El marcaje normativo que pone cerco al uso oculto de la IA en las empresas

La IA se ha extendido por las empresas más deprisa que sus controles. Parte de ese uso ocurre con herramientas y cuentas personales fuera de la supervisión corporativa, el denominado shadow AI . En 2026, Cyberhaven observó que el 32,3% del uso empresarial de ChatGPT se producía desde cuentas particulares. Además, el 39,7% de los movimientos de datos hacia aplicaciones de IA contenía información sensible. Pero una nueva obligación europea puede empezar a dejar rastro donde apenas lo había. Desde el 2 de agosto, los proveedores de sistemas que generan contenido sintético en la UE deben garantizar que sus resultados estén marcados en un formato legible por máquina y puedan detectarse como creados o manipulados por IA. Anthropic aplicará su marca de agua para texto a escala global. No añade metadatos ni caracteres ocultos : introduce un patrón mediante las palabras que elige Claude y permite estimar la probabilidad de que el modelo haya intervenido.Ese rastro puede sobrevivir a acciones cotidianas. Copiar y pegar una respuesta no debería eliminarlo, y algunos cambios pequeños pueden conservar una señal suficiente, explica Luis Corrons, security evangelist en Gen. Sin embargo, encontrarla no permite saber quién usó la herramienta. Como mucho, indica con cierto grado de confianza que un modelo participó en la generación o edición. Por eso no debería emplearse como única prueba para concluir que un trabajador ha usado una herramienta de IA no autorizada, dice. Existen varias capas de identificación, explica José Antonio Marcos, vicedecano de la facultad de business & tech de la Universidad Alfonso X el Sabio (UAX). Marcas estadísticas, metadatos, credenciales C2PA o firmas criptográficas, y detectores asociados a modelos concretos, comenta. Si un documento generado íntegramente por IA se guarda directamente, puede conservar su información de procedencia. Al copiar el texto, modificar sustancialmente algunas partes e integrarlo en otro documento, esa información puede perderse y la capacidad de detección cae, añade.Una señal, no una pruebaEl marcado representa un paso para hacer visible y supervisable un contenido cada vez más habitual y aporta confianza a empresas, clientes y reguladores, dice Jacinto Estrecha, responsable de inteligencia artificial de NTT DATA. Lo considera un mecanismo de rendición de cuentas que facilita la auditoría, la gestión de riesgos y el cumplimiento, más que una herramienta de vigilancia. Esas evidencias pueden favorecer una adopción responsable. Aun así, las fuentes no controladas pueden continuar generando contenido sin identificarlo. La dimensión del uso oculto muestra los límites del sistema. El 78% de quienes utilizaban IA en el trabajo llevaba sus propias herramientas, según una encuesta de Microsoft y LinkedIn a 31.000 personas de 31 países publicada en 2024. El 52% se mostraba reacio a admitir que recurría a ella para sus tareas más importantes. El marcado puede descubrir parte de esa actividad, pero no reconstruirla completa ni atribuirla automáticamente.La trazabilidad se debilita con cada transformación, comenta Marcos, de UAX. Una paráfrasis cambia los patrones originales y una traducción realizada por una persona u otra herramienta altera la distribución de los tokens. Reescribir el contenido o pasarlo por un segundo modelo reduce aún más la posibilidad de identificar su procedencia. No existe, dice, un método que demuestre con certeza total que un documento fue generado mediante IA después de haber sido copiado, editado, traducido o regenerado. Solo quedan indicadores probabilísticos . Corrons, de Gen, explica qué ocurre en esa cadena. Un segundo modelo genera el texto palabra a palabra, por lo que puede borrar la marca del primero y, si utiliza su propio sistema de marcado, incorporar otra. Si después interviene una persona, reconstruir el recorrido desde el documento final puede resultar imposible. Las marcas, dice, ayudan a detectar contenido sintético a escala, pero no son infalibles frente a quien pretende ocultar su origen y está dispuesto a traducirlo, reescribirlo o volverlo a generar.La dificultad cambia según el formato. En imagen, audio y vídeo resulta más sencillo introducir trazabilidad, dice Juliett Suárez, directora de IA de Adigital. En el texto, la marca reside en las palabras elegidas y puede desaparecer al traducirlo o reescribirlo. El problema aumenta en el código, las hojas de cálculo y los documentos estructurados: el resultado debe ser exacto y apenas hay margen para introducir una marca sin alterar el contenido o su funcionamiento. En esos casos, la posibilidad de ver el origen del contenido está ligada a los metadatos y al flujo de trabajo.Una mayor transparencia puede empujar a algunos empleados hacia servicios menos controlados si se percibe como una limitación, explica Diego Ríos, general manager de Suse EMEA South. El riesgo aparece si las herramientas autorizadas se perciben como más lentas, restrictivas o menos útiles. Prohibir aplicaciones no basta . La empresa debe ofrecer una alternativa segura tan sencilla y flexible como las opciones externas, con capacidad para elegir modelos y garantías sobre dónde se procesan los datos, cómo se protegen y quién los gestiona. Marta Iraola, profesora de Deusto Business School y CEO de donosTIK, cree que conviene dimensionar esa posible huida. La marca de Claude no identifica a una persona ni a una compañía; solo permite estimar si un texto fue generado por IA. El shadow AI, sostiene, nace cuando la organización no proporciona las herramientas necesarias ni establece criterios claros. La respuesta pasa por políticas internas, gestión del dato y formación, no por reducir la transparencia.Frenar la burocraciaLa trazabilidad puede desincentivar la adopción si obliga al empleado a superar pasos adicionales cada vez que recurre a una IA, admite Ríos, de Suse. La solución es integrar la gobernanza en la infraestructura, en lugar de añadir burocracia. En sectores regulados como la sanidad o los servicios financieros, conocer dónde se procesan los datos, qué modelos se usan y cómo se gestionan las cargas puede acelerar una adopción responsable.Esa integración se complica porque las compañías trabajan con varios modelos, proveedores y canales, explica Estrecha, de NTT DATA. Necesitan estándares interoperables y mecanismos comunes de verificación: una marca no ofrece una garantía absoluta y puede debilitarse al resumir o transformar el contenido. La trazabilidad debe integrarse con controles de acceso, gestión de riesgos y supervisión continua, explica. Incorporados de forma nativa a los procesos, estos controles pueden reforzar la confianza y el cumplimiento sin generar una fricción excesiva.El Reglamento europeo de IA no se firma: es una norma obligatoria. Las compañías pueden suscribir voluntariamente el Código de Buenas Prácticas sobre Transparencia de Contenido Generado por IA, que concreta cómo acreditar su cumplimiento. A finales de julio lo habían firmado unas 190 organizaciones. La sección sobre marcado y detección para proveedores reunía 95 adhesiones, entre ellas Anthropic, Google, Meta, Microsoft, Mistral, OpenAI, Cohere, NTT, Aleph Alpha, Black Forest Labs y Synthesia. Anthropic ha detallado públicamente este sistema concreto, pero no es la única comprometida con el marcado.La diferencia competitiva estará en la calidad del mecanismo, no en la existencia de la obligación, señala Suárez, de Adigital. El artículo 50.2 exige resultados detectables y marcados en un formato legible por máquina. Los proveedores competirán en trazabilidad, fiabilidad, interoperabilidad y verificación por terceros. Anthropic se ha adelantado al explicar su tecnología y extenderla globalmente. La transparencia conducirá a versiones corporativas, inventarios de herramientas autorizadas, políticas internas y formación, comenta Iraola. La productividad ofrece un incentivo difícil de ignorar. Y por ello la trazabilidad puede introducir prudencia puntual en usos sensibles, pero las empresas que ordenen estas prácticas no tienen por qué usar menos IA. Pueden hacerlo con menor riesgo y mayor criterio. La IA se ha extendido por las empresas más deprisa que sus controles. Parte de ese uso ocurre con herramientas y cuentas personales fuera de la supervisión corporativa, el denominado shadow AI . En 2026, Cyberhaven observó que el 32,3% del uso empresarial de ChatGPT se producía desde cuentas particulares. Además, el 39,7% de los movimientos de datos hacia aplicaciones de IA contenía información sensible. Pero una nueva obligación europea puede empezar a dejar rastro donde apenas lo había. Desde el 2 de agosto, los proveedores de sistemas que generan contenido sintético en la UE deben garantizar que sus resultados estén marcados en un formato legible por máquina y puedan detectarse como creados o manipulados por IA. Anthropic aplicará su marca de agua para texto a escala global. No añade metadatos ni caracteres ocultos : introduce un patrón mediante las palabras que elige Claude y permite estimar la probabilidad de que el modelo haya intervenido.Ese rastro puede sobrevivir a acciones cotidianas. Copiar y pegar una respuesta no debería eliminarlo, y algunos cambios pequeños pueden conservar una señal suficiente, explica Luis Corrons, security evangelist en Gen. Sin embargo, encontrarla no permite saber quién usó la herramienta. Como mucho, indica con cierto grado de confianza que un modelo participó en la generación o edición. Por eso no debería emplearse como única prueba para concluir que un trabajador ha usado una herramienta de IA no autorizada, dice. Existen varias capas de identificación, explica José Antonio Marcos, vicedecano de la facultad de business & tech de la Universidad Alfonso X el Sabio (UAX). Marcas estadísticas, metadatos, credenciales C2PA o firmas criptográficas, y detectores asociados a modelos concretos, comenta. Si un documento generado íntegramente por IA se guarda directamente, puede conservar su información de procedencia. Al copiar el texto, modificar sustancialmente algunas partes e integrarlo en otro documento, esa información puede perderse y la capacidad de detección cae, añade.Una señal, no una pruebaEl marcado representa un paso para hacer visible y supervisable un contenido cada vez más habitual y aporta confianza a empresas, clientes y reguladores, dice Jacinto Estrecha, responsable de inteligencia artificial de NTT DATA. Lo considera un mecanismo de rendición de cuentas que facilita la auditoría, la gestión de riesgos y el cumplimiento, más que una herramienta de vigilancia. Esas evidencias pueden favorecer una adopción responsable. Aun así, las fuentes no controladas pueden continuar generando contenido sin identificarlo. La dimensión del uso oculto muestra los límites del sistema. El 78% de quienes utilizaban IA en el trabajo llevaba sus propias herramientas, según una encuesta de Microsoft y LinkedIn a 31.000 personas de 31 países publicada en 2024. El 52% se mostraba reacio a admitir que recurría a ella para sus tareas más importantes. El marcado puede descubrir parte de esa actividad, pero no reconstruirla completa ni atribuirla automáticamente.La trazabilidad se debilita con cada transformación, comenta Marcos, de UAX. Una paráfrasis cambia los patrones originales y una traducción realizada por una persona u otra herramienta altera la distribución de los tokens. Reescribir el contenido o pasarlo por un segundo modelo reduce aún más la posibilidad de identificar su procedencia. No existe, dice, un método que demuestre con certeza total que un documento fue generado mediante IA después de haber sido copiado, editado, traducido o regenerado. Solo quedan indicadores probabilísticos . Corrons, de Gen, explica qué ocurre en esa cadena. Un segundo modelo genera el texto palabra a palabra, por lo que puede borrar la marca del primero y, si utiliza su propio sistema de marcado, incorporar otra. Si después interviene una persona, reconstruir el recorrido desde el documento final puede resultar imposible. Las marcas, dice, ayudan a detectar contenido sintético a escala, pero no son infalibles frente a quien pretende ocultar su origen y está dispuesto a traducirlo, reescribirlo o volverlo a generar.La dificultad cambia según el formato. En imagen, audio y vídeo resulta más sencillo introducir trazabilidad, dice Juliett Suárez, directora de IA de Adigital. En el texto, la marca reside en las palabras elegidas y puede desaparecer al traducirlo o reescribirlo. El problema aumenta en el código, las hojas de cálculo y los documentos estructurados: el resultado debe ser exacto y apenas hay margen para introducir una marca sin alterar el contenido o su funcionamiento. En esos casos, la posibilidad de ver el origen del contenido está ligada a los metadatos y al flujo de trabajo.Una mayor transparencia puede empujar a algunos empleados hacia servicios menos controlados si se percibe como una limitación, explica Diego Ríos, general manager de Suse EMEA South. El riesgo aparece si las herramientas autorizadas se perciben como más lentas, restrictivas o menos útiles. Prohibir aplicaciones no basta . La empresa debe ofrecer una alternativa segura tan sencilla y flexible como las opciones externas, con capacidad para elegir modelos y garantías sobre dónde se procesan los datos, cómo se protegen y quién los gestiona. Marta Iraola, profesora de Deusto Business School y CEO de donosTIK, cree que conviene dimensionar esa posible huida. La marca de Claude no identifica a una persona ni a una compañía; solo permite estimar si un texto fue generado por IA. El shadow AI, sostiene, nace cuando la organización no proporciona las herramientas necesarias ni establece criterios claros. La respuesta pasa por políticas internas, gestión del dato y formación, no por reducir la transparencia.Frenar la burocraciaLa trazabilidad puede desincentivar la adopción si obliga al empleado a superar pasos adicionales cada vez que recurre a una IA, admite Ríos, de Suse. La solución es integrar la gobernanza en la infraestructura, en lugar de añadir burocracia. En sectores regulados como la sanidad o los servicios financieros, conocer dónde se procesan los datos, qué modelos se usan y cómo se gestionan las cargas puede acelerar una adopción responsable.Esa integración se complica porque las compañías trabajan con varios modelos, proveedores y canales, explica Estrecha, de NTT DATA. Necesitan estándares interoperables y mecanismos comunes de verificación: una marca no ofrece una garantía absoluta y puede debilitarse al resumir o transformar el contenido. La trazabilidad debe integrarse con controles de acceso, gestión de riesgos y supervisión continua, explica. Incorporados de forma nativa a los procesos, estos controles pueden reforzar la confianza y el cumplimiento sin generar una fricción excesiva.El Reglamento europeo de IA no se firma: es una norma obligatoria. Las compañías pueden suscribir voluntariamente el Código de Buenas Prácticas sobre Transparencia de Contenido Generado por IA, que concreta cómo acreditar su cumplimiento. A finales de julio lo habían firmado unas 190 organizaciones. La sección sobre marcado y detección para proveedores reunía 95 adhesiones, entre ellas Anthropic, Google, Meta, Microsoft, Mistral, OpenAI, Cohere, NTT, Aleph Alpha, Black Forest Labs y Synthesia. Anthropic ha detallado públicamente este sistema concreto, pero no es la única comprometida con el marcado.La diferencia competitiva estará en la calidad del mecanismo, no en la existencia de la obligación, señala Suárez, de Adigital. El artículo 50.2 exige resultados detectables y marcados en un formato legible por máquina. Los proveedores competirán en trazabilidad, fiabilidad, interoperabilidad y verificación por terceros. Anthropic se ha adelantado al explicar su tecnología y extenderla globalmente. La transparencia conducirá a versiones corporativas, inventarios de herramientas autorizadas, políticas internas y formación, comenta Iraola. La productividad ofrece un incentivo difícil de ignorar. Y por ello la trazabilidad puede introducir prudencia puntual en usos sensibles, pero las empresas que ordenen estas prácticas no tienen por qué usar menos IA. Pueden hacerlo con menor riesgo y mayor criterio.  

La IA se ha extendido por las empresas más deprisa que sus controles. Parte de ese uso ocurre con herramientas y cuentas personales fuera de la supervisión corporativa, el denominado shadow AI. En 2026, Cyberhaven observó que el 32,3% del uso empresarial de … ChatGPT se producía desde cuentas particulares. Además, el 39,7% de los movimientos de datos hacia aplicaciones de IA contenía información sensible. Pero una nueva obligación europea puede empezar a dejar rastro donde apenas lo había. Desde el 2 de agosto, los proveedores de sistemas que generan contenido sintético en la UE deben garantizar que sus resultados estén marcados en un formato legible por máquina y puedan detectarse como creados o manipulados por IA. Anthropic aplicará su marca de agua para texto a escala global. No añade metadatos ni caracteres ocultos: introduce un patrón mediante las palabras que elige Claude y permite estimar la probabilidad de que el modelo haya intervenido.

 RSS de noticias de economia