Usas IA para trabajar. Si algo sale mal, la culpa será tuya

Uno de cada tres usuarios de IA en el trabajo compartió datos sensibles de su empresa sin que su empleador lo supiera, según la National Cybersecurity Alliance. Y el 43% dice que no le explicaron con claridad qué compartir. Antes de culpar al empleado, conviene preguntar quién escribió la regla.

Qué mide el informe Oh, Behave! sobre IA y capacitación en seguridad

Los datos salen de Oh, Behave!, el informe anual de la National Cybersecurity Alliance (NCA) sobre actitudes y conductas de ciberseguridad, producido en alianza con CybSafe. La edición 2026–2027, publicada el 22 de octubre de 2026, encuestó a 5,000 adultos en Estados Unidos, Reino Unido, India, Brasil y Singapur.

En la encuesta de la National Cybersecurity Alliance, el 80% de los consultados ya usa IA y un 56% de esos usuarios nunca recibió formación en seguridad ni privacidad: la herramienta llegó antes que la regla.

La secuencia es lo que importa: el uso se volvió masivo antes de que la orientación llegara a quienes lo practican. La lectura fácil de estos números es que los empleados son descuidados. Pero la cifra del 56% cubre a todos los usuarios de IA, no solo a los trabajadores, y mide lo que las personas dicen haber recibido, no lo que las empresas tienen escrito en sus políticas.

Uno de cada tres usuarios de IA en el trabajo compartió datos sin que su empresa lo supiera

Según el mismo informe, el 32% de los usuarios de IA en el trabajo ha compartido información sensible de su empresa con una herramienta de IA sin que su empleador lo supiera. Otro dato del resumen: el 43% dice que su empleador no ha explicado con claridad qué es aceptable compartir. La base de la primera cifra son los usuarios laborales de IA en los cinco países de la muestra, no todos los trabajadores.

El resumen público no cruza ambos datos, así que no se puede afirmar que se trate de las mismas personas. Tampoco precisa qué tipo de información se compartió ni qué ocurrió después. Lo que sí muestra, según las respuestas de los propios encuestados, es que una parte considerable de quienes usan IA para trabajar opera sin una frontera clara entre lo permitido y lo prohibido.

La capacitación funciona, según el informe, pero menos de la mitad de los empleados enfrenta una obligatoria

El informe sostiene que capacitar sirve. Entre quienes recibieron instrucción en ciberseguridad, el 88% la encontró útil; después, el 54% mejoró al detectar phishing (el fraude que suplanta a una empresa o a una persona para robar datos o accesos) y un 49% activó la autenticación multifactor, o MFA, un segundo paso de verificación además de la contraseña. Todo son percepciones y conductas reportadas por los propios encuestados.

El otro número es el que pesa: a nivel global, según el informe, menos de la mitad de las personas con empleo, un 47%, enfrenta alguna capacitación obligatoria de ciberseguridad, de cualquier tipo y no solo de IA. La herramienta se adopta rápido; la preparación, cuando existe, suele ser opcional.

Conviene leer estos datos sabiendo quién los enmarca. CybSafe, socio de producción del informe, es un proveedor de capacitación en seguridad: su sitio describe una plataforma de gestión de riesgo humano con entrenamiento adaptativo y simulaciones de phishing. Eso no invalida las cifras, pero ayuda a entender por qué la conclusión del informe es que capacitar funciona.

Oh, Behave! habla de comportamiento, pero sus cifras más duras hablan de reglas

Sería injusto decir que el informe ignora a las empresas: su propio resumen reconoce que la IA avanza más rápido que la orientación en el trabajo y menciona la necesidad de lineamientos claros. Aun así, el nombre y el encuadre general apuntan al hábito individual, a cerrar la brecha entre saber y hacer. Las cifras más duras, en cambio, describen cosas que un empleado no puede producir por su cuenta: una capacitación que no recibió y una regla que no le explicaron con claridad.

Lo que el informe no mide es quién paga cuando algo sale mal. No hay en su resumen datos sobre sanciones, despidos ni responsabilidad legal. Esa parte es una pregunta, no un hallazgo: si la adopción de la IA se decide arriba y el riesgo se ejecuta abajo, ¿quién carga con la consecuencia? Es la lectura de glitchMentalMX, no un dato del reporte. Tampoco convierte a la empresa en villana por defecto; el punto es la asimetría entre quien decide y quien carga.

En México, 44% de los empleados usó IA contra las políticas de su empresa

El estudio Trust, attitudes and use of AI, de KPMG, difundido por KPMG México el 30 de abril de 2025, incluye una muestra mexicana de 1,069 participantes, dentro de un estudio global de más de 48,000 personas en 47 países y jurisdicciones. Es otra encuesta, de otro año y con otras preguntas, así que sus cifras no se suman ni se comparan de frente con las de la NCA.

El resumen para México ubica varias cifras bajo “indicadores en el lugar de trabajo”, es decir, entre quienes tienen empleo y no sobre los 1,069 completos. KPMG no precisa en ese resumen cuántas personas son ni si la base es todo el personal o solo quienes usan IA en el trabajo. Con esa salvedad, 44% reportó haber usado IA de formas que contravienen las políticas y directrices de su empresa y 68% dijo haberse apoyado en los resultados de la IA sin evaluar su precisión. El 46% que recibió algún tipo de capacitación, formal o informal, en IA o campos relacionados aparece, en cambio, entre los indicadores generales de la muestra, y es una vara más blanda que la de la NCA, que pregunta por capacitación en seguridad y privacidad.

Hay un matiz que no conviene saltarse: el dato mide incumplimiento reportado por los propios empleados, no si la regla era clara ni cuántas empresas la tenían escrita. Muestra una brecha entre lo que se usa y lo que se permite, no la ausencia ni la existencia de reglas. Ni el resumen público de la NCA ni el comunicado de KPMG México mencionan qué pasa después de una filtración: sanciones, despidos o responsabilidad legal.

Si mañana un empleado mexicano filtra datos de su empresa a una IA, ¿quién tendrá que demostrar que la regla existía: la empresa que nunca la escribió o el empleado que nunca la leyó?