Nadie ha convocado una reunión para decidir si se usa IA en la empresa. Ya se usa. Alguien de marketing le ha pasado un briefing a ChatGPT esta semana, alguien de administración le ha pedido a Copilot que resuma un contrato, y probablemente nadie ha revisado antes qué puede ver esa IA ni a dónde va esa información.
Esta no es una checklist para decidir si dar el paso — el paso ya está dado en la mayoría de empresas. Es la checklist para comprobar que, mientras el equipo gana velocidad con IA, no ha quedado ninguna puerta abierta. Nos basamos en las buenas prácticas que aplicamos con nuestros clientes de Sosmatic IT, en el contexto de Microsoft 365 porque es donde vive hoy la mayor parte de esa IA en la empresa española. El motivo no es solo evitar una sanción: es que un uso de IA sin revisar es, sencillamente, un riesgo que no hace falta correr.
Y no hace falta ser una empresa grande para que esto importe. Con un equipo de diez personas y una cuenta de Microsoft 365 Business, ya hay suficiente superficie — correo, archivos, chats de Teams — como para que una IA mal configurada exponga algo que no debería. La buena noticia es que, en la mayoría de los casos, no hace falta contratar nada nuevo: se trata de revisar y activar lo que ya viene incluido en el plan de Microsoft 365 que ya se paga.
Los 7 checkpoints
1. ¿Sabéis qué puede ver la IA que no sabíais que estaba compartido?
Es el riesgo número uno, y lo dice el propio Microsoft: Copilot no da acceso nuevo a nada, pero saca a la luz todo lo que ya estaba mal compartido — esa carpeta «para todos» que nadie ha revisado en tres años, ese sitio de Teams sin dueño.
Cómo se comprueba: en el Centro de administración de Microsoft 365 hay un informe de gobernanza de datos que lista los sitios de SharePoint con acceso abierto a toda la organización — o, más fácil, se le pregunta directamente al proveedor de IT si existe ese informe y qué dice.
2. ¿Tiene todo el mundo doble verificación para entrar?
Es la higiene básica de cualquier empresa que gestione datos con IA: sin MFA, una contraseña filtrada es la puerta de entrada a todo. Cómo se comprueba: en Microsoft Entra ID (antes Azure AD), dentro de las directivas de acceso condicional. Si hay alguien sin MFA — sobre todo en dirección o finanzas, que son los perfiles más atacados — es la primera brecha que cerrar, y suele resolverse en una tarde. Es además una de las medidas mínimas que pide la normativa NIS2.
3. ¿Están marcados los documentos sensibles antes de que la IA los toque?
Contratos, nóminas, datos de clientes — si no llevan una etiqueta de sensibilidad, la IA los trata igual que cualquier documento suelto. Cómo se comprueba: se activa desde Microsoft Purview. No hace falta etiquetar todo el histórico de golpe — se empieza por las carpetas de RRHH, contratos y datos de clientes, que son las que más riesgo tienen de aparecer en una respuesta de IA sin querer, y se les aplica además una política de prevención de fuga de datos (DLP) que bloquea que esa información salga sin control.
4. ¿Va cifrado lo que se mueve y lo que se guarda?
En Microsoft 365 viene activado de serie en gran parte de los servicios, pero conviene confirmarlo — no asumirlo. Cómo se comprueba: pidiendo al proveedor de IT confirmación explícita, con especial atención a cualquier aplicación o conector de terceros que se haya enchufado a Teams o SharePoint sin pasar antes por una revisión — ahí es donde más se suelen colar los agujeros.
5. ¿Sabéis qué le está preguntando el equipo a la IA?
No para vigilar a nadie: para detectar a tiempo si alguien está pegando datos de un cliente en un prompt sin darse cuenta. Cómo se comprueba: se activa con Microsoft Purview Audit, que viene incluido incluso en los planes más básicos (con retención limitada; los planes superiores amplian el periodo y el detalle). Con eDiscovery se puede buscar y exportar las conversaciones con Copilot igual que cualquier otro contenido de la organización. No hace falta revisarlo todo en directo — sirve para poder consultarlo si hace falta.
6. ¿Hay un plan si algo sale mal, con plazos reales?
Si ese plan vive solo en la cabeza de una persona, no existe. Cómo se comprueba: no hace falta un documento de cuarenta páginas — con tener claro quién recibe el aviso, a quién se llama primero (el proveedor de IT, en la mayoría de casos) y qué se comunica a los afectados, ya está cubierta la parte esencial. La normativa NIS2 marca plazos que sirven como buena referencia aunque no esté obligado a cumplirlos: alerta en 24 horas desde que se detecta un incidente grave, evaluación completa a las 72 horas, informe final en 30 días.
7. ¿Lo sabe la dirección, y lo ha aprobado por escrito?
Es el checkpoint que más se salta. La seguridad de la IA deja de ser un tema solo de IT en el momento en que se convierte en un tema de dirección — y NIS2 va en esa misma línea: traslada la responsabilidad también a la cúpula de la empresa, no solo al departamento técnico. Cómo se comprueba: no hace falta un protocolo formal — basta con un correo o un acta de reunión donde la dirección deje por escrito qué usos de IA se aprueban y bajo qué condiciones. Lo importante no es el formato, es que quede constancia.
¿Por dónde se empieza?
No hace falta resolver los siete a la vez. Un orden que funciona bien en la práctica:
- Primera semana: checkpoints 1 y 2 — revisar qué hay compartido de más y activar MFA donde falte. Son los que menos esfuerzo piden y más riesgo quitan de en medio.
- Primer mes: checkpoints 3 y 5 — etiquetar lo más sensible (RRHH, contratos, clientes) y activar la auditoría de Copilot.
- Primer trimestre: checkpoints 4, 6 y 7 — confirmar el cifrado con el proveedor de IT, dejar por escrito el plan ante incidentes, y conseguir la aprobación formal de dirección.
Y una última cosa: aunque esta guía está pensada para Microsoft 365 porque es donde vive hoy la mayor parte de la IA en la empresa española, la lógica de fondo es la misma para cualquier otra herramienta de IA que entre por la puerta — lo que hay que preguntarse siempre es qué puede ver, quién lo puede pedir, y qué pasa si algo sale mal.
Si al repasar la lista hay más de una casilla en blanco
Es lo normal, y es exactamente para esto que existe Sosmatic IT: para llevar esta revisión, dejarla documentada y conseguir que la IA que ya usa el equipo trabaje a favor de la empresa, no en contra.
Una nota, para quien le interese la parte legal: la normativa NIS2 ya es una realidad en España en 2026, y aplica de forma directa a partir de 50 empleados o 10 millones de facturación — y de forma indirecta a cualquier empresa que sea proveedora de una organización regulada. Pero aunque no toque por tamaño, la lista de arriba protege igual: no depende de una ley, depende de qué tan bien se conoce lo que la IA está tocando dentro de la empresa.
