Shadow AI: el riesgo oculto de que tus empleados usen ChatGPT sin control

El 68% de los empleados que usan IA generativa en el trabajo lo hacen sin que la empresa lo sepa. No es un problema de productividad — es un problema de datos, de cumplimiento normativo y de gobernanza que necesitas abordar antes de que se convierta en un incidente

Imagina este escenario: un comercial de tu empresa copia la base de datos de clientes del CRM, la pega en ChatGPT y le pide que genere correos personalizados de seguimiento. La productividad se dispara. El comercial cierra más ventas. Todo parece un éxito. Hasta que te das cuenta de que acaba de compartir nombres, emails, volúmenes de compra y datos de contacto de tus clientes con un servicio de terceros sin consentimiento, sin evaluación de impacto y sin que la empresa siquiera lo sepa.

Esto es Shadow AI: el uso de herramientas de inteligencia artificial por parte de empleados sin aprobación, sin supervisión y sin gobernanza por parte de la organización. Y no es un fenómeno marginal. Según estudios recientes, el 68% de los empleados que usan IA generativa en el trabajo no lo han comunicado a sus superiores. En empresas sin política de IA, el porcentaje sube al 80%.

Lo paradójico es que el Shadow AI muchas veces funciona. Los empleados que lo adoptan suelen ser los más productivos y proactivos. El problema no es la herramienta: es la falta de marco que permita usarla de forma segura, trazable y conforme a la normativa.

En este artículo te explicamos por qué el Shadow AI crece, cuáles son los riesgos reales para tu empresa, cómo implementar una política de uso de IA que funcione sin matar la productividad y por qué el AI Act convierte esta cuestión en urgente.

Por qué el Shadow AI crece (y no va a parar)

El Shadow AI no es un acto de rebeldía. Es una respuesta racional de los empleados a una situación asimétrica:

• Las herramientas son accesibles: ChatGPT, Claude, Gemini, Copilot… cualquier empleado con un navegador puede acceder a un modelo de IA generativa en 30 segundos. No necesita instalar nada, no necesita pedir permiso al departamento de IT.
• La productividad es inmediata: Un empleado que usa IA para redactar emails, resumir documentos, generar borradores o analizar datos gana entre 30 minutos y 2 horas al día. La recompensa es instantánea y tangible.
• La empresa no ofrece alternativa: Muchas organizaciones aún no han desplegado herramientas de IA corporativas. Mientras la empresa delibera, los empleados ya están usando la versión gratuita de ChatGPT con sus cuentas personales.
• No hay política clara: Si la empresa no ha comunicado qué herramientas están permitidas, qué datos se pueden compartir y qué usos son aceptables, el empleado interpreta que «no está prohibido, luego está permitido».

Dato clave: El Shadow AI suele generar mejor ROI que los proyectos formales de IA, precisamente porque nace de una necesidad real del empleado. El reto no es eliminarlo, sino canalizarlo dentro de un marco de gobernanza.

Los riesgos reales del Shadow AI para tu empresa

Los riesgos del Shadow AI no son teóricos. Son operativos, legales y reputacionales:

Fuga de datos confidenciales

Cuando un empleado introduce información en ChatGPT (versión gratuita o Plus sin configuración enterprise), esos datos pueden ser usados para entrenar el modelo. Esto incluye: datos de clientes, estrategias comerciales, código fuente, información financiera, documentos internos. Samsung descubrió en 2023 que varios ingenieros habían introducido código propietario en ChatGPT. Apple y JPMorgan prohibieron el uso interno de ChatGPT por el mismo motivo.

Incumplimiento normativo

Compartir datos personales de clientes con un servicio de IA sin base legal (RGPD), sin DPIA y sin contrato de tratamiento de datos (DPA) es una infracción que puede acarrear sanciones. Con el AI Act, la falta de trazabilidad sobre qué sistemas de IA usa tu organización añade otra capa de riesgo. No puedes cumplir con obligaciones de transparencia y gobernanza sobre sistemas que ni siquiera sabes que existen.

Inconsistencia y errores no detectados

Un empleado que usa IA para generar contenido, informes o análisis sin supervisión puede producir alucinaciones (información falsa generada con confianza) que se integran en documentos oficiales. Si nadie revisa el output, un dato inventado por el modelo puede acabar en una propuesta comercial, un informe financiero o una comunicación al cliente.

Pérdida de propiedad intelectual

Los contenidos generados con IA pueden tener implicaciones de propiedad intelectual. Si un empleado genera un diseño, un texto publicitario o un código con IA sin documentarlo, la empresa puede enfrentar reclamaciones sobre la titularidad de ese contenido.

No puedes gobernar lo que no sabes que existe.

Política de uso de IA: la solución no es prohibir, es gobernar

Prohibir el uso de IA generativa en la empresa es como prohibir el uso de internet en 2005: puedes intentarlo, pero solo consigues que los empleados lo usen a escondidas. La solución es una política de uso de IA que equilibre productividad con seguridad.

Llamamos a esto Política IA Lite: un marco mínimo viable que puedes implementar en una semana y que cubre los riesgos críticos. Se basa en cinco principios:

1. Proporcionalidad: No todas las herramientas de IA necesitan el mismo nivel de control. Clasifica las herramientas por nivel de riesgo: bajo (generación de borradores sin datos sensibles), medio (análisis de datos internos), alto (procesamiento de datos personales de clientes). Cada nivel tiene controles proporcionados.
2. Responsabilidad: El empleado que usa IA es responsable del output. La IA es una herramienta, no un sustituto del criterio profesional. Todo contenido generado con IA debe ser revisado antes de usarse externamente.
3. Grounding: Los outputs de IA deben contrastarse con fuentes verificables. Ningún dato generado por IA se considera fiable hasta que se verifique contra una fuente original.
4. Observabilidad: La empresa debe saber qué herramientas de IA se están usando, para qué y con qué datos. No para vigilar al empleado, sino para poder cumplir con las obligaciones de trazabilidad del AI Act y del RGPD.
5. Reversibilidad: Cualquier proceso que incorpore IA debe poder revertirse a su versión sin IA en caso de fallo, incidente o cambio regulatorio. Esto significa que el conocimiento no puede residir solo en el modelo.

Qué datos nunca deben entrar en una IA no corporativa

La parte más operativa de la política es definir con claridad qué datos están absolutamente prohibidos en herramientas de IA no aprobadas:

• Datos personales de clientes: Nombres, emails, teléfonos, direcciones, históricos de compra, datos de pago. Compartirlos sin base legal es infracción del RGPD.
• Datos financieros internos: Cuentas de resultados, previsiones, márgenes por producto, estrategias de pricing. Información competitiva sensible.
• Código fuente propietario: Algoritmos, lógica de negocio, integraciones con APIs internas. Riesgo de fuga de propiedad intelectual.
• Documentos legales y contractuales: Contratos con clientes, acuerdos de confidencialidad, condiciones comerciales. Riesgo legal directo.
• Comunicaciones internas confidenciales: Actas de comité, decisiones estratégicas, evaluaciones de personal, información de M&A.

Regla simple: Si no lo compartirías por email con un desconocido, no lo pegues en ChatGPT. Funciona como test rápido para el 90% de los casos.

Cómo canalizar el Shadow AI en cuatro pasos

La transición de Shadow AI a IA gobernada sigue un proceso práctico:

1. Auditoría de uso actual. Antes de legislar, descubre qué está pasando. Haz una encuesta anónima a los empleados: ¿qué herramientas de IA usas? ¿Para qué tareas? ¿Con qué datos? Te sorprenderá la variedad de usos y la profundidad de la adopción.
2. Publicar la política de uso. Difunde la Política IA Lite. Que sea corta (2-3 páginas), clara y con ejemplos concretos de lo que sí se puede hacer y lo que no. Incluye un canal de consultas para dudas.
3. Proveer alternativas corporativas. Si prohíbes el ChatGPT gratuito pero no ofreces alternativa, los empleados volverán al Shadow AI en una semana. Despliega una versión corporativa (Microsoft Copilot, ChatGPT Enterprise, Claude for Work) con DPA firmado, datos no usados para entrenamiento y SSO corporativo.
4. Monitorizar y mejorar. Establece un registro de herramientas de IA aprobadas. Revisa trimestralmente el uso, recoge feedback de los empleados y ajusta la política. Incluye las herramientas de IA en el inventario que exige el AI Act.

Ejemplos concretos: qué sí pueden hacer tus empleados con IA

Una política de IA útil no solo dice lo que está prohibido. Define también lo que está permitido y lo fomenta. Estos son ejemplos de usos de bajo riesgo que puedes aprobar desde el día uno:

• Redacción y corrección de textos: Usar IA para mejorar la redacción de emails, propuestas comerciales o documentación interna, siempre que no se incluyan datos confidenciales de clientes. Ejemplo: «mejora la redacción de este párrafo» es válido. «mejora este email para el cliente Acme S.L. con su facturación de 500K» no lo es.
• Investigación y resumen de información pública: Resumir artículos, comparar competidores con datos públicos, preparar briefings de sector. Ningún dato interno involucrado.
• Generación de código genérico: Pedir ayuda con funciones estándar, queries SQL genéricas o scripts de automatización sin revelar la arquitectura interna del sistema.
• Brainstorming y creatividad: Generar ideas para campañas, nombres de producto, estructuras de presentación. La IA como sparring creativo sin datos sensibles.
• Formación y aprendizaje: Usar IA como tutor para aprender nuevas habilidades, entender conceptos técnicos o practicar idiomas.

El principio es simple: si la tarea no requiere datos internos, confidenciales o personales, probablemente es un uso de bajo riesgo que puedes aprobar. Cuando el empleado necesite usar datos internos, debe usar la herramienta corporativa aprobada, no la versión gratuita.

Tip: Crea un canal interno (Slack, Teams) donde los empleados compartan cómo usan la IA para ser más productivos. Esto normaliza el uso, genera aprendizaje colectivo y te da visibilidad sobre la adopción real.

AI Act y Shadow AI: por qué la urgencia es real

El AI Act introduce obligaciones de trazabilidad e inventario que hacen el Shadow AI especialmente problemático:

• Obligación de inventario: Las organizaciones deben saber qué sistemas de IA utilizan, especialmente si alguno cae en la categoría de alto riesgo (Anexo III). Si un empleado de RRHH está usando ChatGPT para filtrar CVs, eso es un sistema de IA de alto riesgo que debería estar registrado, documentado y supervisado.
• Transparencia: El AI Act exige que las personas que interactúan con un sistema de IA sepan que lo están haciendo. Si un empleado usa IA para generar las respuestas de atención al cliente sin que el cliente lo sepa, la empresa incumple.
• Responsabilidad del despliegue: Bajo el AI Act, la responsabilidad recae en quien despliega el sistema de IA, no en quien lo fabrica. Si un empleado despliega ChatGPT para un uso de alto riesgo sin autorización, la empresa responde igualmente.

Las sanciones por incumplimiento del AI Act pueden llegar al 3% de la facturación global. Pero más allá de las sanciones, un incidente de fuga de datos a través de Shadow AI genera un daño reputacional desproporcionado: la narrativa de «una empresa que ni siquiera sabe qué herramientas de IA usan sus empleados» es devastadora en términos de confianza.

El Shadow AI es una oportunidad disfrazada de riesgo

El Shadow AI te está diciendo algo valioso: tus empleados ya ven el potencial de la IA y la están adoptando por iniciativa propia. Eso es una señal de innovación, no de amenaza. Pero sin gobernanza, esa innovación espontánea se convierte en un vector de riesgo legal, operativo y reputacional.

La respuesta no es prohibir. Es canalizar. Una Política IA Lite implementada en una semana, herramientas corporativas con garantías de privacidad y un inventario de usos de IA te permiten aprovechar la productividad del Shadow AI eliminando sus riesgos.

Si quieres hacer una auditoría de Shadow AI en tu organización, diseñar una política de uso de IA o desplegar herramientas corporativas con gobernanza, en Impulsa3 te ayudamos a crear tu política de uso de IA y la implementamos contigo.