En tu empresa ya se está usando IA. No en el proyecto que aprobó dirección: en el móvil de alguien de administración que pega un contrato para que se lo resuma, a las once de la noche, porque le ahorra media hora. Se llama shadow AI y prohibirlo no funciona.
Por qué pasa
No es indisciplina. Es que la herramienta es gratuita, está a un clic y resuelve un problema real de alguien que va con prisa.
Cuando una empresa tarda seis meses en aprobar una herramienta y la alternativa está disponible ahora, la gente usa la que está disponible ahora. Eso no se arregla con una circular.
La pregunta no es si tu equipo usa IA sin permiso. Es cuánta de la que usa te consta.
Qué riesgos tiene de verdad
Conviene separarlos, porque no todos son iguales de graves:
| Riesgo | Gravedad | Por qué |
|---|---|---|
| Datos personales en cuentas personales | Alta | Tratamiento sin base legal ni contrato de encargado |
| Información bajo acuerdo de confidencialidad | Alta | Puede incumplir lo que firmasteis con un cliente |
| Datos inventados que llegan a un cliente | Alta | Nadie ha formado a esa persona para verificarlos |
| Formación no acreditada | Media | El artículo 4 exige poder demostrarla |
| Que alguien use IA para redactar un email interno | Baja | Aquí no pasa nada |
Esa última fila importa: si tratas todo como si fuera grave, la gente deja de contarte nada y el problema se hace invisible. El riesgo está en qué se pega, no en usar la herramienta.
Por qué prohibirlo empeora las cosas
Una prohibición produce tres efectos, y ninguno es el que se buscaba:
- Se sigue usando, pero desde el móvil personal y sin dejar rastro.
- Nadie pregunta. Quien tiene una duda sobre si puede pegar algo, no la consulta — porque preguntarla es confesar.
- No se puede formar a nadie. Y la formación es justamente lo que evita los incidentes: casi ninguno viene de mala fe, vienen de gente que no sabía que aquello era un problema.
Además, si en tu empresa se usa IA para trabajar —con permiso o sin él—, el artículo 4 del Reglamento Europeo de IA ya te obliga a formar. Prohibirlo no te libra de la obligación: te impide cumplirla.
Qué hacer, en este orden
1 · Preguntar sin consecuencias. Literalmente: «¿qué herramientas de IA estáis usando y para qué? No hay problema, necesito el mapa». Si alguien teme la respuesta, no la vas a obtener.
Media hora, y en casi todas las empresas aparecen dos o tres usos que dirección no conocía.
2 · Aprobar algo rápido. Una herramienta oficial disponible esta semana vale más que la perfecta dentro de seis meses. Mientras no haya alternativa aprobada, seguirán con la suya.
3 · Escribir una política corta. Que quepa en una página: qué herramientas están aprobadas, qué no se pega nunca, anonimizar por defecto, verificar antes de enviar y a quién preguntar en caso de duda.
Ese último punto es el que más se olvida. Sin un responsable claro, cada uno decide por su cuenta.
4 · Formar. No por cumplir el expediente, sino porque es lo que evita el incidente. Está desarrollado en formar a tu equipo en IA.
El truco que resuelve la mitad de los casos
Anonimizar antes de pegar. Casi ninguna tarea necesita el nombre real del cliente: para redactar una reclamación basta con «un cliente industrial de seis años». Treinta segundos, mismo resultado, y la tarea sale del terreno delicado.
Si tu equipo interioriza sólo eso, has quitado buena parte del riesgo. El detalle completo está en qué se puede meter en la IA y qué no.
Cómo darle la vuelta
El shadow AI es una mala noticia con una lectura buena: significa que hay gente en tu empresa buscando por su cuenta cómo trabajar mejor.
Esa gente es la que va a impulsar la adopción cuando exista un marco. Tratarlos como un problema de seguridad los apaga; darles herramienta aprobada y formación los convierte en quien arrastra al resto.
Si quieres que os planteemos la formación según lo que ya usa tu equipo, cuéntanoslo en la página de empresas.
Preguntas frecuentes
¿Qué es el shadow AI?
El uso de herramientas de inteligencia artificial por parte de empleados sin que la empresa lo sepa ni lo haya autorizado. Normalmente desde cuentas personales y con buena intención: alguien que quiere terminar antes y no espera a que nadie apruebe nada.
¿Cómo sé si hay shadow AI en mi empresa?
Lo hay. La pregunta útil es cuánto. Preguntándolo sin tono de auditoría —«¿qué usáis y para qué?»— sale la lista en diez minutos; con tono de expediente no sale nunca y el uso continúa igual, sólo que ya sin poder verlo.
¿Prohibir la IA soluciona el problema?
Lo empeora. El uso no desaparece, se esconde: se pasa a cuentas personales y a móviles propios, que es exactamente el escenario que querías evitar, y encima pierdes la posibilidad de ofrecer una alternativa segura.
¿Qué riesgos legales tiene el shadow AI?
El principal es de protección de datos: si se pegan datos de clientes en una cuenta personal, el contrato lo firmó el empleado y quien responde es la empresa. Se suma el incumplimiento de acuerdos de confidencialidad firmados con clientes, que casi nadie tiene presente.
¿Qué debe decir una política de uso de IA?
Qué herramientas están autorizadas, qué tipo de información no puede salir de la empresa, qué tareas requieren revisión humana antes de enviarse y a quién preguntar ante la duda. Dos folios legibles funcionan; veinte páginas que nadie lee no cambian ninguna conducta.