Shadow AI: tu equipo ya usa la IA por su cuenta (y prohibirla es la peor respuesta)

El mejor informe del trimestre no lo escribió nadie de tu plantilla. La primera versión salió de una cuenta gratuita de ChatGPT, abierta en un móvil personal, con el nombre del cliente y las cifras del contrato dentro; luego alguien la pulió, la firmó y la envió. Estructura limpia, ni una errata, un resumen ejecutivo mejor que el de la última consultora.

Eso es shadow AI: la IA que tu equipo ya usa sin aprobación, sin visibilidad y, sobre todo, sin que nadie le haya enseñado a usarla con criterio. Si tu primer impulso es prohibirla, sigue leyendo: es la respuesta más habitual en los comités de dirección y la que peor funciona.

¿Qué es el shadow AI y hasta dónde llega?

El shadow AI es el uso de herramientas de inteligencia artificial por parte de los empleados sin el conocimiento ni la aprobación de su empresa: cuentas personales de ChatGPT, extensiones de navegador, aplicaciones en el móvil por las que pasan datos de trabajo.

El estudio global de la Universidad de Melbourne y KPMG, con 48.000 encuestados en 47 países entre finales de 2024 y principios de 2025 y muestra representativa española, lo ha medido: en España el 68% de los empleados ya usa IA en su trabajo de forma deliberada, pero solo el 47% dice que su empresa tenga políticas que rijan su uso responsable. En el hueco entre esas dos cifras vive tu shadow AI.

Prohibir la IA no reduce su uso: reduce tu visibilidad sobre él.

La respuesta seria tiene cuatro movimientos:

1. Leer el uso oculto como lo que es: demanda, antes que indisciplina.
2. Poner los riesgos sobre la mesa sin convertirlos en excusa para prohibirlo todo.
3. Aflorar lo que ya existe con una amnistía, no con una investigación.
4. Darle un cauce: el semáforo de datos y las cuatro reglas que hacen que se cumpla.

¿Por qué tus empleados usan la IA a escondidas?

Porque les funciona, y porque el camino oficial, si existe, les resulta más caro que el riesgo. Nadie se esconde para usar una herramienta que no le sirve: cada uso oculto marca una tarea concreta en la que tu proceso pierde contra una cuenta gratuita. El acta que nadie quiere redactar, la traducción que tardaría dos días en volver, la primera versión de casi todo. La ocultación también tiene su lógica: quien la usa teme parecer prescindible o tramposo, así que firma el resultado y calla.

Es el problema inverso al que contamos en por qué tu equipo no usa la IA: allí faltaba tracción; aquí sobra, pero fuera de tu vista.

Míralo con frialdad antes de enfadarte: tu shadow AI es el estudio de demanda interna más barato que vas a conseguir. Un backlog de adopción ya priorizado por la gente que hace el trabajo. Ninguna consultora puede venderte ese mapa; tu equipo te lo está dibujando gratis. Lo grave no es que el mapa exista, sino cómo se dibuja: sin red, con datos que no deberían salir y sin nadie que revise los resultados.

Pregunta a tu política de IA: ¿qué camino ofrece hoy a quien necesita usar IA con un dato de cliente? Si hay que buscarlo, o no existe, ya sabes por qué tu equipo usa el suyo.

¿Por qué prohibir la IA es la peor respuesta?

Los riesgos del shadow AI son reales; la prohibición los deja intactos donde ya no puedes verlos. Sobre la mesa, sin edulcorar: datos de clientes y de negocio en herramientas externas cuyas condiciones nadie ha leído, posibles incumplimientos del RGPD y de los acuerdos de confidencialidad, y errores que llegan al entregable sin que nadie los filtre.

Samsung hizo el experimento por todos en 2023. Semanas después de permitir ChatGPT, varios ingenieros pegaron código interno y el acta de una reunión confidencial; la empresa prohibió la IA generativa en los dispositivos corporativos. La letra pequeña es lo interesante: en los móviles personales solo podía pedir que no se usara, porque ahí no ve nada, y el memorando presentaba la medida como temporal, mientras preparaba herramientas internas. Hasta el caso más citado a favor del candado lo trató como lo que era: un parche mientras se construía el cauce.

¿Significa esto que no hay que prohibir nada? No. Hay datos que no deben tocar una herramienta externa bajo ningún plan de precios: historiales de salud, información privilegiada, secreto profesional. La diferencia está entre prohibir usos concretos dentro de un cauce, que funciona, y prohibir la IA en general sin ofrecer alternativa, que fabrica clandestinidad.

Queda el coste regulatorio: desde febrero de 2025, el reglamento europeo de IA obliga a garantizar una alfabetización suficiente del personal que trabaja con IA. «Aquí no se usa» no te exime si tu gente la usa para trabajar.

Compruébalo: busca la palabra «IA» en tu plan de formación de este año. Si no aparece y tu equipo ya la usa a diario, estás incumpliendo el reglamento con los ojos cerrados.

¿Cómo aflorar el shadow AI sin montar una caza de brujas?

Con una amnistía de IA: un plazo corto (treinta días) en el que cualquiera puede declarar qué herramientas usa y para qué, sin consecuencias. La mecánica cabe en un formulario de tres preguntas: qué herramienta, para qué tarea, qué tipo de datos toca. Lo que hace creíble la amnistía no es el tono amable, sino el reparto en dos mitades: lo declarado dentro del plazo no se sanciona; lo que se oculte después del cierre, sí. Sin la segunda mitad es un gesto; con ella, una regla.

Dos avisos de quien lo ha visto fallar. La amnistía la anuncia dirección, no el departamento de sistemas: si llega como auditoría de seguridad, cosecharás silencio. Y no esperes confesiones dramáticas: lo que aparece son cuarenta usos pequeños y repetidos (resúmenes de reuniones, correos incómodos, traducciones, hojas de cálculo que nadie sabía cruzar). Ese es el mapa. Ordénalo por frecuencia y sensibilidad del dato y tendrás, en una tarde, los tres primeros procesos que merecen cauce oficial.

Empieza por: el formulario de tres preguntas y una fecha de cierre anunciada por dirección, con la regla de las dos mitades por escrito.

¿Cómo conseguir que la política de uso de IA se cumpla?

El corazón de la página es el semáforo de datos: tres franjas (verde, ámbar y rojo) que dicen qué información entra en qué herramienta, con ejemplos de tu negocio y no con categorías jurídicas. Pero el semáforo solo, plastificado y colgado, no se cumple: necesita cuatro reglas alrededor.

1. Lista viva de herramientas aprobadas, con dueño. Y una vía de alta que responda en días. Si pedir una herramienta nueva tarda un trimestre, la política acaba de morir.
2. Regla de declaración. El uso de IA se declara al responsable o en el propio entregable, y declarar no penaliza. Si castigas la transparencia, reconstruyes la sombra que acabas de aflorar.
3. Criterio, además de permiso. La lista dice dónde; la formación dice cómo: qué se verifica antes de enviar, qué no se delega nunca, cómo se revisa lo que va a salir con la firma de tu empresa. En España solo el 40% de los trabajadores cuenta con formación en IA; ese es el hueco que cierra la capacitación (y la alfabetización que pide el reglamento).
4. Fecha de revisión trimestral. Las herramientas cambian cada mes; una política de hace un año es otra manera de no tener política.

Entregable: la página del semáforo con cuatro líneas más: quién aprueba herramientas y en cuántos días, dónde se declara el uso, qué formación lo acompaña y fecha de la próxima revisión. Si falta alguna, lo que tienes es un póster.

¿Cuánto shadow AI hay en tu empresa? Test de seis señales

Responde sí o no; con observar una semana llega.

1. En los últimos seis meses, nadie ha pedido acceso, licencia ni presupuesto para una herramienta de IA.
2. Los borradores llegan más pulidos que hace un año, sin que hayas cambiado nada en procesos ni formación.
3. Tu política de IA actual cabe en una frase, y la frase es «no». (O no existe)
4. Si alguien pegara mañana un contrato en una cuenta gratuita, hoy no tendrías forma de enterarte.
5. De ChatGPT se habla con naturalidad en el pasillo y nada en los documentos oficiales.
6. Aprobar una herramienta nueva tarda más de un mes. (O nadie sabe cuánto tarda, que es peor)

De cero a un sí: o tienes un cauce que funciona o tienes el problema contrario (que nadie la use, ni a escondidas); en los dos casos sabes dónde estás.

De dos a cuatro: hay uso oculto casi seguro. Empieza por la amnistía antes que por la política: redactar normas sobre un inventario que no conoces es decorar a oscuras.

Cinco o seis: tu política de IA ya existe; la están escribiendo tus empleados, una cuenta personal cada vez. Y tienes más visibilidad que recuperar que culpables que buscar.

La pregunta ya no es si tu empresa usa IA

Esa la contestó tu equipo hace meses, sin ti. La que sigue abierta es si la adopción va a ocurrir con visibilidad, criterio y límites, o repartida en cuentas personales que no responden ante nadie. El inventario que aflora una amnistía vale más que cualquier informe de mercado: es tu demanda, no la media del sector. La empresa que lo lee y construye el cauce convierte un riesgo difuso en su plan de adopción; la que lo castiga, lo entierra otro año. Y la cultura que la IA necesita no se decreta en el mismo comité que la prohibió: se construye ofreciendo una vía mejor que la clandestina.

¿Cuántas cuentas personales están escribiendo, ahora mismo, la estrategia de IA que tú aún no has escrito? Si prefieres escribirla tú, en SmartWay acompañamos a equipos directivos a construir ese cauce y a formar el criterio para usarlo con cabeza. Hablemos.