El dilema del empleado: usar IA con archivos sensibles o cumplir la política de TI

Por Nate from Nate's Substack.

El correo, en formato de teaser para un post de pago, plantea un conflicto que Nate lleva observando en el mundo corporativo: los empleados reciben dos órdenes contradictorias que se presentan, ambas, como requisitos del puesto. Por un lado, el manager exige hacer más con IA y cumplir plazos cada vez más ajustados. Por otro, el departamento de IT prohíbe subir determinados archivos o usar ciertas herramientas por motivos de privacidad. En la práctica, escribe Nate, la gente obedece al manager, porque es quien evalúa su desempeño y decide los ascensos, mientras que la consecuencia de saltarse una política de privacidad parece más abstracta y lejana.

Nate aporta su propia experiencia de casi veinte años asistiendo a presentaciones de IT sobre privacidad de datos: eran sesiones serias, pero la mayoría de la sala las vivía con resignación, como una obligación más que cumplir antes de volver al trabajo real. Según él, eso ha cambiado en los últimos dos años: ahora todo administrador de IT con el que habla está preocupado por el 'shadow IT', es decir, por la adopción de herramientas de IA en el día a día más rápida de lo que la organización puede evaluar o aprobar. Al mismo tiempo, sostiene que los propios empleados ya no se toman el riesgo a la ligera, sino que sienten un estrés considerable al recibir instrucciones contradictorias desde distintas partes de la misma empresa.

El resultado, según el autor, es que el empleado individual queda en el punto de mira: si usa la herramienta más potente sobre el material real, puede estar violando una norma que se le pidió seguir; si evita hacerlo, o reduce la tarea a algo genérico, puede no alcanzar las mejoras de productividad que su manager ya espera. En cualquiera de los dos casos, pierde. Nate afirma que, en la mayoría de las empresas, es el propio empleado quien termina decidiendo, archivo por archivo, qué información puede moverse, qué debe quedarse fuera y qué herramienta es aceptable, convirtiéndose así, de facto, en el diseñador de un proceso de privacidad que la compañía nunca formalizó.

Como ejemplo concreto, el correo cita el caso de un auditor que planteó esta duda a otros contables a finales del año pasado. Las conferencias y webinars insistían en usar IA para agilizar el trabajo: un modelo capaz podía leer documentos de procesos de clientes, manuales de control interno, checklists y resúmenes, y ayudar a encontrar vacíos o traducir el material a un lenguaje más comprensible. El problema era que ese material útil vivía dentro de archivos de clientes, y subirlos habría sido, en palabras del propio auditor citadas por Nate, 'un cambio radical' ('a game changer'), pero también chocaba con su responsabilidad de proteger los datos de esos clientes. Las alternativas que parecían más seguras resultaban tener 'mucha menos inteligencia' o estar 'a precios astronómicos', dejando al auditor sin querer sacrificar ni calidad ni seguridad, y por tanto con el trabajo estancado.

Nate concluye esa reflexión con la frase que resume la tesis del artículo: 'no subas el archivo' es un buen consejo, pero no es una respuesta a la pregunta de cómo terminar el trabajo.

El cuerpo del correo, al ser un teaser de un post de pago, adelanta el índice de contenidos del artículo completo sin desarrollarlo: se menciona 'Airlock', descrito como una aplicación para Mac que Nate ha construido para automatizar la parte repetitiva del proceso (sin detallar aquí qué hace exactamente ni qué se niega a tocar); un apartado sobre por qué 'la casilla de chat vacía' dejó de ser suficiente, porque el trabajo útil con IA ahora se hace sobre material real, lo que convirtió la privacidad en una decisión archivo por archivo; una sección con respuestas de operadores reales que habrían construido sistemas de enrutamiento, niveles de acceso ('tiers') y pipelines locales en lugar de confiar en recordar una norma a las 11 de la noche; una 'prueba de dos minutos' para evaluar el sistema de privacidad de una empresa, comparando el tiempo del camino aprobado frente a la ruta de consumo; y una reflexión sobre por qué no existe una única versión 'limpia' de un documento, ya que la relevancia depende de la pregunta que se esté haciendo, por lo que una copia sanitizada no puede servir como permiso válido para cualquier tarea futura.

El correo termina indicando que los suscriptores de pago tienen acceso al análisis completo y a la guía, además de a la membresía de la comunidad de Slack de Nate. Al tratarse de contenido detrás de muro de pago, el cuerpo recibido no incluye el desarrollo real de esos puntos (qué hace Airlock exactamente, cuáles son los routing o tiers concretos que usan los operadores citados, ni el detalle de la 'prueba de dos minutos'), por lo que este resumen se limita a lo que aparece explícitamente en el correo.