La inteligencia artificial ya trabaja dentro de las empresas, muchas veces sin que la dirección lo haya autorizado de forma expresa. Basta con que un empleado la incorpore a su rutina para que documentos confidenciales, datos personales o secretos industriales empiecen a moverse por herramientas que nadie ha revisado. Sobre cómo construir una cultura de responsabilidad que proteja esa información sin paralizar a las personas conversó Enrique Delgado Carravilla, socio director de Delgado Asociados y CEO de TM Click, en Tinku Personas y Talento, el programa de gestión de personas y bienestar laboral que presenta Olga Albaladejo. Con más de treinta años dedicados al derecho tecnológico, el compliance, la privacidad, la protección de datos y la ciberseguridad, Delgado aportó una mirada poco habitual: la que une la tecnología con las obligaciones jurídicas que la acompañan.
La IA que entra por la puerta de atrás
El contexto es exigente. El Instituto Nacional de Ciberseguridad gestionó en 2025 más de 122.000 incidentes, un 26% más que el año anterior, y un 28% de los usuarios recibió intentos de phishing, vishing o smishing. La propia IA está haciendo que esos engaños sean más personalizados y difíciles de detectar. Pero el riesgo, advirtió Delgado, no llega solo desde fuera. La tecnología ha entrado en las organizaciones de forma masiva y sin estructurar, y muchas compañías ya la utilizan antes de haberlo decidido conscientemente, porque son sus propios equipos quienes la han adoptado en el día a día.
Ahí aparece la doble dimensión que, según el invitado, no se puede separar: la tecnológica y la legal. Un uso sin criterio puede comprometer documentos confidenciales, protección de datos, propiedad industrial e incluso secretos empresariales. Por eso Delgado fue rotundo al señalar que «el no tener bien configurada toda una política de IA dentro de las empresas nos va a poner en riesgo». Las organizaciones más responsables, apuntó, llevan más de un año pidiendo que se actualicen sus políticas de privacidad y de uso de la IA, mientras que en los grandes desarrollos el problema empieza incluso antes: en definir con precisión qué se quiere hacer. Automatizar un proceso obliga a articular una trilogía entre bases de datos, procesos y los modelos de lenguaje que los sostienen, y esa falta de definición se convierte, con el tiempo, en conflictos de difícil retorno.
Del mundo de la culpa al mundo del resultado
Uno de los puntos que más interpela a la dirección de las empresas es que la obligación de cumplir —y de soportar las sanciones— existe con independencia de que se tuviera o no conocimiento del incumplimiento, y sin que el legislador diga exactamente cómo hacerlo. Delgado lo enmarcó en la idea de la sociedad del riesgo: el legislador ya no puede vigilarlo todo, así que ha trasladado a las organizaciones un modelo de autorregulación de raíz anglosajona, en el que la sanción por incumplir es elevada.
Ese giro tiene una consecuencia jurídica de fondo. La responsabilidad civil se ha ido objetivando y, en palabras del invitado, «hemos pasado de un mundo de culpa a un mundo del resultado». Ya no basta con demostrar buena voluntad: lo que se juzga es si existía un sistema de prevención eficaz. Es un cambio que afecta al compliance, a la privacidad y a la prevención de riesgos por igual, y que sitúa la carga de la prueba del lado de quien debía anticiparse.
Qué mira un tribunal: prevención y liderazgo
Cuando estas cuestiones llegan a los tribunales, Delgado explicó que se produce un doble análisis. Por un lado, qué ha hecho el órgano de administración para prevenir; por otro, cuáles son los elementos de culpa e intencionalidad del verdadero infractor, que muchas veces es un trabajador. Lo determinante es si la empresa había establecido medidas técnicas, operativas y organizativas adecuadas a su tamaño y a su sector, y si el infractor las fue saltando pese a ello.
De ahí que la conciencia deba nacer en el liderazgo. Los órganos de administración y los equipos directivos no solo tienen que implantar sistemas de prevención porque conviene a la organización, sino también para protegerse a sí mismos. Y la tendencia legislativa refuerza esa dirección: con marcos como la directiva NIS, la responsabilidad recae cada vez más sobre los miembros del consejo. Delgado recordó, además, que conviene no dejarse deslumbrar por el vocabulario tecnológico: muchos de estos proyectos se configuran jurídicamente como arrendamiento de obra, lo que obliga a volver a los principios generales del derecho y del Código Civil.
Formación y concienciación: el papel de las personas
Preguntado por el mensaje que trasladaría a un director o directora de Recursos Humanos que maneja información de alto riesgo, Delgado ofreció una respuesta desprovista de artificio: nada que no sepan ya. La clave está en la «formación y concienciación». El análisis histórico de las fugas de información demuestra que el eslabón humano sigue siendo decisivo, y que las mejores barreras técnicas se sostienen sobre una cultura en la que las personas entienden qué está en juego cuando usan una herramienta de IA.
Es precisamente el terreno de Tinku Personas y Talento. Construir esa cultura de responsabilidad no consiste en prohibir ni en frenar a los equipos, sino en darles criterio para que la tecnología sume sin exponer a la organización. La conclusión del invitado, compartida por la presentadora, se resume en una máxima antigua y todavía vigente: mejor prevenir que curar, y hacerlo desde el principio junto a quienes ayudan a hacerlo bien.
El dato como herramienta de vigilancia
El cierre de la conversación elevó la mirada más allá de la empresa. Delgado repasó la evolución del uso de los datos: primero al servicio de la publicidad y el marketing online, después convertidos en mercancía en mercados opacos, y en una tercera fase empleados en campañas políticas cuyas brechas de seguridad llegaron a incidir en resultados electorales de determinados países. Por eso reivindicó una conciencia democrática ante la IA. El invitado defendió que existe «una oportunidad única en la humanidad de resolver muchos problemas», pero también un riesgo democrático que hay que saber dimensionar.
Su advertencia final fue nítida: los datos y la privacidad no son solo derechos fundamentales, sino también herramientas de vigilancia de las que conviene protegerse. Un recordatorio que, en Tinku Personas y Talento, conecta con la defensa de un uso consciente y responsable de la inteligencia artificial, dentro y fuera de las organizaciones, como parte del bienestar y del talento que sostienen a las empresas.
