Alguien de tu equipo acaba de pegar un contrato en un chatbot gratuito para resumirlo en dos minutos. No quería causar ningún problema: quería terminar antes. Tampoco te lo ha contado. Eso es shadow AI, y lo más probable es que ya esté dentro de tu empresa.
Qué es el shadow AI
El shadow AI, o IA en la sombra, es el uso de herramientas de inteligencia artificial en el trabajo sin que la empresa las haya aprobado ni supervisado. Incluye chatbots con cuentas personales, extensiones del navegador, transcriptores de reuniones y cualquier aplicación que procese información interna fuera del control de la empresa.
El nombre viene del shadow IT, el software que los empleados instalan por su cuenta. La diferencia está en los datos: lo que se pega en una herramienta de IA generativa sale de la empresa al momento y, según el servicio y sus condiciones, puede conservarse.
Por qué también ocurre en empresas pequeñas
En una encuesta encargada por Okta en marzo de 2026, el 52 % de 492 trabajadores del conocimiento admitió usar IA no aprobada. Mientras tanto, el 90 % de los directivos consultados confiaba en tener visibilidad sobre las herramientas de IA de su organización. El dato cubre siete países, sin España, y varía mucho: en Alemania y Francia ronda el 30 %.
En España, el INE situó el uso de IA en el primer trimestre de 2026 en el 33,6 % de las empresas de 10 o más empleados y en el 21,4 % de las más pequeñas. Ese dato recoge lo que la empresa declara. Lo que hace cada persona con su móvil o su cuenta personal puede quedar fuera, y en una pyme sin departamento de sistemas nadie lo revisa.
Las causas son sencillas: muchas herramientas son gratuitas, no pasan por compras y resuelven una tarea real. Cuando nadie ha dicho qué se puede hacer, cada persona decide por su cuenta.
Qué riesgos tiene para una pyme
- Fuga de información. En el estudio de Okta, algunos trabajadores compartieron documentos confidenciales y datos de recursos humanos, y el 16 % llegó a facilitar sus credenciales.
- Datos personales. Si se introducen datos de clientes o empleados en un servicio externo, hay un tratamiento que debe cumplir el RGPD. Conviene revisarlo con quien lleve la protección de datos.
- Errores con apariencia de calidad. Un texto bien escrito puede contener cifras falsas. Es la puerta de entrada al workslop.
- Coste de un incidente. El informe de IBM de 2026, según el resumen de Baker Donelson, eleva del 20 % al 43 % los incidentes de shadow AI con empleados implicados. Sus costes millonarios proceden de 602 brechas y no son trasladables a una pyme, pero sí lo es la lección: el 68 % de las organizaciones con un incidente de IA no tenía política de gobierno de IA.
Cómo detectarlo sin vigilar a nadie
Empieza preguntando. Una encuesta anónima de cinco minutos sirve: qué herramientas usas, para qué tareas y con qué datos. Aclara antes que nadie será sancionado por lo que cuente, porque sin esa garantía no obtendrás respuestas útiles.
Después revisa lo que ya tienes: suscripciones en las tarjetas de empresa, aplicaciones conectadas a las cuentas de Google o Microsoft y extensiones instaladas en los equipos. Si quieres ir más allá y revisar registros o dispositivos, consulta antes a tu asesoría laboral, porque el control de la actividad tiene límites legales.
Cómo poner reglas en cinco pasos
- Clasifica la información con un semáforo sencillo, como el de la tabla inferior.
- Aprueba una opción mejor que la clandestina. Okta recomienda dar por hecho que el shadow AI existe y hacer que la herramienta aprobada sea la más cómoda. Prohibir sin alternativa empuja el uso a la sombra.
- Escribe una política de una página. Incluye herramientas permitidas, usos prohibidos y a quién preguntar. Trátala como cualquier otro procedimiento que quieras documentar.
- Forma al equipo. Incluye el tema al detectar necesidades de formación. El Reglamento europeo de IA ya pide medidas de alfabetización a quienes usan estos sistemas, aunque su reforma de 2026 no exige un nivel concreto.
- Revisa cada trimestre. Las herramientas cambian rápido y una norma olvidada deja de existir.
| Color | Tipo de información | Uso con IA |
|---|---|---|
| Verde | Textos públicos, ideas generales, ayuda para redactar | Permitido |
| Ámbar | Borradores internos sin datos personales | Solo en la herramienta aprobada |
| Rojo | Contratos, nóminas, datos de clientes, contraseñas | Prohibido salvo autorización expresa |
Preguntas frecuentes
¿El shadow AI es ilegal?
Usar una herramienta no autorizada no es ilegal por sí mismo. El problema aparece según los datos que se introduzcan, las condiciones del servicio y los compromisos de confidencialidad de la empresa.
¿Conviene prohibir la IA?
Una prohibición total suele esconder el uso en lugar de eliminarlo. Funciona mejor una lista de usos permitidos con una herramienta aprobada.
¿Qué diferencia hay con el shadow IT?
El shadow IT es cualquier tecnología sin aprobar. El shadow AI es la parte que usa inteligencia artificial, con un riesgo añadido: la información que se comparte y los resultados que se aceptan sin revisar.