Ningún control de IA cierra el 100%

Voy a decir la parte que los proveedores suelen saltarse: no existe un control de IA que cierre todo. Y quien promete que cierra está vendiendo lo que no entrega.

Siempre hay un camino por fuera. El móvil personal, con datos, fuera de la red de la empresa. La IA incrustada en una herramienta que ya estaba contratada y nadie notó. La persona que copia el texto de la pantalla y lo escribe en el aparato de al lado.

Ninguna configuración alcanza esos caminos. Y eso no es un fallo de quien lo montó — es la naturaleza de la cosa.

Por qué eso no es motivo para renunciar

Porque la alternativa a "cerrar todo" no es "no cerrar nada".

La seguridad no funciona como una puerta, cerrada o abierta. Funciona como un cerco: cada capa cierra un camino, y lo que pasa por una se encuentra con la siguiente. Ninguna resuelve sola; juntas, cambian la pregunta de "¿estará alguien haciendo esto?" a "sabemos qué pasó, y podemos mostrarlo."

El error común es elegir entre bloquear todo y no hacer nada — y como bloquear todo es imposible, muchas empresas se quedan con la segunda opción por descarte.

Las capas, de lo técnico a lo humano

La red. El punto más barato de todos: la salida de la empresa niega todo por defecto, y abre solo el camino oficial. Quien está en la oficina, en el equipo de la empresa, pasa por donde debe — sin tener que quererlo.

Los equipos. El ordenador que la empresa entrega puede llevar su propia regla, independiente de la red. Eso cubre a quien trabaja desde casa.

La identidad. Herramienta de IA con la cuenta de la empresa, nunca con la personal. Parece un detalle y no lo es: es lo que separa "la empresa lo contrató" de "alguien se registró por su cuenta" — incluso a la hora de saber adónde fue el dato.

Y la última, que es humana. La regla escrita, la constancia firmada y la conversación que explica por qué. Es la capa que cubre justamente lo que las otras tres no alcanzan: el móvil en el bolsillo.

La capa que casi todos se saltan es la única gratuita

Fíjate en el orden en que esto suele hacerse: primero se compra lo técnico, y la parte escrita queda para después — para cuando haya tiempo.

Pero las tres primeras capas cuestan dinero y cubren lo que está dentro. La cuarta no cuesta nada más que decidir, y es la única que alcanza lo que está fuera. Es la más barata y la más postergada.

Los agujeros se admiten, no se esconden

Hay una diferencia práctica entre una empresa que sabe dónde no llega y una que cree que llegó a todo.

La primera puede decirle a un cliente o a un auditor: cubrimos esto, esto y esto; aquí no llegamos técnicamente, y por eso esa parte se trata con regla y con formación. Eso es una respuesta.

La segunda dice que está todo controlado — hasta el día en que no lo estaba. Y entonces, además del problema, está la afirmación anterior.

La prueba

Pregúntale a quien cuida de tu tecnología: ¿por dónde puede salir todavía la IA de la empresa sin pasar por nada?

Si la respuesta es "por ningún lado", la conversación no terminó — ni siquiera empezó. Si viene una lista, aunque sea corta, van por buen camino: es a partir de ella que se decide qué cerrar con técnica y qué cubrir con regla.