La Inteligencia Artificial Generativa (GenAI) ha dejado de ser una tecnología del futuro. Hoy, miles de servidores públicos en el mundo utilizan herramientas como ChatGPT, Copilot o Gemini para redactar documentos, resumir informes, analizar datos o automatizar tareas administrativas.
El problema es que, en muchos casos, estas herramientas ya están siendo utilizadas sin lineamientos claros, sin supervisión y sin controles de seguridad, fenómeno conocido internacionalmente como Shadow AI. La OCDE advierte que esta realidad ya ocurre en la mayoría de gobiernos y que representa uno de los mayores desafíos para la gobernanza digital.
La pregunta para el Perú es inevitable:
¿Estamos preparados para incorporar IA Generativa en las instituciones públicas sin poner en riesgo la información del Estado?
La IA no debe implementarse… debe experimentarse
Uno de los principales mensajes del estudio de la OCDE es que los gobiernos no deberían desplegar IA Generativa directamente en producción.
Primero deben experimentar.
Esto significa desarrollar proyectos piloto controlados donde sea posible:
- medir beneficios reales;
- identificar riesgos;
- evaluar impactos;
- corregir errores;
- decidir si realmente vale la pena escalar la solución.
La experimentación funciona como un laboratorio seguro antes de afectar servicios públicos o decisiones gubernamentales.
¿Qué está haciendo el resto del mundo?
La OCDE analizó las guías oficiales de 14 países, entre ellos Reino Unido, Canadá, Australia, Singapur, Estados Unidos, Italia, Japón y Países Bajos.
Aunque cada país tiene su propio enfoque, existen elementos comunes:
- capacitación obligatoria para funcionarios;
- clasificación de riesgos antes de usar IA;
- protección de información sensible;
- supervisión humana permanente;
- evaluación continua de resultados;
- ambientes de prueba (sandboxes);
- auditoría de los resultados generados por la IA.
En otras palabras:
la IA deja de ser únicamente una herramienta tecnológica para convertirse en un proceso de gestión de riesgos.
El principal riesgo no es la IA… sino su uso sin reglas
Muchas organizaciones creen que prohibir ChatGPT resolverá el problema.
La evidencia internacional demuestra lo contrario.
Cuando no existen herramientas institucionales autorizadas, los funcionarios terminan utilizando cuentas personales, aplicaciones gratuitas o plataformas sin control.
Ese escenario genera riesgos como:
- fuga de información confidencial;
- exposición de datos personales;
- incumplimiento normativo;
- respuestas incorrectas utilizadas como información oficial;
- dependencia tecnológica de proveedores externos.
La OCDE denomina este fenómeno Shadow AI, cuyo crecimiento suele ser consecuencia de la ausencia de políticas claras.
¿Qué significa esto para el Perú?
Nuestro país viene fortaleciendo su marco de seguridad digital mediante la Ley de Gobierno Digital, la Ley de Ciberdefensa, la creación del Centro Nacional de Seguridad Digital (CNSD) y diversas normas orientadas a la gestión de incidentes.
Sin embargo, la adopción de IA Generativa plantea nuevos desafíos que aún requieren desarrollo institucional, entre ellos:
- establecer lineamientos nacionales para el uso de IA en el Estado;
- definir qué información puede ingresar a modelos públicos de IA;
- crear entornos seguros de experimentación;
- establecer criterios para aprobar proyectos de IA;
- capacitar a los funcionarios en el uso responsable de estas herramientas;
- incorporar controles de ciberseguridad desde el diseño.
No se trata únicamente de adquirir tecnología.
Se trata de construir confianza.
Cinco preguntas que toda entidad pública debería hacerse
Antes de iniciar cualquier proyecto de IA Generativa, sería recomendable responder preguntas como:
✅ ¿Qué problema concreto resolverá la IA?
✅ ¿Los datos utilizados contienen información confidencial?
✅ ¿Existe supervisión humana sobre las respuestas?
✅ ¿Cómo se medirán los beneficios obtenidos?
✅ ¿Qué ocurre si la IA produce información incorrecta?
Precisamente, la OCDE propone evaluar los experimentos considerando cinco dimensiones: desempeño del modelo, valor público, factibilidad e integración institucional, usabilidad y gestión de riesgos.
La ciberseguridad debe estar presente desde el primer día
Desde la perspectiva de ciberseguridad, experimentar con IA implica incorporar controles como:
- clasificación de la información;
- anonimización de datos;
- registro de auditoría (logs);
- monitoreo continuo;
- gestión de identidades;
- validación humana de resultados;
- evaluación de riesgos antes de cada piloto.
No basta con instalar una herramienta de IA.
Es necesario gobernarla.
Una oportunidad para liderar en América Latina
El Perú tiene la oportunidad de construir un modelo responsable de adopción de IA en el sector público.
En lugar de esperar a que aparezcan incidentes relacionados con inteligencia artificial, podemos diseñar desde ahora un modelo basado en:
- gobernanza;
- ciberseguridad;
- protección de datos;
- transparencia;
- evaluación continua.
La experiencia internacional demuestra que los países que experimentan de forma controlada avanzan con mayor rapidez y generan mayor confianza ciudadana.
Conclusión
La IA Generativa transformará inevitablemente la administración pública. La cuestión ya no es si las entidades públicas la utilizarán, sino cómo lo harán.
Para el Perú, el desafío consiste en equilibrar innovación y seguridad: impulsar pilotos controlados, establecer reglas claras y fortalecer las capacidades de los servidores públicos. Solo así la IA podrá convertirse en un aliado para mejorar los servicios del Estado sin comprometer la información, los derechos de los ciudadanos ni la confianza en las instituciones.
La IA Generativa no debe implementarse primero y gobernarse después. En un Estado digital, la confianza se construye desde el diseño: experimentar con controles, evaluar con evidencia y escalar solo cuando los riesgos están bajo control.
