El prompt sin gobernar, documentado: el historial de incidentes que toda política de IA debería citar

El caso general lo expusimos en [El prompt sin gobernar](article-ungoverned-prompt.html): los empleados adoptaron la IA antes que sus empresas, y el resultado es un flujo de datos que nadie registra y nadie puede presentar cuando se le exige. Esta pieza es el expediente de pruebas. Cada incidente citado está documentado, fechado y con fuente — el historial que un CISO puede poner ante el consejo, y el que una política de IA debería citar. La pregunta que responde no es si el prompting sin gobernar es arriesgado en teoría. Es qué ha salido mal ya en la práctica.

¿Qué ha salido mal realmente cuando los empleados usan IA pública?

Esto no es un riesgo hipotético; es un historial de incidentes.

• Samsung, 2023. A las pocas semanas de permitir el uso de ChatGPT, Samsung identificó tres incidentes separados de ingenieros pegando material sensible — incluido código fuente relacionado con semiconductores enviado para depuración y una reunión interna grabada enviada para generar el acta. En mayo de 2023 Samsung prohibió las herramientas de IA generativa en los dispositivos corporativos (Bloomberg, Forbes, mayo de 2023).
• Los expedientes de brechas de la autoridad neerlandesa de protección de datos, 2024. La Autoriteit Persoonsgegevens emitió una guía formal tras recibir múltiples notificaciones de brechas de datos causadas por empleados que introdujeron datos personales en chatbots de IA — entre ellas, una empleada de una consulta médica que introdujo datos médicos de pacientes y un empleado de una teleco que introdujo un fichero con direcciones de clientes (Autoriteit Persoonsgegevens, 6 de agosto de 2024).

El patrón en ambos casos: los empleados no actuaban con mala intención. Eran productivos. Las herramientas simplemente no ofrecían una vía gobernada para hacer lo que necesitaban, así que los datos fueron adonde estaba la productividad.

Incluso cuando su gente lo hace todo bien, el proveedor puede ser la brecha

Un prompt sin gobernar hereda cada fallo del servicio donde aterriza.

• Marzo de 2023: un fallo en una librería cliente de Redis en OpenAI permitió a algunos usuarios ver los títulos de los chats de otros usuarios; durante una ventana de nueve horas, alrededor del 1,2 % de los suscriptores de ChatGPT Plus pudieron tener nombre, dirección de facturación y datos parciales de tarjeta visibles para terceros (postmortem de OpenAI, 24 de marzo de 2023).
• Julio–agosto de 2025: la opción de ChatGPT de hacer "descubribles" los chats compartidos terminó con más de 4.500 conversaciones compartidas indexadas por Google — algunas con nombres, currículums y contenido de trabajo confidencial — antes de que OpenAI retirara la función y comenzara la desindexación (Fast Company; Search Engine Land, agosto de 2025).

Ninguno de los dos incidentes requirió que un empleado hiciera nada mal. Los datos simplemente estaban fuera del perímetro de la empresa, expuestos a los bugs y a las decisiones de producto de un tercero.

¿No resuelve esto una suite gobernada como Copilot?

Resuelve el problema del perímetro y destapa otro: el oversharing. Un asistente corporativo responde con todo aquello a lo que el usuario conectado puede acceder técnicamente — incluidos años de enlaces para "Todos", permisos heredados y sitios olvidados. El análisis de Concentric AI sitúa el 16 % de los datos críticos de negocio en la categoría de sobrecompartidos — de media, unos 802.000 archivos expuestos por organización —, y la propia guía de despliegue de Microsoft se centra ahora en remediar el oversharing con Purview y SharePoint Advanced Management antes de desplegar el asistente (Concentric AI; Microsoft, 2024–2025). La lección se generaliza: un asistente de IA es un auditor de permisos que usted no pidió. Si la recuperación no es consciente de permisos y no queda registrada, el asistente encontrará lo que su modelo de accesos olvidó.

¿Qué esperan los reguladores que haga usted?

Dos señales importan.

• Introducir datos personales en un chatbot puede ser, en sí mismo, una brecha notificable. Esa es la posición explícita detrás de la guía de 2024 de la autoridad neerlandesa — las notificaciones que cita se presentaron porque un empleado introdujo datos personales en una IA (Autoriteit Persoonsgegevens, 6 de agosto de 2024).
• El lado del proveedor está bajo ejecución, no solo bajo avisos. La Garante italiana multó a OpenAI con más de 15 millones de euros en diciembre de 2024, al constatar, entre otras cosas, que se habían tratado datos de usuarios para entrenamiento sin una base jurídica adecuada (decisión de la Garante, 20 de diciembre de 2024; OpenAI ha anunciado que recurrirá).

Una organización que no puede reconstruir lo que sus empleados enviaron a un servicio de IA no puede responder a las preguntas que, tarde o temprano, le plantearán ambos frentes.

¿Cuánto cuesta dejar el prompt sin gobernar?

• Sin traza de auditoría: no puede listar lo que salió, así que no puede notificar, remediar ni defenderse.
• Incertidumbre sobre retención y uso para entrenamiento: lo que un servicio público conserva, y de qué aprende, lo rigen sus condiciones — que cambian —, no su política.
• Modelo de accesos expuesto: los asistentes sin gobernar sacan a la superficie lo que los permisos permiten, que rara vez es lo que la política pretende.
• Teatro normativo: prohibir herramientas sin ofrecer una alternativa gobernada desplaza el uso a los dispositivos personales, donde la visibilidad es exactamente cero. La prohibición de Samsung fue un triaje racional — no es un estado final.

¿Qué tiene que significar "gobernado" antes de que la IA toque datos de la empresa?

• El asistente, la recuperación y la inferencia se ejecutan dentro de su perímetro: un prompt es un evento interno, no una exportación.
• Cada prompt y cada respuesta quedan en una traza de auditoría que cumplimiento puede leer de verdad.
• La recuperación es consciente de permisos por usuario — quien pregunta ve solo aquello para lo que está autorizado, con citas.
• El trabajo sensible se enruta a modelos locales por defecto; lo que sale del perímetro es una excepción deliberada y verificada por política, no un valor por defecto.
• El egress es default-deny: nada habla hacia fuera hasta que alguien decide que puede.

Sus empleados seguirán usando prompts — y hacen bien; la productividad es real. La única respuesta duradera es darle al prompt un lugar gobernado donde ocurrir.

Fuentes: Bloomberg / Forbes (prohibición de Samsung, mayo de 2023); postmortem de OpenAI "March 20 ChatGPT outage" (24 de marzo de 2023); Fast Company y Search Engine Land (chats compartidos indexados, agosto de 2025); guía de la Autoriteit Persoonsgegevens (6 de agosto de 2024); decisión de la Garante sobre OpenAI (20 de diciembre de 2024); investigación de riesgo de datos de Concentric AI y guías de despliegue de Microsoft 365 Copilot (2024–2025). Cifras según lo informado por estas fuentes.