Permisos en IA empresarial: cómo evitar que un empleado vea información que no debería

Una IA interna puede ser una de las mejores inversiones de productividad para una pyme. También puede convertirse en un problema serio si se conecta a documentos sensibles sin controlar quién puede consultar qué. El riesgo no es que la IA "robe" información. El riesgo más común es mucho más simple: que responda a una persona con datos que esa persona nunca debería haber visto.

Ejemplo: un comercial pregunta "¿qué margen tenemos con el cliente X?" y el sistema responde usando una hoja financiera de dirección. O una persona de operaciones pregunta por "salarios del equipo" y la IA encuentra un Excel de RRHH mal compartido. El problema no es la IA. El problema es una capa de permisos mal definida.

La IA amplifica tus permisos existentes

Una regla básica: si tu empresa tiene permisos desordenados, una IA interna hará visible ese desorden. Antes, un archivo mal compartido podía pasar desapercibido porque nadie sabía que existía. Con búsqueda semántica, basta una pregunta para encontrarlo.

Por eso las plataformas empresariales insisten en que la IA debe respetar permisos. Microsoft explica que Copilot solo accede a datos que el usuario está autorizado a ver según los controles existentes. Glean documenta el mismo principio: los usuarios no deben ver contenido para el que no tienen permiso. Atlassian Rovo también afirma que sus búsquedas respetan permisos de usuario.

El patrón es claro: la IA no puede ser una puerta trasera al conocimiento interno.

Qué tipos de información requieren control estricto

No toda la documentación tiene el mismo nivel de sensibilidad. Una política pública de vacaciones puede estar disponible para toda la empresa. Un contrato con descuentos especiales, no.

Información de RRHH

Contratos laborales, salarios, evaluaciones, bajas médicas, expedientes disciplinarios y documentación de selección. Acceso muy limitado.

Información financiera

Márgenes, tesorería, nóminas, presupuestos internos, condiciones bancarias, deuda, previsiones y datos de rentabilidad.

Contratos y clientes

Contratos con cláusulas especiales, precios negociados, datos personales, acuerdos de confidencialidad y documentación sensible de clientes.

Dirección y estrategia

Planes de crecimiento, posibles adquisiciones, decisiones de reorganización, objetivos comerciales y documentación del comité de dirección.

Datos operativos sensibles

Credenciales, procedimientos de seguridad, arquitectura técnica, documentación de sistemas y cualquier información que pueda facilitar un incidente.

RBAC: permisos por rol, no por intuición

La forma más práctica de gestionar permisos en una pyme es usar roles. En lugar de decidir archivo por archivo para cada persona, defines grupos de acceso:

Dirección.
Administración y finanzas.
RRHH.
Comercial.
Operaciones.
Equipo técnico.
Usuario general.

Después asignas tipos de documento a cada rol. Un usuario de comercial puede ver catálogos, propuestas y materiales de ventas, pero no nóminas. Finanzas puede ver facturas y tesorería, pero no evaluaciones de desempeño. RRHH puede acceder a documentación laboral, pero no necesariamente a márgenes comerciales.

Este enfoque se conoce como RBAC: Role-Based Access Control. No es sofisticación innecesaria. Es la diferencia entre una IA útil y una IA peligrosa.

El error de confiar solo en carpetas

Muchas empresas creen que sus permisos están resueltos porque usan carpetas privadas. Pero en la práctica:

Un documento sensible se copió a una carpeta compartida.
Una carpeta antigua sigue abierta a toda la empresa.
Un empleado conserva acceso de un departamento anterior.
Se comparte un enlace "con cualquiera de la organización".
Un archivo exportado del ERP acaba en Drive sin restricciones.

La IA puede encontrar información en cualquiera de esos lugares. Por eso conviene clasificar documentos por tipo y revisar accesos antes de indexarlos.

Cómo debería responder una IA cuando no hay permiso

Un buen sistema no debe dar pistas innecesarias. Si el usuario no tiene permiso para un documento, lo correcto es que la IA actúe como si ese documento no existiera para esa persona.

Mal enfoque:

"Existe un documento sobre salarios, pero no tienes permiso para verlo."

Buen enfoque:

"No he encontrado información disponible para ti sobre esa pregunta."

La diferencia importa. Incluso revelar que existe un documento puede ser información sensible.

Permisos y RGPD

El RGPD exige aplicar medidas técnicas y organizativas adecuadas para proteger datos personales. En una IA empresarial, eso implica controlar acceso, limitar el tratamiento a lo necesario, registrar actividades cuando corresponda y evitar que datos personales se muestren a personas sin base legítima para verlos.

No basta con que el proveedor diga que cumple. La empresa también debe configurar correctamente quién accede a qué. Si un empleado ve datos personales que no necesitaba para su trabajo, el problema es de gobernanza interna.

Checklist antes de conectar tus documentos

Antes de activar una IA sobre la documentación de tu empresa, revisa:

¿Qué carpetas contienen datos personales?
¿Qué documentos deberían ser visibles para toda la empresa?
¿Qué documentos son solo para dirección?
¿Qué roles existen realmente?
¿Hay empleados con permisos heredados?
¿Los enlaces compartidos están controlados?
¿La IA cita fuentes solo si el usuario puede verlas?
¿Existe un proceso para retirar permisos cuando alguien cambia de puesto?

Este trabajo puede parecer administrativo, pero evita problemas mucho más caros.

La seguridad también mejora la confianza

Cuando el equipo sabe que la IA respeta permisos, la adopción mejora. Dirección se atreve a conectar documentación más valiosa. RRHH no bloquea el proyecto por miedo a fugas. Los empleados confían más en una herramienta que muestra fuentes y reconoce límites.

La seguridad no es un freno a la productividad. Es lo que permite llevar la IA más allá de documentos genéricos y convertirla en infraestructura real de trabajo.

Conclusión: una IA interna sin permisos no está lista para empresa

La gestión del conocimiento con IA no consiste solo en buscar documentos rápido. Consiste en buscar los documentos correctos para la persona correcta. Si no hay permisos, no hay confianza. Y si no hay confianza, la herramienta se queda en un experimento.

Polp incorpora control de acceso por roles para que cada empleado consulte solo la documentación que le corresponde. La IA que trabaja para tu empresa también debe respetar las reglas de tu empresa.

Sources: