Un informe de impacto de IA de Intuit, con más de 34.000 respuestas de pequeñas y medianas empresas en Estados Unidos, confirma un dato que ya se intuía: el 77% de ellas usa IA a diario. Forbes lo cruza con otro dato menos cómodo. Cuando se pregunta a esos mismos negocios si tienen una política de uso de IA por escrito, la respuesta habitual es silencio. No hay regla, no hay límite documentado, no hay criterio compartido sobre qué se puede automatizar y qué no.
La brecha no es un detalle administrativo. Cuando una empresa mediana usa IA sin una política que defina qué datos puede tocar un agente, quién aprueba una respuesta a cliente o qué proceso queda fuera de automatización, el riesgo no desaparece: se traslada al primer incidente. Y ese incidente llega antes en pymes que en corporaciones grandes, porque hay menos capas de revisión entre el agente y la decisión final.
El propio informe reconoce una limitación: buena parte de los datos de productividad son autoinformados, sin medición controlada, y los ingresos que se atribuyen a la IA se basan en correlación, no en un estudio de causa y efecto. Es exactamente el tipo de dato con el que Marta debería entrar con cautela ante dirección: sirve para justificar que hay adopción, no para justificar que hay retorno medido.
Lo que sí es aplicable esta semana es la parte de gobernanza. Una política de uso de IA para una empresa mediana no necesita veinte páginas. Necesita tres bloques: qué herramientas están autorizadas y con qué datos, qué decisiones requieren aprobación humana antes de ejecutarse, y quién revisa un fallo cuando el agente se equivoca delante de un cliente.
El artículo original habla de empresas estadounidenses. La lectura para una pyme española o europea añade una capa que Forbes no menciona: el RGPD y el reglamento europeo de IA ya obligan, en la práctica, a documentar el tratamiento de datos y el nivel de riesgo de cualquier sistema que tome decisiones sobre clientes o empleados. No tener política de IA no es solo un riesgo operativo. Es un riesgo de cumplimiento con nombre y apellido en la normativa europea.
La micro-recomendación es concreta: antes de sumar una herramienta de IA más, escribe una página con las tres reglas anteriores y compártela con quien ya usa IA en el equipo. No hace falta un departamento legal para empezar. Hace falta decidir, por escrito, qué no está permitido automatizar todavía.