El shadow AI en la empresa es esto: el comercial que, diez minutos antes de la reunión, le pide a ChatGPT desde el móvil que le repase la propuesta. Con su cuenta personal y sin que nadie lo haya decidido. En vuestra empresa ya pasa, casi seguro. Aquí tienes por qué pasa, qué riesgos son reales y cuáles no tanto, por qué prohibirlo sale peor y cómo ordenarlo en cuatro pasos.
Shadow AI en la empresa: qué es, con un ejemplo de oficina
Shadow AI significa «IA en la sombra». Es el uso de herramientas de IA para trabajar sin que la empresa lo sepa, lo haya elegido o haya dicho cómo se usan.
No es nada nuevo. Antes pasaba con el Dropbox personal para mandar un archivo pesado, o con el pendrive que viajaba de casa a la oficina. La diferencia es que ahora no se mueve un archivo: se le cuenta a una IA lo que hay dentro.
El ejemplo típico es muy normal. La persona de administración que pega un contrato en ChatGPT para que se lo resuma. La de recursos humanos que le pide ordenar veinte currículums. El comercial y su propuesta. Nadie está haciendo nada malo a propósito. Pero la empresa no sabe qué ha salido, ni adónde.
Por qué vuestro equipo usa IA sin decíroslo
La pregunta que se hace casi toda dirección es «¿por qué no me lo han dicho?». La respuesta es menos dramática de lo que parece. Te lo contamos en tres razones.
Porque les ahorra tiempo. El correo difícil que costaba media hora sale en cinco minutos. Quien lo ha probado no vuelve atrás, igual que nadie vuelve a buscar un teléfono en las páginas amarillas.
Porque nadie dijo nada. Si la empresa no ha elegido una herramienta ni ha dado unas reglas, cada uno usa la que tiene a mano. Casi siempre, la cuenta gratuita que abrió un domingo (con su correo personal, claro).
Porque da reparo contarlo. A algunas personas les preocupa que parezca que hacen trampa, o que se valore menos su trabajo si se sabe que les ayuda una IA. Y se entiende: si nadie ha dicho que se puede, lo prudente parece callarse.
La conclusión es incómoda pero útil: el shadow AI no es un problema de disciplina. Es la señal de que el equipo ya ha encontrado algo que le sirve y la empresa todavía no lo ha ordenado.
Los riesgos reales, y los que no lo son tanto
Que sea normal no quiere decir que no tenga riesgos. Pero conviene separar los que de verdad pueden haceros daño de los que se cuentan para asustar.
| Riesgo | Ejemplo | Qué lo resuelve |
|---|---|---|
| Datos de clientes o de la plantilla fuera de la empresa | La nómina o el currículum pegados en una cuenta personal, sin contrato con el proveedor | Cuenta de empresa, o anonimizar antes de pegar |
| Información confidencial | La tarifa de precios o la oferta de una licitación en una cuenta gratuita | Reglas claras de qué no se pega nunca |
| Errores que nadie revisa | Una cifra inventada que llega a la propuesta del cliente | Formación: saber dónde falla y revisar siempre |
| El trabajo se va con la persona | El historial de conversaciones útiles está en su cuenta personal | Una cuenta de empresa compartida y Proyectos comunes |
| Que un competidor lea mañana vuestra conversación | El miedo más repetido | No funciona así. Lo grave es que los datos salgan sin contrato |
¿Por qué importa la cuenta? Porque en las cuentas personales de muchas herramientas las conversaciones pueden usarse para entrenar la IA si esa opción está activada. En Claude, por ejemplo, solo si lo permites, y en los planes de empresa no se usan por defecto. Además, sin cuenta de empresa no hay contrato que cubra los datos de terceros.
La referencia oficial es la guía de la AEPD sobre RGPD e IA. Qué se puede pegar y qué no, caso a caso, está en datos confidenciales e IA en la empresa. Y por qué la IA se inventa cifras con total seguridad, en alucinaciones de la IA.
IA no autorizada en la empresa: por qué prohibirla sale peor
La reacción más natural es prohibir. Un correo de dirección: «queda prohibido usar ChatGPT». Parece lo prudente, y suele salir al revés. ¿Por qué? Porque el uso no desaparece: se esconde.
La persona que se ahorraba media hora al día no va a renunciar a ella. Seguirá usando la IA, pero en el móvil, desde casa o con más cuidado de que no se note. Habéis pasado de no saber qué se usa a no poder saberlo.
Y hay un efecto más feo. Quien cumple la norma trabaja más lento que quien se la salta. Al final premiáis justo lo que queríais evitar.
Muchos artículos sobre shadow AI los firma alguien que vende software para vigilarlo. El problema casi nunca es de vigilancia: es que nadie le dijo al equipo qué herramienta usar.
Cómo sacarlo a la luz en cuatro pasos
La salida no es perseguir a nadie. Es convertir lo que ya se hace a escondidas en algo que se hace con reglas. En una pyme, son cuatro pasos y un mes:
- Preguntar sin juzgar. Una reunión o un formulario: qué herramientas de IA usáis, para qué y con qué cuenta. Dejad claro que nadie se va a meter en un lío por contarlo. Cómo hacerlo en media hora, en inventario de IA en la empresa.
- Elegir una herramienta y pagarla. Una cuenta de empresa (la versión de pago para equipos, con contrato con el proveedor) para quien la usa. Qué plan encaja según cuántos sois, en qué plan de Claude necesitas.
- Escribir las reglas en dos folios. Qué se puede pegar, qué no, quién revisa y a quién se pregunta. Tenéis una plantilla en política de uso de IA en la empresa.
- Formar a quien la usa. Una formación práctica por puesto, sobre la herramienta elegida. Además de útil, es lo que pide el artículo 4 del Reglamento de IA desde febrero de 2025.
El orden importa. Si escribís las reglas antes de preguntar, las escribiréis para una empresa que no existe (la que no usa IA). Si prohibís antes de dar una alternativa, volvéis a la casilla de salida.
Uso de IA sin permiso en el trabajo: si eres tú quien la usa
Si has llegado aquí porque usas IA en el trabajo sin que tu empresa lo sepa, no eres un caso raro. Tres consejos para hacerlo bien mientras se ordena:
- No pegues datos de clientes ni de compañeros en tu cuenta personal. Cambia nombres y DNI por [CLIENTE] o [NOMBRE] antes de pegar.
- Revisa todo dato que se pueda comprobar antes de mandarlo: fechas, importes, nombres.
- Cuéntalo y propón la herramienta. Lo que te ahorra a ti se lo puede ahorrar a todo el equipo, y es el mejor argumento para que la empresa la pague.
Y si tu empresa ha prohibido expresamente su uso, respétalo y plantéalo por las buenas. Una norma que no te gusta se discute; saltársela con datos de clientes es otra cosa.
El shadow AI no se arregla prohibiendo, sino eligiendo por el equipo. Cuando la empresa da una herramienta y unas reglas, la sombra desaparece sola.
Lo que hacemos
Nosotros nos dedicamos a la formación, así que te lo decimos antes de recomendarla. Formamos a equipos en Claude por puesto, con ejercicios sobre sus tareas y con las reglas de datos dentro del método. Cada persona sale con un certificado y la empresa con el registro de quién completó qué.
Si queréis ordenar el uso de IA en vuestro equipo, contadnos cuántos sois en la página de empresas. Si eres tú quien quiere aprender a usarla bien, empieza por Claude para principiantes. Esto es orientación práctica, no asesoramiento legal.
Preguntas frecuentes
¿Qué es el shadow AI?
Es el uso de herramientas de inteligencia artificial para trabajar sin que la empresa lo sepa, lo haya elegido o haya dado reglas. Por ejemplo, un empleado que usa su cuenta personal de ChatGPT para resumir contratos de clientes.
¿Es ilegal usar ChatGPT en el trabajo sin permiso?
Usar una IA no es ilegal en sí. El problema aparece con lo que se pega: datos personales de clientes o de la plantilla en una cuenta sin contrato con el proveedor pueden incumplir el RGPD. Y si la empresa lo ha prohibido por escrito, saltárselo es un problema laboral.
¿Hay que prohibir ChatGPT en la empresa?
Prohibirlo sin dar alternativa suele empeorar las cosas: el uso se esconde en el móvil y la empresa pierde visibilidad. Funciona mejor elegir una herramienta con cuenta de empresa, escribir unas reglas sencillas y formar al equipo.
¿Cómo detectar shadow AI en la empresa?
La forma más fiable en una pyme es preguntar, dejando claro que nadie se mete en un lío por contarlo: qué herramientas de IA usa cada uno, para qué y con qué cuenta. Casi siempre aparecen dos o tres que la dirección no conocía.
¿Qué tiene que ver el AI Act con el shadow AI?
El artículo 4 del Reglamento de IA obliga desde febrero de 2025 a las empresas que usan IA a adoptar medidas para que su personal sepa usarla. Si no sabéis qué IA se usa de verdad, es difícil formar sobre ella: sacar el shadow AI a la luz es el primer paso.