De Shadow AI a AI Autorizada: El Manual de Migración Empresarial

Tus empleados están usando ChatGPT con datos de la empresa. Tú lo sabes. Ellos saben que tú lo sabes. Y sin embargo el problema persiste porque saber sobre el shadow AI y solucionarlo son dos cosas diferentes.

Este es el manual de migración. Cubre el recorrido completo desde el uso descontrolado de AI externa hasta herramientas de AI autorizadas, auditables y on-prem — dividido en cinco fases con cronogramas específicos, requisitos de recursos y puntos de decisión. Está diseñado para organizaciones que han superado la etapa de "¿deberíamos hacer algo?" y están en la etapa de "¿cómo lo hacemos realmente?".

El cronograma total es de 24 a 36 semanas. El costo total varía entre $50,000 y $200,000 dependiendo de la escala. La alternativa — no hacer nada — cuesta un promedio de $19.5 millones por año en pérdidas por riesgo interno relacionado con shadow AI.

El Cronograma de Migración de un Vistazo

Nota: Las Fases 3 y 4 se solapan con las fases anteriores por diseño. No esperas a la gobernanza para iniciar la preparación de datos, y no esperas a tener datos perfectos para comenzar el fine-tuning.

---

Fase 1: Descubrimiento (Semanas 1–4)

Objetivo: Entender qué shadow AI existe en tu organización, cuantificar el riesgo e identificar los casos de uso de mayor valor que los empleados están resolviendo con herramientas externas.

Recursos: 1 analista de seguridad, 1 líder de operaciones TI, patrocinador ejecutivo. Presupuesto: $5,000–$15,000 (herramientas de monitoreo y tiempo de análisis).

Paso 1.1: Auditar el Uso Actual

Despliega monitoreo de red para identificar tráfico hacia dominios de herramientas de AI conocidas. Los objetivos principales:

• Proveedores de LLM: openai.com, anthropic.com, gemini.google.com, chat.mistral.ai
• Asistentes de código: copilot.github.com, cursor.sh, codeium.com
• Funciones de AI integradas: notion.so/ai, docs.google.com (funciones de Gemini), bing.com/chat
• Agregadores de AI: poe.com, huggingface.co, together.ai

La mayoría de los firewalls empresariales y servidores proxy pueden generar reportes de tráfico a nivel de dominio sin herramientas nuevas. Lo que buscas es:

• Número de empleados únicos accediendo a herramientas de AI
• Volumen de datos transmitidos (tamaño de solicitudes salientes)
• Frecuencia de uso (diaria, semanal, única)
• Departamentos con mayor uso

Paso 1.2: Cuantificar el Riesgo

Traduce los datos de uso en métricas de riesgo:

Calcula tu conteo estimado de violaciones anuales: (usuarios activos) x (prompts/día) x (1.6%) x (220 días laborales). Para una empresa de 1,000 personas con 60% de usuarios activos de AI: 600 x 10 x 0.016 x 220 = 21,120 violaciones anuales estimadas.

Paso 1.3: Identificar Casos de Uso de Alto Valor

Este es el paso de descubrimiento más importante y el que la mayoría de las organizaciones se saltan. Encuesta a los empleados (anónimamente) para entender para qué están usando la AI:

• ¿Para qué tareas usas herramientas de AI?
• ¿Cuánto tiempo te ahorra por semana?
• ¿Qué datos proporcionas normalmente a la herramienta de AI?
• Si proporcionáramos una herramienta de AI interna, ¿qué capacidades necesitaría?

Hallazgos comunes:

El producto de la fase de descubrimiento es un Informe de Evaluación de Shadow AI que incluye: métricas de uso, cuantificación del riesgo, principales casos de uso por departamento y una lista priorizada de capacidades que la plataforma interna debe soportar.

---

Fase 2: Victorias Rápidas (Semanas 5–12)

Objetivo: Desplegar un chatbot de AI interno básico que dé a los empleados una alternativa inmediata a las herramientas externas. Esto reduce la fuga de datos mientras construyes la solución completa.

Recursos: 1 ingeniero ML/DevOps, 1 administrador de sistemas. Presupuesto: $10,000–$30,000 (hardware + configuración).

Paso 2.1: Desplegar Ollama + Open WebUI

El camino más rápido hacia un chatbot de AI interno funcional:

Requisitos de hardware (mínimo):

• 1 servidor con GPU NVIDIA (RTX 4090 para equipos pequeños, A100 para más de 100 usuarios)
• 32GB+ RAM, 500GB+ almacenamiento SSD
• Conectividad de red interna (no se requiere acceso a internet para inferencia)

Stack de software:

• Ollama para servir modelos
• Open WebUI para la interfaz de usuario
• NGINX para balanceo de carga (si hay múltiples GPUs)
• Integración LDAP/SSO para autenticación

Selección de modelo para la Fase 2:

Comienza con un modelo de propósito general (Llama 3.3 o Qwen 2.5) y expande según la retroalimentación de los empleados.

Paso 2.2: Anunciar y Migrar

El anuncio importa tanto como la tecnología. Enmárcalo como:

• "Estamos proporcionando una mejor herramienta" — no "estamos bloqueando las herramientas que te gustan"
• Demuestra que la herramienta interna maneja los principales casos de uso identificados en la Fase 1
• Proporciona guías de migración: "Si estabas usando ChatGPT para X, así es como haces X con la herramienta interna"
• Ofrece sesiones de capacitación presenciales por departamento

Paso 2.3: Medir la Adopción

Seguimiento semanal:

• Plataforma interna: usuarios únicos, prompts por día, puntuaciones de satisfacción
• AI externa: volumen de tráfico (debería estar disminuyendo)
• Tickets de soporte: qué falta, qué no funciona

Resultado esperado al final de la Fase 2: Reducción del 40–60% en el uso de herramientas de AI externas. El uso restante será para capacidades que la plataforma básica aún no proporciona (asistencia de código, carga de documentos, tareas especializadas). Eso es lo que abordan las Fases 3 y 4.

---

Fase 3: Base de Datos (Semanas 9–24)

Objetivo: Construir el pipeline de preparación de datos que transforma el conocimiento empresarial en datos de entrenamiento para modelos de AI personalizados. Esta es la base para la Fase 4.

Recursos: 1–2 ingenieros de datos, 1 experto del dominio (tiempo parcial por departamento). Presupuesto: $15,000–$50,000 (herramientas + tiempo de ingeniería).

Por Qué Existe Esta Fase

Los modelos genéricos open-source (desplegados en la Fase 2) son buenos en tareas generales. No saben nada sobre tus productos específicos, procesos, terminología, clientes o dominio. Para que una plataforma de AI interna supere a ChatGPT para tus empleados, necesita conocer tu negocio.

Ese conocimiento proviene de tus datos empresariales. Pero los datos empresariales son desordenados: dispersos en servidores de archivos, wikis, canales de Slack, archivos de correo, bases de datos y sistemas de gestión documental. Antes de poder ajustar un modelo, necesitas extraer, limpiar, estructurar y validar esos datos.

Paso 3.1: Identificar Fuentes de Datos

Mapea los repositorios de conocimiento en tu organización:

Paso 3.2: Extraer y Procesar

Construye un pipeline de extracción que maneje tus fuentes de datos específicas. El pipeline típico:

1. Extraer: Obtener contenido crudo de los sistemas fuente. Para documentos, esto significa OCR y análisis de diseño (herramientas como Docling, Unstructured.io o Apache Tika). Para datos estructurados, consultas SQL y llamadas a API.

2. Limpiar: Eliminar duplicados, plantillas, encabezados/pies de página, elementos de navegación y otro ruido. Para datos de comunicación, filtrar conversaciones informales, mensajes sociales y contenido no laboral.

3. Fragmentar: Dividir documentos en fragmentos semánticamente significativos (párrafos, secciones, pares de preguntas y respuestas). El tamaño del fragmento depende del uso previsto: la recuperación RAG funciona mejor con fragmentos de 200–500 tokens; el fine-tuning funciona mejor con ejemplos completos de conversaciones o documentos.

4. Estructurar: Convertir contenido limpio en formato de entrenamiento. Para fine-tuning: pares de instrucción/respuesta. Para RAG: fragmentos de documentos indexados con metadatos.

5. Validar: Revisión humana de una muestra (5–10%) para verificar calidad, precisión y ausencia de datos sensibles que no deberían estar en el conjunto de entrenamiento.

Paso 3.3: Construir el Pipeline de Calidad de Datos

La calidad de datos es el factor determinante más importante del rendimiento de un modelo ajustado. Datos malos entran, modelo malo sale. Establece controles de calidad:

• Precisión: ¿La información en los datos de entrenamiento es correcta y actual?
• Relevancia: ¿Los datos representan el conocimiento que los empleados realmente necesitan?
• Completitud: ¿Hay vacíos en la cobertura de temas?
• Consistencia: ¿Los datos contienen contradicciones?
• Privacidad: ¿Se ha eliminado o manejado apropiadamente toda la PII/PHI?

Destina 40–60% del tiempo de la Fase 3 a la calidad de datos. Los equipos que se apresuran en la preparación de datos y pasan al fine-tuning rápidamente obtienen consistentemente peor rendimiento del modelo que los equipos que dedican más tiempo a la calidad de datos y menos al ajuste del modelo.

Paso 3.4: Establecer un Pipeline de Datos Continuo

El conocimiento empresarial cambia constantemente. Nuevos productos se lanzan, procedimientos se actualizan, regulaciones cambian. El pipeline de datos debe ser continuo, no de una sola vez:

• Extracción programada de sistemas fuente (semanal o mensual)
• Controles de calidad automatizados
• Cola de revisión humana para contenido marcado
• Control de versiones para datasets de entrenamiento
• Documentación de la procedencia de datos (de dónde vino cada pieza de datos de entrenamiento)

---

Fase 4: Modelos Personalizados (Semanas 17–32)

Objetivo: Ajustar modelos específicos del dominio con tus datos empresariales que superen a los modelos genéricos para tus casos de uso específicos.

Recursos: 1 ingeniero ML, expertos del dominio (tiempo parcial). Presupuesto: $15,000–$75,000 (cómputo + herramientas).

¿Por Qué Ajustar?

Una pregunta común: "¿Por qué no usar RAG (generación aumentada por recuperación) con el modelo base y saltarse el fine-tuning?"

RAG y fine-tuning resuelven problemas diferentes:

Los mejores sistemas de AI empresarial usan ambos: modelos ajustados para experiencia del dominio y estilo, más RAG para información actual y citas de fuentes. La Fase 4 cubre el fine-tuning; RAG puede incorporarse durante o después de esta fase.

Paso 4.1: Seleccionar Modelos Base para Fine-Tuning

Elige modelos base según tus casos de uso principales:

QLoRA (Adaptación de Bajo Rango Cuantizada) es el método estándar para fine-tuning empresarial: requiere menos memoria GPU que el fine-tuning completo mientras logra resultados comparables para la mayoría de los casos de uso.

Paso 4.2: Ajustar y Evaluar

El ciclo de fine-tuning:

1. Preparar datos de entrenamiento: Convertir los resultados de la Fase 3 al formato esperado del modelo (típicamente pares instrucción/respuesta en JSONL)
2. Configurar entrenamiento: Establecer hiperparámetros (tasa de aprendizaje, épocas, rango LoRA). Comienza con valores predeterminados establecidos y ajusta según los resultados de evaluación.
3. Entrenar: Ejecutar el trabajo de fine-tuning. Monitorear las curvas de pérdida para convergencia.
4. Evaluar: Probar el modelo ajustado contra un conjunto de evaluación reservado. Medir:
   • Precisión: ¿El modelo da respuestas correctas y apropiadas para el dominio?
   • Estilo: ¿Coincide con el tono y terminología de tu organización?
   • Seguridad: ¿Rechaza proporcionar información que no debería?
   • Comparación: Evaluación lado a lado contra el modelo base y contra ChatGPT/Claude para los mismos prompts
5. Iterar: Si los resultados de evaluación están por debajo del objetivo, diagnosticar el problema (generalmente calidad de datos) y reentrenar.

Paso 4.3: Desplegar en Producción

Reemplaza o complementa los modelos base de la Fase 2 con modelos ajustados:

• Despliega modelos ajustados junto a modelos base (deja que los empleados elijan)
• Prueba A/B: enruta el 50% de solicitudes al modelo ajustado y mide la satisfacción
• Recopila retroalimentación: pulgar arriba/abajo en respuestas, con retroalimentación escrita opcional
• Planifica reentrenamiento regular (trimestral o cuando haya datos nuevos significativos disponibles)

Resultado esperado al final de la Fase 4: La plataforma de AI interna maneja el 80–90% de los casos de uso que los empleados previamente resolvían con herramientas externas, con calidad igual o superior para tareas específicas del dominio. El uso de herramientas de AI externas cae por debajo del 10% — principalmente casos extremos y preferencia personal para investigación general.

---

Fase 5: Gobernanza (Semana 12+, Continua)

Objetivo: Establecer la infraestructura de monitoreo, política y auditoría para la gobernanza de AI a largo plazo.

Recursos: 1 analista de seguridad (tiempo parcial), Comité de Gobernanza de AI (reuniones trimestrales). Presupuesto: $5,000–$30,000/año (herramientas + tiempo del comité).

La Fase 5 comienza durante la Fase 2 (no después de la Fase 4) porque la gobernanza no puede esperar a que la plataforma completa esté lista.

Paso 5.1: Marco de Políticas

Despliega una política de uso aceptable de AI que cubra:

• Herramientas aprobadas y el proceso para solicitar nuevas
• Clasificación de datos para uso de AI (qué datos pueden ir a dónde)
• Directrices de uso aceptable por departamento
• Provisiones de monitoreo y cumplimiento
• Procedimientos de respuesta a incidentes
• Requisitos de capacitación

Consulta nuestra Plantilla de Política de Shadow AI para Industrias Reguladas para un documento de política completo y adaptable.

Paso 5.2: Infraestructura de Monitoreo

Despliega monitoreo que proporcione:

• Dashboards de uso: Quién usa la plataforma interna, para qué y con qué frecuencia
• Detección de AI externa: Monitoreo continuo del tráfico a herramientas de AI externas
• Detección de fuga de datos: Escaneo automatizado de PII, PHI y datos clasificados en prompts
• Detección de anomalías: Patrones de uso inusuales (picos de volumen, acceso fuera de horario, envío masivo de datos)
• Registros de auditoría: Registro completo de todas las interacciones con AI para cumplimiento e investigación de incidentes

Paso 5.3: Auditorías Regulares

Paso 5.4: Mejora Continua

La plataforma de AI interna debe mantenerse al ritmo de las herramientas externas. Si ChatGPT lanza una capacidad que tus empleados necesitan y tu plataforma interna no la tiene, el uso externo aumentará. Presupuesta para:

• Actualizaciones mensuales del modelo (nuevos lanzamientos de modelos base, reentrenamiento con datos frescos)
• Adiciones trimestrales de capacidades (nuevas funciones, nuevos casos de uso, nuevos departamentos)
• Escalado anual de infraestructura (más GPUs, más almacenamiento, mejor rendimiento)

---

El Caso de ROI

Los números que justifican esta inversión:

Costo de No Hacer Nada

Incluso si descuentas el promedio de la industria de $19.5M como inflado para tu organización y asumes solo un incidente moderado de fuga de datos por año, la exposición es de $2–10 millones anuales.

Costo de la Migración

Las Matemáticas

En el extremo conservador: $2M en exposición de riesgo anual versus $115K en costo de migración. Eso es una proporción de 17:1.

Al promedio de la industria: $19.5M en exposición de riesgo versus $115K. Eso es una proporción de 170:1.

Incluso considerando que la migración no elimina el 100% del riesgo — lo reduce en un estimado del 80–95% — el ROI es abrumador bajo cualquier suposición razonable.

Y esto no cuenta las ganancias de productividad. Si tu plataforma de AI interna le ahorra a cada trabajador del conocimiento 3 horas por semana (una estimación conservadora basada en los datos de descubrimiento de la Fase 1), y tu costo promedio completamente cargado por trabajador del conocimiento es de $80/hora, eso es:

• 500 trabajadores del conocimiento x 3 horas x $80 x 48 semanas = $5.76 millones en ganancias anuales de productividad

La plataforma de AI interna no solo reduce el riesgo. Genera un valor de productividad medible que el shadow AI externo ya estaba entregando parcialmente — solo que sin la pista de auditoría, la protección de datos ni el control organizacional.

Objeciones Comunes y Respuestas

"No podemos pagarlo." No puedes permitirte no hacerlo. Un incidente de fuga de datos que involucre PII de clientes cuesta más que toda la migración. Y las ganancias de productividad por sí solas típicamente compensan la inversión en 6 meses.

"Nuestros empleados no usarán una herramienta interna." Lo harán si es suficientemente buena. La clave es la Fase 2 — despliega rápidamente, obtén retroalimentación, itera. Los empleados prefieren herramientas autorizadas cuando esas herramientas satisfacen sus necesidades.

"Los modelos open-source no son tan buenos como GPT-4." Para conocimiento general, eso es parcialmente cierto. Para tu dominio específico, un modelo 70B ajustado supera a GPT-4 porque conoce tu negocio. Ese es todo el punto de la Fase 4.

"No tenemos experiencia en ML internamente." Las Fases 1 y 2 requieren habilidades de operaciones TI, no experiencia en ML. Las Fases 3 y 4 requieren algo de conocimiento de ML, que puede ser proporcionado por un proveedor de plataforma, un consultor o una nueva contratación. Las habilidades necesarias son cada vez más comunes.

"Este cronograma es demasiado largo." La Fase 2 entrega valor en 8 semanas. No necesitas esperar a la Fase 4 para ver resultados. El enfoque por fases significa que estás reduciendo el riesgo desde la semana 5 en adelante.

"¿Qué hay de simplemente obtener ChatGPT Enterprise?" ChatGPT Enterprise aborda algunas preocupaciones (datos no usados para entrenamiento, cumplimiento SOC 2, SSO). No aborda la residencia de datos, el entrenamiento de modelos personalizados, la disponibilidad sin conexión ni el control total de auditoría. Para industrias ligeramente reguladas, puede ser suficiente. Para salud, servicios financieros, legal, defensa y otros entornos regulados, el despliegue on-prem sigue siendo necesario.

Primeros Pasos

El primer paso es la Fase 1: Descubrimiento. Necesitas conocer el tamaño y la forma del problema antes de poder resolverlo. La mayoría de las organizaciones se sorprenden por lo que encuentran — tanto la escala del uso de shadow AI como el valor genuino de productividad que los empleados obtienen de él.

No abordes esto como una represión. Abórdalo como una migración. Tus empleados ya han demostrado que las herramientas de AI los hacen más productivos. Tu trabajo es darles mejores herramientas — herramientas que sean más rápidas, más capaces para tu dominio y que no filtren datos de la empresa a terceros.

El manual funciona porque alinea los incentivos. Los empleados obtienen mejores herramientas de AI. Seguridad obtiene visibilidad y control. La dirección obtiene riesgo reducido y ganancias de productividad medibles. Nadie tiene que perder para que esto funcione.

Comienza con el descubrimiento. Despliega una victoria rápida. Construye la base. Entrena los modelos. Gobierna el sistema. Veinticuatro semanas desde ahora, el problema del shadow AI ya no es un problema — es una ventaja competitiva.