El CEO entró y dijo: “Ahora todos usamos IA”. La sala aplaudió. Nadie hizo las preguntas difíciles.

Sin política. Sin inventario. Sin expectativas definidas. Sin una respuesta a qué significa realmente “usar IA”: qué datos pueden circular y hacia dónde, qué herramientas están aprobadas, qué pasa cuando algo sale mal. Solo un mandato. Y un vacío cultural que la organización llenó a su manera.

Así empieza la Shadow AI. No con mala intención, sino con obediencia.

La gente hizo exactamente lo que se le pidió. Usó IA, toda la que encontró: cuentas personales con datos corporativos, integraciones no autorizadas, agentes sin gobierno y con acceso irrestricto a sistemas sensibles. Optimizaron para el único objetivo claro que tenían. El informe de IBM de 2025 indica que las organizaciones con altos niveles de shadow AI pagaron en promedio USD 670.000 más por brecha que las que tenían pocos o ninguno.

Entonces llegó seguridad con controles, y seguridad pasó a ser el enemigo. No porque los controles estuvieran mal: eran necesarios. Pero llegaron después que la cultura. Cada restricción se convirtió en un obstáculo para lo que la dirección había pedido explícitamente. El equipo de seguridad no peleaba contra una amenaza: peleaba contra el mandato del propio CEO. Los empleados aprendieron a esquivarlo, porque su objetivo era claro y los controles eran solo fricción.

La mayoría de las organizaciones ya tiene este problema. Esta sesión no trata de construir gobernanza de IA desde cero, sino de incorporarla a una cultura que ya tiene sus propias reglas, y ganar igual.

El Governance Retrofit es un marco de cuatro capas para organizaciones que necesitan gobernar la cultura de IA desde donde están:

Primero el inventario. No se puede gobernar lo que no se sabe que existe. Un inventario de IA no es burocracia: es la superficie de riesgo real.
Política como comunicación, no como cumplimiento. El primer documento de gobierno tiene que hablar el idioma del negocio. Un memo legal que nadie lee no es gobierno: es teatro.
Cultura antes que controles. Los controles frenan la conducta incorrecta; la cultura instala la correcta. Aplicados en el orden equivocado, no se gobierna: se negocia contra uno mismo.
Medir lo observable. No políticas firmadas ni horas de capacitación, sino el comportamiento real: qué herramientas, qué datos, qué cuentas.

Quienes asistan se llevarán una secuencia de gobierno que pueden implementar desde el primer día, y el lenguaje para convencer a la dirección que originó el problema.

Público objetivo: CISOs, CIOs, responsables de riesgo y GRC, y líderes de gobernanza de IA.
Nivel: intermedio. Formato: keynote.
Duración: 45-60 minutos.
Idioma: español o inglés.
Requisitos técnicos: proyector y audio estándar.