilizado.

Un caso adicional, Jackie L. Miller v. Regions Bank 4 , dejó una lección distinta pero igualmente aplicable a cualquier empresa y es que cuando surge un error vinculado al uso de IA, el instinto de borrar registros o evitar documentarlo agrava la situación mucho más que el error original.

Preservar esos registros y corregir cualquier error con transparencia es, de forma consistente, la posición más defendible frente a un tribunal o un regulador. Ahora bien ¿Por qué debería importarle esto a usted si su empresa no está en litigio? Porque estas decisiones muestran algo que va más allá de cada caso puntual, y es que la manera en que su empresa se encuentra usando la IA (qué plataforma, con qué configuración, bajo qué términos de confidencialidad) puede determinar si esas conversaciones y esos documentos conservaran protección legal el día de mañana, o si esos registros pueden terminar siendo exigidos en una investigación o disputa. La protección no se improvisa, se construye con anticipación, mediante decisiones de gobernanza tomadas hoy.

Traer estructura a la decisión

La buena noticia es que este no es exclusivamente un problema técnico; sino que se trata ante todo, de un problema de Gobierno Corporativo, y como tal, tiene solución aplicando las herramientas legales que cualquier empresa bien administrada ya conoce, como lo son las políticas escritas y las líneas claras de autorización y documentación. Una estructura mínima razonable debería responder, como punto de partida, a seis preguntas:

¿Quién autoriza las herramientas? La decisión no debería quedar en manos de cada empleado de manera individual. Lo prudente es una aprobación conjunta entre liderazgo, el área legal o de cumplimiento, y quien administra la tecnología de su empresa.

¿Qué usos deben prohibirse expresamente? Como regla general, información confidencial de clientes, secretos comerciales, datos financieros sensibles o material sujeto a acuerdos de confidencialidad no debería introducirse en plataformas de IA de uso público; y aun en sistemas de nivel empresarial, ese ingreso debería requerir, como mínimo, autorización interna previa, una necesidad legítima de negocio, revisión de las políticas de retención del proveedor, confirmación de que la información no se utilizará para entrenar modelos de terceros, y controles adecuados de seguridad y acceso.

¿Cuándo se requiere de revisión humana? Cualquier resultado generado por IA que vaya a convertirse en una comunicación con clientes, una posición contractual o una decisión regulatoria debe pasar por una revisión humana competente antes de utilizarse.

¿Quién responde si el resultado es incorrecto? La responsabilidad no se traslada a la herramienta. La empresa sigue respondiendo por sus procesos internos, por lo que conviene que quede claro, por escrito, quién verifica y quién supervisa.

¿Qué registros debe conservar la empresa? Como mínimo, un inventario de herramientas aprobadas, los términos contractuales revisados de cada proveedor y las autorizaciones internas correspondientes.

¿Cuándo debe escalarse el asunto? Cualquier uso que involucre datos de clientes, terceros, decisiones reguladas o comunicaciones públicas debería activar una consulta inmediata con el área legal o de cumplimiento de la empresa.

La decisión que la gerencia todavía no ha tomado

La solución no exige reinventar nada dentro de su empresa, sino aplicar la misma disciplina que ya usa para cualquier otro proceso de cumplimiento. Prepare políticas internas claras junto con su departamento legal, defina quién autoriza el uso de estas herramientas, establezca un sistema de jerarquía y revisión antes de que un resultado generado por IA se convierta en una decisión de negocio, y documente cada paso. Las empresas que actúen con anticipación estarán en una posición mucho más sólida que aquellas que esperen a que un incidente, una auditoría o un litigio las obligue a improvisar una respuesta.

La adopción de la IA ya ocurrió dentro de su organización. La pregunta que queda pendiente es si su empresa la está gobernando, o si simplemente está ocurriendo sin que nadie la esté observando.

"Este artículo tiene fines informativos y educativos, y no constituye asesoría legal para ningún caso o situación particular. Cada empresa debe evaluar sus circunstancias específicas con asesoría legal calificada antes de adoptar políticas de gobernanza de inteligencia artificial".

1 United States v. Heppner, 820 F. Supp. 3d 292 (S.D.N.Y. 2026)

2 Warner v. Gilbarco, Inc., 820 F. Supp. 3d 629 (E.D. Mich. 2026)

3 Morgan v. V2X, Inc., Civil Action No. 25-cv-01991-SKC-MDB, 2026 LX 135629 (D. Colo. Mar. 30, 2026)

4 Miller v. Regions Bank, No. 2:24-cv-1324-HDM (N.D. Ala. May 21, 2026) (order imposing sanctions)