Puntos clave
- Bring Your Own AI (BYOAI) es el uso no autorizado o no gestionado de herramientas de IA por parte de los empleados, al margen de los controles de la organización.
- El BYOAI puede impulsar la productividad, pero también exponer datos sensibles si no se gobierna correctamente.
- Pasos para gobernar el BYOAI:
- Define el BYOAI y fija su alcance.
- Crea un catálogo de herramientas de IA aprobadas con niveles de riesgo.
- Detecta el uso actual de BYOAI.
- Aplica controles técnicos por capas.
- Forma y acompaña a los usuarios.
- Monitoriza, revisa y mejora.
- Cómo puede ayudar NinjaOne con la gobernanza del BYOAI:
- Descubrimiento e inventario
- Despliegue de políticas
- Alertas y tickets
- Informes
- Establece directrices claras para que los empleados usen las herramientas de IA que prefieran de forma responsable, protegiendo los datos de la empresa y manteniendo la productividad.
El auge del trabajo en remoto durante y después de la pandemia se ha consolidado con los años. Aunque trabajar a distancia ha traído ventajas para los empleados, también ha generado bastantes inconvenientes. Uno de ellos es lo que conocemos como «Shadow IT», es decir, los sistemas, dispositivos, software y servicios que se usan dentro de una organización sin la aprobación ni la supervisión explícita del departamento de TI.
Con la llegada simultánea de la inteligencia artificial, el Shadow IT se ha extendido a una práctica llamada «Bring Your Own Artificial Intelligence» o BYOAI. Se refiere a los empleados que eligen o «traen» sistemas de IA no aprobados para las tareas que prefieren. Aunque pueda parecer inofensivo, esas mismas herramientas pueden exponer información sensible si funcionan al margen de los controles de la organización.
Bring Your Own AI es el uso no autorizado o no gestionado de servicios de IA por parte del personal. El enfoque correcto no es prohibirlo. En este artículo te guiamos para habilitar el BYOAI de forma responsable, con una política clara, herramientas aprobadas y una supervisión medible.
¿Aprendes mejor con vídeo? Mira «Cómo gobernar el BYOAI sin frenar la innovación» para conocer más detalles.
Resumen de buenas prácticas
| Tarea | Objetivo y valor |
| Tarea 1: define el BYOAI y fija su alcance | Establece una definición clara de lo que significa BYOAI según los estándares de tu empresa. |
| Tarea 2: crea un catálogo de herramientas de IA aprobadas con niveles de riesgo | Ofrece al personal una idea clara de qué herramientas de IA son seguras para la empresa. |
| Tarea 3: detecta el uso actual de BYOAI | Amplía el alcance de las políticas de gobernanza del BYOAI al identificar y conocer mejor las herramientas de IA que el personal ya utiliza. |
| Tarea 4: aplica controles técnicos por capas | Enumera los controles técnicos para ofrecer pasos concretos y aplicables a los equipos de TI y seguridad. |
| Tarea 5: forma y acompaña a los usuarios | Garantiza que todo el equipo esté alineado y conozca el contenido de las políticas de gobernanza. |
| Tarea 6: monitoriza, revisa y mejora | Asegura una seguridad y protección continuas para la empresa mientras se aplican las políticas de BYOAI. |
Requisitos previos para gobernar el BYOAI
Antes de desarrollar el concepto de gobernanza del BYOAI, conviene tener preparado lo siguiente:
- Política escrita de uso aceptable de la IA: esta documentación debe definir con claridad qué se considera un uso razonable de la IA y cuándo deja de ser seguro. También debe incluir los tipos de datos admitidos y ciertas limitaciones.
- Gestión de identidades y accesos (IAM): aplica el mínimo privilegio y reglas de acceso condicional para limitar quién puede usar determinadas herramientas de IA.
- Visibilidad y monitorización: consigue visibilidad sobre la actividad web, de DNS y de los endpoints para detectar y supervisar el uso. Así podrás identificar y mitigar los posibles riesgos del BYOAI.
- Flujos de trabajo para excepciones: documenta aprobaciones, excepciones y revisiones de políticas mediante sistemas de gestión de tickets.
- Marco de valoración del riesgo: crea una rúbrica sencilla que puntúe las herramientas de IA según la categoría de datos, la confianza en el proveedor y su postura de seguridad.
Tarea 1: define el BYOAI y fija su alcance
📌 Caso de uso:
Esta tarea define con claridad qué significa BYOAI según los estándares de tu empresa.
Delimitar las fronteras es fundamental para que empleados, personal y administradores sepan qué permite la empresa en materia de BYOAI. Estos son los pasos que puedes seguir para implantar políticas de BYOAI.
- Define el BYOAI: establece una definición concreta del BYOAI como el uso de herramientas o modelos de IA que no están aprobados, no están configurados con controles de datos empresariales o se usan fuera de los contextos autorizados.
- Crea una lista de permitidos: enumera las herramientas autorizadas, los tipos de datos permitidos y las clases de datos prohibidas, como credenciales, PII regulada, PHI o datos de pago.
- Da ejemplos: publica ejemplos de prompts seguros y no seguros para marcar expectativas.
Tarea 2: crea un catálogo de herramientas de IA aprobadas con niveles de riesgo
📌 Caso de uso:
Esta tarea debe ofrecer al personal una idea clara de qué herramientas de IA son seguras para la empresa.
Apostar por el BYOAI permite tomar decisiones seguras y dejar documentado el razonamiento. Pero, para eso, primero tienes que determinar qué herramientas de IA son seguras para el personal de la empresa.
Puedes hacerlo con estos pasos:
- Puntúa las herramientas según la ubicación de los datos, el cifrado, el registro de actividad, los controles de acceso y los compromisos del proveedor.
- Documenta las condiciones; por ejemplo, aprobada solo con SSO, aislamiento de tenant, prevención de pérdida de datos o claves gestionadas por el cliente.
- Agrupa las herramientas así:
- Aprobadas: herramientas que se consideran seguras para uso general.
- Condicionales: herramientas que solo se permiten si se cumplen requisitos concretos.
- No permitidas: herramientas de IA cuyo uso está prohibido porque presentan un riesgo alto para los datos.
- Registra las excepciones con un responsable, un motivo y una fecha de caducidad.
Tarea 3: detecta el uso actual de BYOAI
📌 Caso de uso:
Esta tarea amplía el alcance de las políticas de gobernanza del BYOAI al identificar y conocer mejor las herramientas de IA que el personal ya utiliza.
Antes de aplicar políticas de BYOAI estándar, conviene localizar las herramientas y los patrones que no están gestionados. Así tendrás más elementos en cuenta al redactar las políticas de gobernanza del BYOAI.
Empieza buscando señales como estas:
- Procesos en los endpoints y extensiones de navegador asociados a servicios de IA
- Registros de DNS y de proxy con dominios de IA conocidos y nuevas consultas
- Detecciones de CASB o de secure web gateway en categorías de IA
- Menciones en tickets y chats que apunten a un uso recurrente de alguna herramienta
Una vez recopilada esta información, puedes pasar a:
- Inventariar las herramientas no aprobadas y relacionarlas con equipos y tipos de datos.
- Convertir los patrones seguros en política y añadir las herramientas aprobadas al catálogo.
- Abrir tickets para los usos de riesgo, con orientación y plazos para migrar a las opciones autorizadas.
Tarea 4: aplica controles técnicos por capas
📌 Caso de uso:
Esta tarea enumera los controles técnicos para ofrecer pasos concretos y aplicables a los equipos de TI y seguridad.
Una estrategia de BYOAI bien gobernada se apoya en varias capas de aplicación: endpoints, navegadores, redes y entornos cloud. Estos son los componentes y la forma de controlarlos:
- Controles en el endpoint
- Cuando proceda, usa la configuración de Windows 11, la directiva de grupo o claves de registro para permitir o denegar funciones de IA generativa.
- Aplica listas de aplicaciones permitidas o controles de extensiones de navegador para los complementos de riesgo.
- Exige que el dispositivo cumpla las políticas antes de dar acceso a las herramientas de IA autorizadas.
- Controles de navegador y red
- Bloquea los dominios de IA no aprobados o somételos a políticas restringidas que impidan la salida de contenido sensible.
- Activa la inspección SSL, la inspección de contenido o el análisis de subidas según la sensibilidad de los datos.
- Vigila los nuevos dominios de IA detectados y revísalos cada mes.
- Controles en el cloud
- Desactiva los conectores de IA en los repositorios con datos regulados, salvo que existan medidas de protección.
- Usa la prevención de pérdida de datos para detectar patrones sensibles en las subidas y en los prompts de chat.
- Exige SSO, acceso condicional y controles de sesión para las herramientas aprobadas.
Tarea 5: forma y acompaña a los usuarios
📌 Caso de uso:
Esta tarea garantiza que todo el equipo esté alineado y conozca las políticas de gobernanza.
Las políticas de BYOAI solo funcionan si todas las personas implicadas están bien formadas. Así se reducen las fugas provocadas por errores humanos sin sacrificar productividad.
En la formación de los usuarios conviene cubrir estos puntos:
- Qué datos se pueden compartir con herramientas de IA y cuáles no
- Cómo redactar prompts seguros que no expongan secretos
- Cómo verificar el resultado de la IA antes de usarlo en tickets, documentos o comunicaciones
- Cómo solicitar una herramienta nueva o una excepción a la política con una justificación de negocio clara
Toma estos puntos como referencia al programar repasos breves cada trimestre, con ejemplos vinculados al catálogo de herramientas aprobadas.
Tarea 6: monitoriza, revisa y mejora
📌 Caso de uso:
Esta tarea asegura una seguridad y protección continuas para la empresa mientras se aplican las políticas de BYOAI.
Las herramientas de IA evolucionan muy rápido, así que tus políticas tienen que adaptarse continuamente a los cambios. Por eso, en cuanto empieces a gobernar el BYOAI, monitorizar, revisar y mejorar las políticas pasará a formar parte de tu rutina. Estas son algunas métricas que debes vigilar:
- Porcentaje del tráfico de IA que pasa por herramientas aprobadas
- Número de excepciones y tiempo medio hasta su caducidad
- Incidentes de DLP relacionados con el uso de IA, por gravedad
- Nuevos dominios de IA detectados y tiempo hasta la decisión
La monitorización y la revisión pueden hacerse cada mes, durante la revisión operativa de detecciones y excepciones. Las mejoras, en cambio, pueden aplicarse mediante actualizaciones trimestrales del catálogo de herramientas y revisiones de las políticas basadas en los hallazgos.
Integraciones con NinjaOne
Una plataforma completa de gestión de endpoints como NinjaOne ofrece herramientas sólidas para gobernar el BYOAI. Así es cómo:
| Servicio de NinjaOne | En qué consiste | Cómo ayuda a gobernar el BYOAI |
| Descubrimiento e inventario | Programa scripts y consultas para detectar procesos de IA, extensiones de navegador y accesos a dominios en los endpoints. | Identifica herramientas de IA no gestionadas y patrones de uso, de modo que TI pueda valorar el riesgo y añadir las herramientas aprobadas al catálogo. |
| Despliegue de políticas | Envía cambios de configuración que habilitan o restringen funciones de IA, aplican listas de permitidos y establecen controles en el navegador. | Garantiza un uso aprobado de la IA en todos los dispositivos y navegadores, asegurando el cumplimiento de las políticas de la organización. |
| Alertas y tickets | Avisa a los responsables cuando se detecta un uso de IA no aprobado y abre tickets con indicaciones de remediación. | Automatiza la respuesta a incidentes y asegura la rendición de cuentas orientando a los usuarios hacia las herramientas de IA autorizadas. |
| Informes | Genera paneles por cliente que resumen el uso aprobado, el estado de las excepciones y la evolución de las señales de DLP. | Aporta visibilidad sobre las métricas de gobernanza de la IA, lo que ayuda a seguir el avance en cumplimiento y a detectar puntos de mejora. |
Gobernar el BYOAI de forma eficaz
El BYOAI se ha convertido en una práctica habitual entre los empleados. Gobernarlo es la forma adecuada de aprovechar los avances en productividad. Así te aseguras de dar una orientación suficiente sobre el uso de la IA que cada persona prefiera, sin dejar de proteger los datos de la empresa.
Conclusiones clave:
- Define el BYOAI, publica las herramientas permitidas y prohíbe las clases de datos de riesgo.
- Detecta los patrones de uso actuales antes de aplicar controles más estrictos.
- Aplica medidas de protección en endpoints, navegador, red y cloud acordes a la sensibilidad de los datos.
- Forma a los usuarios con ejemplos prácticos y un proceso de excepciones sencillo.
- Monitoriza los resultados, haz caducar las excepciones y actualiza el catálogo de herramientas aprobadas con regularidad.
Con estas estrategias de gobernanza, el BYOAI puede ayudar a que los empleados rindan mejor, aprendan a usar la IA de forma responsable y la empresa mantenga una seguridad sólida.
Temas relacionados:
