Shadow AI en empresas, la IA que tu equipo ya está usando sin pedir permiso
Tu empresa puede tener una estrategia de inteligencia artificial muy bien definida en PowerPoint y, al mismo tiempo, tener a media plantilla usando ChatGPT, Gemini, Claude, Copilot u otras herramientas por su cuenta.
Sin mala intención.
Y, muchas veces, sin que nadie les haya explicado qué pueden hacer, qué no deben hacer y dónde empieza el riesgo.
Eso es el Shadow AI en empresas, el uso de herramientas de inteligencia artificial dentro del trabajo sin autorización, supervisión, criterio compartido o política clara por parte de la organización.
La parte incómoda es esta: si en tu empresa no se habla de IA, no significa que no se use.
Significa que se usa en silencio.
Y lo que se usa en silencio no se puede mejorar, medir ni proteger.
¿Qué es el Shadow AI?
El Shadow AI en empresas es el uso de herramientas de inteligencia artificial por parte de empleados, equipos o departamentos sin aprobación formal de la empresa, sin control de seguridad y sin una política clara de uso.
Puede incluir desde pegar datos internos en ChatGPT hasta usar asistentes externos para resumir reuniones, redactar propuestas, analizar clientes o automatizar tareas sin supervisión.
Es un síntoma de algo más profundo: la organización necesita usar IA, pero todavía no ha creado un marco seguro, práctico y humano para hacerlo.
¿Por qué el Shadow AI está creciendo tan rápido?
El Shadow AI aparece porque la IA resuelve problemas reales antes de que la organización haya decidido cómo integrarla.
Ahí está la grieta.
El equipo tiene trabajo acumulado. La herramienta está a un clic. La respuesta llega en segundos. Y, si nadie ha explicado los límites, cada persona inventa los suyos.
Microsoft y LinkedIn ya detectaron en su Work Trend Index que una parte muy relevante de los profesionales estaba llevando sus propias herramientas de IA al trabajo.
En pymes, Microsoft llegó a señalar que el fenómeno del Bring Your Own AI era especialmente alto.
El problema es que muchas empresas todavía gestionan la IA como si fuese una decisión futura, cuando para sus equipos ya es una práctica cotidiana.
Shadow AI no es lo mismo que innovación
Conviene separar dos cosas.
Una empresa con personas curiosas, capaces de probar herramientas nuevas y buscar mejores formas de trabajar tiene un activo enorme.
Una empresa donde cada persona usa IA por su cuenta, con datos internos, sin criterio común y sin supervisión, tiene un riesgo invisible.
Señales de que ya hay Shadow AI en tu empresa
- Personas que usan cuentas personales de IA para tareas de trabajo.
- Documentos internos pegados en herramientas externas sin saber qué ocurre con esos datos.
- Reuniones resumidas por asistentes no aprobados por la empresa.
- Propuestas comerciales redactadas con IA sin revisión clara de una persona responsable.
- Equipos que han creado automatizaciones propias sin informar a IT, legal o dirección.
- Clientes que reciben contenido generado con IA sin que nadie haya definido criterios de validación.
- Departamentos que han comprado herramientas con IA integrada sin evaluación previa.
- Empleados que ocultan que usan IA porque temen parecer prescindibles.
La última señal es importante.
Si alguien esconde que usa IA, casi nunca es porque quiera engañar. Muchas veces es porque no sabe si la empresa lo verá como iniciativa, como riesgo o como amenaza.
Y esa ambigüedad sale cara.
El error habitual de prohibirlo todo
La primera reacción de muchas empresas ante el Shadow AI es levantar la mano y decir: «Prohibido usar herramientas no autorizadas».
Suena ordenado.
Suena responsable.
Suena a que alguien ha tomado el control.
Pero suele funcionar regular. Por decirlo con cariño.
Prohibir sin ofrecer una alternativa práctica no elimina el uso oculto. Lo desplaza todavía más a la sombra.
Si una persona tiene una carga de trabajo brutal, una herramienta le ahorra una hora y la empresa sólo le dice «no la uses», la conversación queda incompleta.
Falta la parte útil: qué sí puede usar, para qué, con qué datos, bajo qué condiciones y con qué revisión.
La respuesta al Shadow AI es gobierno.
Y gobierno no significa llenar la empresa de PDFs que nadie abre. Significa crear reglas simples, aplicables y vivas.
Los riesgos reales del Shadow AI
El Shadow AI preocupa por la seguridad, sí. Pero reducirlo a «que nadie pegue datos en ChatGPT» es quedarse corto.
El riesgo importante es que la empresa empieza a operar con decisiones, contenidos, análisis y automatizaciones que nadie ha diseñado ni supervisado de verdad.
Principales riesgos para una empresa
- Fuga de datos sensibles.
- Exposición de información de clientes, proveedores o empleados.
- Pérdida de propiedad intelectual.
- Uso de respuestas incorrectas sin validación humana.
- Decisiones tomadas a partir de análisis incompletos o sesgados.
- Incumplimientos de privacidad, confidencialidad o normativa sectorial.
- Automatizaciones que afectan al cliente sin control suficiente.
- Dependencia de herramientas externas que nadie ha evaluado.
- Pérdida de criterio profesional por delegar demasiado pronto.
- Ruido operativo: cada equipo trabaja con métodos distintos y resultados difíciles de comparar.
El último punto parece menos grave que una fuga de datos, pero en el día a día pesa muchísimo.
Cuando cada departamento usa IA a su manera, la empresa no aprende. Sólo acumula experimentos sueltos.
La pregunta que debería hacerse dirección
La pregunta no es:
«¿Cómo impedimos que la gente use IA?».
La pregunta útil es:
«¿Cómo diseñamos un uso de IA que sea seguro, práctico y suficientemente claro para que nadie tenga que esconderlo?».
Ahí cambia todo.
Porque el objetivo no es apagar la IA. El objetivo es sacarla de la sombra.
Qué datos no deberían entrar nunca en una herramienta de IA no autorizada
Esta parte conviene decirla sin rodeos.
Si la herramienta no está aprobada por la empresa, no debería recibir información sensible. Punto.
Información que no debería compartirse sin autorización
- Datos personales de clientes, empleados o candidatos.
- Información financiera no pública.
- Contratos, propuestas o acuerdos confidenciales.
- Estrategias comerciales, precios o márgenes.
- Código fuente, documentación técnica o propiedad intelectual.
- Credenciales, claves, tokens o accesos.
- Incidencias internas, reclamaciones o comunicaciones sensibles.
- Informes médicos, legales, laborales o regulatorios.
- Datos de menores, colectivos vulnerables o perfiles especialmente protegidos.
- Cualquier documento que no enviarías tranquilamente a un proveedor externo.
La última regla es la más fácil de recordar.
Si no se lo mandarías por email a una empresa que no conoces, no lo pegues en una IA que la empresa no ha validado.
La conexión con la EU AI Act
El Reglamento Europeo de Inteligencia Artificial no habla de Shadow AI en empresas como concepto de moda, pero sí introduce obligaciones que chocan de frente con el uso invisible de herramientas de IA.
El artículo 4 exige que proveedores y responsables del despliegue de sistemas de IA adopten medidas para asegurar un nivel suficiente de alfabetización en IA de las personas que los usan en su nombre. Dicho de forma sencilla: no basta con comprar o permitir herramientas. Hay que formar a las personas para usarlas con conocimiento de oportunidades, riesgos y posibles daños.
Además, cuando hablamos de sistemas de alto riesgo, aparecen obligaciones de supervisión, seguimiento y uso conforme a instrucciones. Si la empresa no sabe qué IA se está usando, con qué datos y para qué decisiones, difícilmente podrá demostrar control.
No hace falta convertir cada conversación sobre IA en una clase de derecho europeo. Pero sí conviene entender algo: la gobernanza de IA ya no es una manía de departamentos prudentes. Es parte del trabajo normal de dirección.
Lo que nadie quiere mirar
El Shadow AI no es sólo una brecha técnica. También es una brecha cultural.
Si la plantilla usa IA y no lo cuenta, puede haber varias razones.
Motivos por los que las personas ocultan su uso de IA
- Miedo a que la empresa piense que su trabajo vale menos.
- Falta de una política clara sobre qué usos están permitidos.
- Vergüenza por no saber si lo están haciendo bien.
- Sensación de que dirección va más lenta que la realidad del trabajo.
- Necesidad de resolver tareas urgentes sin esperar aprobación.
- Desconfianza hacia procesos internos demasiado lentos.
- Ausencia de formación práctica adaptada a su rol.
Aquí hay una oportunidad enorme.
Una empresa que convierte esa energía oculta en aprendizaje compartido gana velocidad sin perder criterio.
Una empresa que sólo castiga el uso oculto pierde dos veces: pierde visibilidad y pierde confianza.
Del Shadow AI al Piloto Humano
Mi forma de verlo es esta, la IA no debería funcionar como una puerta trasera en la empresa. Debería funcionar como un copiloto bien integrado.
Pero para que exista copiloto, tiene que existir piloto.
El Piloto Humano es la persona o rol que dirige, supervisa, decide y se hace responsable del uso de IA en un proceso concreto.
No revisa al final «por si acaso». Marca desde el principio qué se delega, qué no se delega, qué datos se pueden usar y qué resultado necesita validación.
Esto conecta directamente con los workflows híbridos persona + IA, procesos donde se reparte conscientemente qué hace la persona, qué hace la IA y dónde están los puntos de supervisión.
El Shadow AI aparece cuando ese reparto no existe.
Cómo convertir el Shadow AI en una política útil de IA
La solución no empieza por una herramienta. Empieza por una conversación seria, práctica y sin teatro.
No hace falta montar un comité eterno para dar el primer paso. Hace falta mapear usos reales, clasificar riesgos y crear reglas comprensibles.
Paso 1: Hacer visible lo que ya está ocurriendo
Pregunta a los equipos qué herramientas usan, para qué tareas y con qué tipo de información.
Hazlo sin tono policial.
Si la primera pregunta suena a inspección, la respuesta será defensiva. Si suena a aprendizaje, aparecerá información útil.
Paso 2: Separar usos seguros, dudosos y prohibidos
No todos los usos de IA tienen el mismo riesgo.
Pedir ideas para un título interno no es lo mismo que subir una base de datos de clientes. Resumir un texto público no es lo mismo que analizar información confidencial de una negociación.
La política debe distinguir.
Paso 3: Crear una lista blanca de herramientas
El equipo necesita saber qué puede usar.
Si sólo sabe lo que está prohibido, buscará atajos. Si tiene herramientas aprobadas, casos de uso claros y criterios sencillos, la adopción mejora.
Paso 4: Definir datos permitidos y datos bloqueados
Esta regla debe estar escrita en lenguaje humano.
Nada de documentos que parezcan redactados por tres abogados encerrados con café frío.
La persona debe saber, en menos de dos minutos, qué información puede introducir y qué información no.
Paso 5: Establecer puntos de supervisión humana
Cada uso relevante de IA necesita una respuesta clara:
¿Quién revisa?
¿Quién decide?
¿Quién firma?
¿Quién responde si algo falla?
Si nadie puede contestar, no hay gobernanza. Hay esperanza. Y la esperanza no audita muy bien.
Paso 6: Formar por rol, no por herramienta
La formación de IA no debería limitarse a «cómo usar ChatGPT».
Un equipo comercial necesita criterios distintos a un equipo de RRHH. Un comité de dirección necesita otro nivel de lectura. Un departamento legal necesita otros límites. Un mando intermedio necesita saber cómo revisar, no sólo cómo pedir.
Por eso conviene trabajar la formación en inteligencia artificial para empresas desde casos reales de trabajo, no desde una colección de prompts genéricos.
Paso 7: Revisar la política cada trimestre
La política de IA no puede ser una piedra.
Tiene que ser un documento vivo. Las herramientas cambian, los usos cambian y los riesgos también.
Una revisión trimestral sencilla vale más que una política perfecta que nace muerta.
Matriz rápida para clasificar usos de IA
Puedes empezar con una matriz muy simple.
Usos de bajo riesgo
- Generar ideas iniciales sin datos internos.
- Resumir información pública.
- Reescribir textos no confidenciales.
- Preparar borradores internos sin impacto en clientes.
- Crear esquemas de reunión o listas de comprobación.
Usos de riesgo medio
- Redactar propuestas comerciales que después revisará una persona.
- Analizar información interna no sensible.
- Preparar respuestas a clientes con supervisión.
- Sintetizar reuniones sin datos especialmente protegidos.
- Crear automatizaciones internas reversibles.
Usos de alto riesgo
- Procesar datos personales o confidenciales.
- Tomar decisiones sobre personas, empleo, crédito, salud o acceso a servicios.
- Generar documentos legales, financieros o regulatorios sin revisión experta.
- Automatizar comunicaciones sensibles con clientes.
- Conectar herramientas de IA a sistemas internos sin evaluación técnica.
Esta matriz no sustituye a una evaluación formal, pero ayuda a iniciar la conversación correcta.
15 preguntas para detectar Shadow AI en empresas
Usa esta lista en dirección, RRHH, innovación, IT o compliance.
- Saber qué herramientas de IA usa cada departamento.
- Tener una política escrita sobre uso de IA generativa.
- Confirmar si el equipo sabe qué datos no puede introducir en herramientas externas.
- Comprobar si existen herramientas aprobadas para usos habituales.
- Disponer de una lista clara de usos permitidos, dudosos y prohibidos.
- Identificar qué procesos ya dependen de respuestas generadas por IA.
- Definir quién revisa los resultados importantes.
- Tener formación de IA adaptada por roles.
- Hablar del miedo a parecer reemplazable por usar IA.
- Establecer criterios para proveedores que incorporan IA en sus servicios.
- Crear un registro de casos de uso internos.
- Revisar los riesgos de privacidad y confidencialidad.
- Abrir una forma sencilla de preguntar dudas sin castigo.
- Comprobar si la dirección usa IA con los mismos criterios que exige al equipo.
- Revisar la política cada cierto tiempo.
Si has contestado «no» a más de cinco, probablemente no tienes un problema futuro. Tienes un problema presente con poca visibilidad.
Qué debería incluir una política de uso de IA en empresas
Una buena política de IA no necesita empezar siendo enorme. Necesita ser clara.
Elementos mínimos de una política útil
- Objetivo de la política.
- Herramientas permitidas.
- Herramientas no permitidas.
- Tipos de datos permitidos.
- Tipos de datos prohibidos.
- Usos aceptables por departamento.
- Usos que requieren aprobación.
- Usos prohibidos.
- Criterios de revisión humana.
- Responsable interno de dudas.
- Procedimiento para proponer nuevos casos de uso.
- Reglas para proveedores externos.
- Revisión periódica del documento.
La política no debe escribirse para cubrirse las espaldas. Debe escribirse para que la gente trabaje mejor.
Si nadie la entiende, no gobierna nada.
De la política al protocolo de implantación
La política define límites. El protocolo convierte esos límites en práctica.
Por eso, si tu empresa ya detecta uso informal de IA, el siguiente paso no es sólo redactar normas. Es construir un protocolo de implantación de IA que conecte estrategia, formación, seguridad, supervisión y casos de uso.
Ahí es donde el Shadow AI en empresas deja de ser una amenaza y empieza a convertirse en aprendizaje organizativo.
También puede tener sentido realizar un diagnóstico estratégico de IA para saber en qué punto está realmente la empresa: qué se usa, qué se necesita, qué riesgos existen y qué oportunidades merecen prioridad.
Caso típico: «mi equipo usa ChatGPT para todo»
Esta frase aparece cada vez más en conversaciones con directivos.
«Mi equipo usa ChatGPT para todo. No sé si está bien».
La respuesta honesta es: depende.
- Depende de para qué.
- Depende de con qué datos.
- Depende de quién revisa.
- Depende de si la persona entiende los límites de la herramienta.
- Depende de si hay una decisión humana detrás.
Usar IA para todo no es madurez digital. A veces es ansiedad productiva con interfaz bonita.
Una empresa madura no usa IA en todas partes. Usa IA donde tiene sentido, con criterio y con supervisión.
Qué puede hacer RRHH con el Shadow AI
RRHH tiene un papel clave porque el Shadow AI no se resuelve sólo desde IT.
Se resuelve trabajando hábitos, miedos, competencias y cultura.
Acciones útiles desde RRHH y L&D
- Abrir una encuesta interna anónima sobre uso real de IA.
- Identificar tareas donde la plantilla ya está usando IA.
- Detectar miedos asociados a sustitución o pérdida de valor profesional.
- Crear itinerarios de formación por rol.
- Medir fluidez IA, no sólo asistencia a cursos.
- Diseñar espacios seguros para compartir buenas prácticas.
- Coordinarse con IT, legal y dirección para convertir aprendizajes en política.
La pregunta de RRHH no debería ser sólo «qué herramienta usamos».
La pregunta potente es: «qué necesita aprender nuestra gente para usar IA sin perder criterio».
Qué puede hacer la dirección de la empresa
La dirección no puede delegar este tema por completo.
La IA afecta a productividad, riesgo, marca, decisiones, clientes y cultura. Demasiadas piezas como para dejarlo en un rincón técnico.
Decisiones que debería tomar dirección
- Definir una posición clara sobre el uso de IA en la empresa.
- Nombrar responsables de gobernanza y adopción.
- Priorizar casos de uso con valor real de negocio.
- Aprobar herramientas seguras para la plantilla.
- Impulsar formación práctica y continua.
- Exigir supervisión humana en decisiones sensibles.
- Revisar métricas de uso, impacto y riesgo.
- Comunicar que usar IA con criterio no reduce el valor profesional.
Esta última idea es más importante de lo que parece.
Si la gente cree que reconocer el uso de IA la hace parecer menos valiosa, lo ocultará.
Si entiende que usar IA con criterio forma parte del nuevo oficio, lo compartirá.
Qué puede hacer una pyme sin departamento de IT grande
Una pyme no necesita copiar el modelo de una multinacional.
Necesita una versión ligera, realista y aplicable.
Primeros pasos para una pyme
- Preguntar qué herramientas de IA se usan ya.
- Prohibir expresamente introducir datos sensibles en herramientas no aprobadas.
- Elegir una o dos herramientas principales y formar al equipo en ellas.
- Crear una página interna con usos permitidos y ejemplos.
- Nombrar una persona responsable para resolver dudas.
- Revisar un caso de uso por área antes de escalar.
- Documentar aprendizajes y errores sin buscar culpables.
Esto no requiere burocracia infinita. Requiere criterio.
Y, si quieres profundizar en esa línea, aquí tienes una guía específica sobre cómo implantar IA en pymes.
Qué NO hacer ante el Shadow AI en empresas
A veces se aprende más rápido por contraste.
Errores que conviene evitar
- Prohibirlo todo sin alternativa.
- Comprar una herramienta corporativa y pensar que el problema queda resuelto.
- Formar sólo en prompts sin hablar de datos, criterio y supervisión.
- Tratar a la plantilla como si hubiera actuado de mala fe.
- Dejar la política en manos de un solo departamento.
- Ignorar los usos reales porque incomodan.
- Convertir la IA en un asunto exclusivamente técnico.
- Confundir adopción con implantación.
Comprar licencias no es implantar IA.
Implantar IA es rediseñar cómo se trabaja, qué se delega, qué se revisa y quién decide.
Por eso el artículo Solo ChatGPT no transforma empresas es una lectura natural si estás en este punto.
Ver, Ordenar, Formar, Supervisar
Para empezar, me gusta trabajar con cuatro verbos.
Ver
Identifica usos reales de IA, herramientas, personas, datos y procesos afectados.
Ordenar
Clasifica usos por riesgo, valor y urgencia. No todo merece el mismo tratamiento.
Formar
Entrena a las personas según su rol, no según la herramienta de moda.
Supervisar
Define quién valida, quién decide y quién responde.
Este modelo tiene una ventaja: no convierte la IA en una guerra cultural dentro de la empresa.
La convierte en una conversación profesional.
Preguntas frecuentes sobre Shadow AI en empresas
¿Qué significa Shadow AI?
Shadow AI significa uso oculto o no autorizado de herramientas de inteligencia artificial dentro de una empresa. Puede incluir herramientas públicas, cuentas personales, extensiones, asistentes o automatizaciones que se usan para tareas laborales sin evaluación, aprobación o supervisión por parte de la organización.
¿Por qué es peligroso el Shadow AI en empresas?
Es peligroso porque puede exponer datos sensibles, generar errores no detectados, crear dependencia de herramientas externas, incumplir obligaciones legales y debilitar la calidad de las decisiones. El mayor riesgo no es sólo técnico: es que la empresa pierde visibilidad sobre cómo se está trabajando realmente.
¿Usar ChatGPT en el trabajo es Shadow AI?
Usar ChatGPT en el trabajo puede ser Shadow AI si la empresa no ha autorizado su uso, no ha definido qué datos se pueden introducir y no existe una supervisión clara sobre los resultados. La herramienta no es el problema por sí sola. El problema es el uso sin marco.
¿Cómo se puede detectar Shadow AI?
Se puede detectar preguntando directamente a los equipos, revisando herramientas usadas por departamento, identificando procesos donde aparecen outputs generados por IA y creando un canal seguro para declarar usos sin miedo. Si la empresa empieza buscando culpables, verá menos. Si empieza buscando aprendizaje, verá más.
¿Qué debe incluir una política de uso de IA?
Debe incluir herramientas permitidas, datos prohibidos, usos aceptables, usos que requieren autorización, criterios de revisión humana, responsable de dudas, procedimiento para nuevos casos de uso y frecuencia de revisión. Lo importante es que sea entendible y aplicable por personas reales.
¿Quién debería liderar la gestión del Shadow AI?
Debe liderarse de forma compartida entre dirección, IT, legal, RRHH y responsables de negocio. Si lo lidera sólo IT, puede quedarse en control técnico. Si lo lidera sólo RRHH, puede faltarle seguridad. Si lo lidera sólo dirección, puede no llegar al trabajo real. La clave es coordinación.
¿Cómo afecta la EU AI Act al uso interno de IA?
La EU AI Act exige alfabetización en IA para quienes usan sistemas de IA en nombre de una organización y establece obligaciones adicionales en ciertos sistemas, especialmente los de alto riesgo. Una empresa que no sabe qué IA usan sus equipos tendrá más dificultades para demostrar formación, control, supervisión y uso responsable.
El Shadow AI en empresas no se elimina con miedo
El Shadow AI es una señal.
Te dice que tu equipo necesita IA.
Te dice que hay tareas que pesan.
Te dice que la organización va más lenta que sus personas.
Y también te dice que ha llegado el momento de ordenar la casa.
No para frenar la innovación. Para que la innovación no dependa de atajos invisibles.
La empresa que mejor gestione la IA no será la que más herramientas compre, ni la que más prohíba, ni la que más veces diga «transformación digital» en una reunión.
Será la que consiga algo más difícil y más valioso:
Que su gente use IA con confianza, criterio y responsabilidad.
Sin esconderse.
Sin improvisar cada límite.
Sin perder el alma del negocio ni la capacidad de decidir.
Si quieres dar ese paso con orden, puedes empezar por revisar tu protocolo de implantación de IA, valorar una formación en inteligencia artificial para empresas o realizar un diagnóstico estratégico de IA para saber qué está pasando ya dentro de tu organización.
