Todo el mundo en tu empresa está usando ya alguna IA desde el navegador — copiando textos, pegando datos de clientes, dejando que una extensión "lea y modifique" todo lo que hay en pantalla. Nadie lo aprobó. Nadie lo está midiendo.
Sí, existen soluciones DLP que restringen qué se puede pegar, subir o adjuntar desde el navegador — y hoy son la única forma real de poner límites a nivel de contenido, incluidos documentos. Pero ojo: eso es una política de prevención de fuga de datos, no una política de gobierno de IA. Bloquear un archivo no es lo mismo que saber qué modelo lo procesó, con qué finalidad, bajo qué base legal y con qué trazabilidad. Son capas distintas, y muchas empresas están confundiendo tener la primera con haber resuelto la segunda.
La diferencia entre usar IA sin control y un entorno de IA gobernado no es filosófica, es operativa: dónde van tus datos, quién puede inyectar instrucciones ocultas en una página, si alguien puede actuar con tu sesión ya abierta, y si hay algo que puedas enseñarle a un auditor cuando pregunte "¿qué datos ha tocado la IA este trimestre?".
El EU AI Act ya no es una promesa a futuro. Es la pregunta que te van a hacer.
