Sarah Webb, directora de operaciones y cofundadora de LawVu: serie de entrevistas

Sarah Webb es directora de operaciones y cofundadora de LawVu. Cuenta con experiencia en ingeniería y liderazgo de equipos de software, con cargos en LOVEFiLM y Amazon. Se incorporó a LawVu como directora de tecnología en 2015 y pasó a ser directora de operaciones en 2020, combinando experiencia en tecnología, operaciones, seguridad y gobernanza. Su trabajo se centra en ayudar a los equipos jurídicos a conectar sus datos y flujos de trabajo, al tiempo que equilibran la innovación en IA con los riesgos empresariales.

LawVu ofrece un sistema operativo jurídico para equipos jurídicos internos que reúne la recepción de solicitudes, la gestión de asuntos, los contratos, los gastos y el conocimiento en una plataforma conectada. Sus capacidades de IA y sus integraciones ayudan a los equipos a trabajar con las herramientas que ya utilizan, manteniendo los permisos y la supervisión. En esta entrevista, Webb habla sobre la IA en la sombra, los flujos de trabajo basados en agentes, el conocimiento institucional y las bases que las empresas necesitan para adoptar la IA con una gobernanza adecuada.

Cofundaste LawVu después de pasar gran parte de tu carrera creando y dirigiendo equipos de software, incluso en LOVEFiLM y Amazon. ¿Qué te llevó a identificar las operaciones jurídicas corporativas como un problema que merecía la pena resolver, y cómo ha evolucionado tu visión original de LawVu a medida que la IA ha transformado el panorama tecnológico?

Pasé la mayor parte de los primeros años de mi carrera en puestos de ingeniería y tecnología, entre ellos en LOVEFiLM y Amazon. No tenía previsto pasar al sector de la tecnología jurídica; ocurrió más bien por circunstancias. Llevo casi 11 años en LawVu, inicialmente como directora de tecnología, aunque pasé bastante pronto a ser directora de operaciones. Ese cambio, por sí solo, ha transformado mucho mi forma de pensar sobre el negocio.

Al principio, el primer problema que tratábamos de resolver era la falta de visibilidad. La mayoría de nuestros clientes venía de trabajar con Outlook y hojas de cálculo de Excel, y reunirlo todo en un solo lugar ya parecía un gran avance. Después, los equipos empezaron a trabajar a distancia y, sin una plataforma centralizada, colaborar se volvió aún más difícil. Eso reforzó algo que ya observábamos: gran parte del trabajo jurídico repetitivo no se valoraba y ni siquiera era visible para el resto de la empresa, porque no había ningún lugar donde hacerlo visible. Ese periodo nos llevó a dedicar esfuerzos reales a enseñar a los clientes cómo estructurar sus datos y gestionar el cambio internamente, en lugar de limitarnos a entregarles una herramienta.

También desarrollamos pronto integraciones con toda la suite de Microsoft, porque nuestro objetivo siempre fue adaptarnos a la forma en que la empresa ya trabajaba en su día a día, en vez de pedir a los equipos que abandonaran lo que conocían. Lo que ha cambiado desde entonces es la escala de lo que exige esa misma idea. Antes, reducir las barreras de entrada para obtener un conjunto de datos utilizable era una cuestión de comodidad. Ahora es la diferencia entre una IA capaz de actuar realmente sobre el trabajo jurídico y una IA que se limita a reflejarte la misma fragmentación.

Has sostenido que la «IA en la sombra» suele ser un problema de flujo de trabajo y no un problema de los empleados. ¿Qué significa eso en la práctica y qué pueden aprender las organizaciones cuando los empleados eluden las herramientas o los sistemas de IA aprobados y optan por sus propias soluciones?

Si no pones a disposición de las personas las herramientas adecuadas dentro de la organización, buscarán otras por su cuenta para ganar eficiencia. Ese es el origen del problema. Cuando alguien elude un sistema aprobado, la reacción instintiva es tratarlo como un incumplimiento normativo y bloquearlo o redactar una política para impedirlo. En la práctica, suele estar indicando algo sobre el propio flujo de trabajo: la vía aprobada era más lenta o engorrosa que la alternativa, así que la gente encontró una forma de sortearla.

Precisamente por eso la IA en la sombra supone una responsabilidad mayor que la que jamás supuso la informática en la sombra. Los incidentes relacionados con la IA en la sombra representan ahora el 20 % de las filtraciones de datos, con un coste medio de 10,2 millones de dólares, porque las personas no solo adoptan una herramienta no aprobada, sino que introducen directamente en ella material confidencial: cláusulas contractuales, condiciones de acuerdos y razonamientos internos.

Lo que las organizaciones deberían aprender de esto es dónde está la brecha. La falta de una alternativa segura y basada en información fiable no impide que la gente recurra a la IA; simplemente la lleva a hacerlo en un lugar que no pueden supervisar. Y hay un riesgo más profundo detrás de esto, que va más allá de la seguridad. Cuando el trabajo se dispersa entre herramientas personales de IA en lugar de gestionarse en un sistema compartido y estructurado, la empresa acaba tomando decisiones con una visión incompleta, sin siquiera darse cuenta de que falta parte de la información. Si una herramienta de IA solo puede consultar el 60 % de los datos pertinentes porque el resto está en la cuenta personal de alguien, su precisión disminuye y aumenta el riesgo de tomar una decisión equivocada. Prohibir esa solución alternativa no resuelve nada de eso. Ofrecer a las personas algo mejor que esa alternativa, sí.

A partir del trabajo de LawVu con cientos de equipos jurídicos de grandes empresas, ¿cuáles son los errores más comunes que ves cometer a las organizaciones al establecer la gobernanza de la IA, sobre todo ahora que los empleados tienen acceso a herramientas de IA de propósito general cada vez más potentes?

El error más común es confundir una política escrita con un control efectivo. Muchas organizaciones ya tienen un documento que explica cómo se debe y cómo no se debe utilizar la IA. Muy pocas han creado mecanismos operativos que la respalden: algo que realmente controle a qué puede acceder una herramienta, registre lo que hizo y permita reconstruirlo después, si alguna vez hace falta.

El segundo error es no tener en cuenta cuánto riesgo se va acumulando con cada herramienta. Cada solución puntual que adopta un equipo, ya sea para contratos, gastos o recepción de solicitudes, requiere su propia integración, mantiene su propio protocolo de autenticación y almacena su propia copia de datos confidenciales. Por separado, cada una parece manejable. En conjunto, convierten la infraestructura tecnológica jurídica en un entramado fragmentado de riesgos, y más de un tercio de las brechas se remonta precisamente a ese tipo de acceso de terceros. La mayoría de los equipos no se da cuenta de cuánto riesgo se acumula hasta que le toca someterse a una revisión después de que algo ha salido mal.

El tercer error es tratar las herramientas de IA de propósito general de forma distinta a cualquier otro programa que maneje datos confidenciales. Todos los clientes con los que hemos trabajado desde el primer día, incluidos los organismos gubernamentales, han pasado por una evaluación de seguridad exhaustiva con nosotros, porque los datos que se incorporan a un sistema como el nuestro son algunos de los más confidenciales que posee una empresa: secretos comerciales, datos de fusiones y adquisiciones, información de identificación personal (PII). Cada día, los empleados entregan ese mismo tipo de información a herramientas públicas de IA sin someterlas ni de lejos al mismo nivel de escrutinio, porque no parece que estén incorporando un nuevo proveedor; parece que solo están usando una herramienta. Esa brecha entre lo que se audita y lo que realmente conlleva riesgos es donde fracasan la mayoría de los programas de gobernanza.

LawVu ha incorporado agentes de IA y flujos de trabajo agénticos a las operaciones jurídicas. ¿Cómo determinan qué procesos legales son adecuados para ejecutarse de forma autónoma con IA y cuáles deberían requerir siempre revisión o aprobación humana?

Nos fijamos más en el impacto y en la reversibilidad que en lo complicado que parece un proceso sobre el papel. Si es fácil detectar un error y corregirlo, normalmente es un buen candidato para la automatización, por lo que las tareas de gran volumen y bien definidas, como la recepción y clasificación inicial de solicitudes, suelen ser adecuadas.

Toda tarea que implique un compromiso externo, una exposición jurídica o una decisión difícil de revertir requiere la intervención de una persona, por muy preciso que parezca el agente durante las pruebas. Es la misma lógica que aplicamos en LawVu a la tolerancia al riesgo en general. Determinamos qué nivel de riesgo puede aceptar un equipo, establecemos los controles adecuados y solo entonces ampliamos la automatización. La verdadera prueba no es la precisión, sino si podemos decir a qué accedió el agente, por qué realizó esa acción, si estaba autorizado para hacerlo y si podemos demostrarlo después. Si no podemos responder a esas preguntas, el proceso todavía no está listo para funcionar de forma autónoma.

Estas decisiones no se toman de una vez y para siempre: un proceso que hoy es seguro de automatizar puede dejar de serlo a medida que aumenta su uso o el flujo de trabajo empieza a manejar información más confidencial que al principio. Por eso, hay que revisar ese límite, no limitarse a fijarlo una sola vez.

El servidor MCP de LawVu permite a las organizaciones conectar herramientas como ChatGPT, Claude y Microsoft Copilot directamente con su entorno operativo jurídico. ¿Cómo pueden las empresas dar a los sistemas externos de IA un acceso útil a los datos corporativos y, al mismo tiempo, mantener los permisos, la capacidad de auditoría, la privacidad y el control?

Se suele pensar que la conectividad y la seguridad están reñidas, pero no tiene por qué ser así. La plataforma debe seguir siendo la fuente de verdad en materia de permisos, no la herramienta de IA que se conecta a ella. Tanto si alguien inicia una conversación en ChatGPT, Claude o Copilot, lo que puede ver y hacer no debería depender de la interfaz que haya abierto ese día.

Eso solo funciona si el entorno receptor ya cuenta con los controles adecuados antes de conectar nada, y precisamente esa es la preparación que muchas empresas se saltan. Todo el mundo considera que MCP mejora automáticamente la seguridad porque circulan menos datos, y eso es cierto, pero solo si el sistema receptor puede indicar qué se consultó, por qué y qué agente lo hizo en nombre de quién, además de demostrarlo a posteriori.

También hay un argumento empresarial. Si la herramienta central de IA puede reconocer que una solicitud tiene implicaciones jurídicas y derivarla automáticamente a LawVu, se evitan las idas y vueltas que supone que un empleado tenga que saber a qué sistema acudir desde el principio. Además, así se evita que recurra a una herramienta personal de IA que no tiene acceso a ningún conjunto de datos fundamentado y seguro. Ofrecer a las personas un único punto de partida bien gobernado contribuye más a la adopción que bloquearlo todo.

Los modelos de IA de propósito general pueden ser potentes, pero a menudo carecen de la memoria institucional de una organización, de sus decisiones históricas y de información sobre su perfil de riesgo específico. ¿Qué información e infraestructura deben rodear a un modelo de IA para que resulte realmente útil en tareas empresariales de alto riesgo?

Pienso en la IA horizontal como en una persona brillante y desconocida: ha leído muchísimo, escribe de maravilla y puede mantener una conversación sobre casi cualquier tema. Pero nunca ha conocido a tu cliente. Nunca ha participado en tus negociaciones. No sabe cómo equilibra tu organización los riesgos. Nunca ha visto las conversaciones que llevaron a las excepciones que acordó tu equipo hace seis meses.

Por eso, una de las primeras cosas que hacen muchos equipos jurídicos es conectar la IA con un manual de referencia, y conviene dejar claro que esto es sumamente valioso. Si se da acceso a un modelo de IA a las cláusulas preferidas, las posiciones alternativas, los umbrales de aprobación y las pautas de negociación, las mejoras de eficiencia se hacen notar casi de inmediato. El reto es que las decisiones jurídicas más importantes suelen tomarse cuando la posición estándar deja de ser adecuada: un cliente estratégico necesita una excepción, una oportunidad de alto crecimiento justifica asumir un riesgo adicional o una negociación llega a un punto en el que las prioridades comerciales pesan más que la cláusula preferida.

Es ahí donde empieza a hacerse visible el criterio jurídico. Parte de los conocimientos más valiosos está en las excepciones, no en el manual de referencia. ¿Por qué hicimos una excepción para este cliente? ¿Qué pasó la última vez que negociamos esta posición con la misma contraparte? ¿Ha aceptado la empresa este riesgo en otros casos? ¿Se había elevado este asunto anteriormente y qué se decidió finalmente?

Las respuestas rara vez se encuentran en un solo documento: están dispersas entre contratos, aprobaciones, correos electrónicos, registros de asuntos, notas de reuniones y la experiencia acumulada de quienes participaron en su momento. El documento simplemente deja constancia del resultado, mientras que la organización conserva el razonamiento en otros lugares.

Una persona brillante que acaba de llegar puede aprender las reglas con sorprendente rapidez, pero entender por qué se hicieron excepciones a esas reglas en primer lugar es un reto completamente distinto. Lo que suele distinguir una IA útil de una IA transformadora es cuánto de su propia experiencia ha conservado la organización para que la IA pueda aprender de ella.

Muchas empresas han acumulado sistemas de contratos desconectados entre sí, herramientas de gestión de asuntos, hojas de cálculo, archivos de correo electrónico y otras fuentes de conocimiento empresarial. ¿Qué importancia tiene contar con una base de datos unificada antes de implementar agentes de IA, y qué debe hacer una organización para que sus datos estén realmente preparados para la IA?

El ámbito jurídico es el ejemplo perfecto de por qué esto importa: los contratos se revisan con control de cambios en Word, las aprobaciones llegan por correo electrónico, las decisiones se toman en Slack y, después, se incorpora la IA al repositorio de documentos en vez de conectarla realmente con el trabajo. Añadir IA a un sistema fragmentado solo permite acceder más rápidamente al caos.

Las empresas que dedicaron años a crear una infraestructura de datos sólida y a poner en orden sus sistemas antes de la llegada de la IA son aquellas que ya están obteniendo beneficios de ella. En esencia, de eso se trata. No se pueden ampliar las operaciones de los agentes sobre sistemas de contratos desconectados, herramientas de gestión de asuntos, hojas de cálculo y archivos de correo electrónico y esperar resultados fiables. Primero hay que contar con una base sólida: sistemas conectados, controles de acceso claros y una tolerancia al riesgo definida; solo entonces se puede siquiera pensar en ampliar el uso de la IA.

Cuando las empresas evalúan si deben desarrollar sus propias aplicaciones de IA, adquirir plataformas especializadas de IA o conectar modelos de propósito general con los sistemas existentes, ¿cómo deberían abordar los responsables de tecnología la decisión entre desarrollar, comprar o integrar?

Desarrollar o comprar parece una decisión tecnológica. En mi experiencia, en realidad es una cuestión de madurez de las operaciones jurídicas. Se trata de hasta qué punto un equipo jurídico se considera una función con sus propios flujos de trabajo, datos y modelo operativo. Si se alcanza el nivel adecuado de madurez, la estrategia de IA jurídica adecuada suele surgir por sí sola.

En cuanto al desarrollo: para el reducido número de equipos que cuentan con los recursos necesarios para operar como una empresa de software, puede tener sentido. Los modelos evolucionan, la infraestructura cambia y el trabajo nunca termina del todo. Para la mayoría de los equipos, el reto no es desarrollarlo una vez, sino mantenerlo para siempre.

En cuanto a la compra: la mayoría de los equipos opta por esta vía, pero «comprar» no es una única opción. Hay al menos tres cosas distintas que suelen agruparse bajo ese término. La IA horizontal, como ChatGPT, Copilot y Claude, es potente, pero no entiende de forma intrínseca las estructuras de los asuntos, la recepción de solicitudes ni los flujos de aprobación. La IA conectada a una solución puntual, por ejemplo mediante algo como MCP, supone un avance importante, pero su perspectiva sigue limitada a lo que haya en ese único sistema.

La mayor oportunidad está en una IA que entienda cómo se relaciona el trabajo jurídico en toda la función, y no solo lo que ocurre dentro de una herramienta concreta. Cuando la recepción de solicitudes, los asuntos, los contratos, los gastos y los conocimientos están reunidos, la IA puede razonar a partir del panorama completo en lugar de una sola parte.

Has desempeñado los cargos de director de tecnología (CTO) y director de operaciones (COO) en LawVu, con responsabilidades en tecnología, operaciones, seguridad y ejecución de producto. ¿Cómo ha influido esa combinación en tu enfoque para equilibrar la rápida innovación en IA con la seguridad, el cumplimiento normativo, la fiabilidad y los riesgos empresariales?

Me incorporé a LawVu como CTO en 2015 y asumí el cargo de COO en 2020, así que llevo más de una década trabajando tanto en tecnología como en operaciones.

Esa combinación cambia la forma de pensar en la innovación en IA frente a la seguridad y el cumplimiento, porque no se viven como conversaciones separadas. Ser responsable internamente de la gobernanza, los riesgos y el cumplimiento, y al mismo tiempo desarrollar una plataforma que ayude a los clientes a gestionar esas mismas funciones, significa que no puedo tratar la innovación y la seguridad como etapas secuenciales: una no viene después de la otra; ocurren al mismo tiempo o no ocurren en absoluto. Todos los clientes que hemos tenido desde el primer día han pasado por una evaluación de seguridad completa y, cada vez que se añade una herramienta nueva al ecosistema, aumenta el panorama de riesgos en torno a esos datos. Esto es tan cierto para nosotros internamente como para nuestros clientes, así que desarrollar la plataforma y rendir cuentas de cómo se gobierna obliga a tener presentes ambas cosas a la vez.

De cara al futuro, ¿cómo cree que la IA agéntica cambiará el papel de los equipos jurídicos corporativos? ¿Cree que los departamentos jurídicos utilizarán la IA principalmente como una herramienta para aumentar la productividad, o podrían llegar a supervisar flujos de trabajo en gran medida autónomos que operen en toda la empresa?

La IA generativa ha cambiado la conversación: ya no se trata de lograr mejoras graduales de eficiencia, sino de replantearse a fondo cómo se realiza el trabajo jurídico y cómo debe ser el modelo operativo en un mundo que avanza rápidamente hacia capacidades agénticas. No veo la IA agéntica como una moda, sino como una capa de ejecución que puede ayudar a los equipos jurídicos a pasar de gestionar el trabajo a ejecutarlo activamente, con los controles y las salvaguardas adecuados.

En las organizaciones se está produciendo un cambio en la «puerta de entrada»: cada vez más, los usuarios de negocio empiezan con herramientas como Microsoft Copilot o Claude, y la pregunta pasa a ser cómo puede el área jurídica garantizar que esas interacciones estén conectadas con los sistemas, los datos y los flujos de trabajo adecuados.

Así que no lo veo como una disyuntiva entre una herramienta para aumentar la productividad y una función de supervisión, sino como una evolución. Al principio, el área jurídica utiliza la IA para agilizar tareas concretas; pero, a medida que maduran las capacidades agénticas, la verdadera oportunidad consiste en que el área jurídica asuma la propia capa de ejecución y ejecute el trabajo activamente a través de sistemas sujetos a controles, en lugar de limitarse a producir borradores iniciales con mayor rapidez.

Gracias por esta excelente entrevista. Los lectores que deseen explorar operaciones jurídicas conectadas y flujos de trabajo de IA sujetos a controles pueden visitar LawVu.