El shadow AI es el uso de herramientas de inteligencia artificial en el trabajo sin que la empresa lo sepa ni lo haya aprobado. Es la versión 2026 del shadow IT y, en la mayoría de las empresas pequeñas y medianas, ya está pasando: alguien pega un contrato en un chatbot para que se lo resuma, alguien más redacta con él un correo para un cliente, y nadie lo apuntó en ninguna parte.
El primer impulso es prohibirlo. Casi nunca funciona, porque las herramientas son gratis, viven en una pestaña del navegador y de verdad hacen a la gente más rápida. Lo que sí funciona es volver visible ese uso, poner delante del equipo una lista corta de herramientas aprobadas y fijar una regla que todos puedan recordar sobre qué datos pueden salir de la empresa.
Cómo se ve el shadow AI en la práctica
Rara vez es algo espectacular. Es un vendedor reescribiendo una propuesta en un chatbot gratuito, una contadora pidiéndole a un asistente que le explique una fórmula de la hoja de cálculo, un jefe de operaciones subiendo el PDF de un proveedor para sacarle las fechas clave, o una extensión del navegador que va resumiendo en silencio todos los documentos que alcanza a ver.
Ninguna de esas personas está tratando de causar un problema. Están haciendo lo que los empleados han hecho siempre con una herramienta útil: usarla antes de que a alguien le diera tiempo de escribir una política. Toda la historia cabe en la distancia entre lo rápido que llegaron estas herramientas y lo lento que la mayoría de las empresas escribió reglas para ellas.
Por qué prohibirlo sale al revés
Una prohibición general tiene tres resultados previsibles. El uso no se detiene: se muda al teléfono personal y a las cuentas personales, donde ya no tienes ninguna visibilidad. Tu mejor gente se vuelve más lenta que la competencia que no prohibió nada. Y el día que algo salga mal, nadie te lo va a decir, porque admitirlo es admitir que rompieron la regla.
La prohibición también se salta la pregunta de fondo. El riesgo no es la tecnología. El riesgo es qué datos se escriben en ella, y desde qué cuenta se escriben.
Los riesgos que sí hay que tomarse en serio
- Datos que salen de tu control. Las cuentas gratuitas de IA para consumidor no están cubiertas por los contratos de tu empresa. Los expedientes de clientes, los contratos, las cifras financieras y los datos personales que se peguen ahí quedan fuera de tu custodia.
- Obligaciones de confidencialidad y de contrato. Muchos acuerdos con clientes y muchos sectores regulados incluyen compromisos sobre dónde se procesan los datos y quién puede verlos. Una herramienta no aprobada es la forma más fácil de romper uno sin darte cuenta.
- Cuentas que no son tuyas. Cuando un empleado usa su cuenta personal de IA para trabajar, el historial, las instrucciones y todo lo que haya guardado se va con esa persona el día que se va.
- Respuestas equivocadas dichas con seguridad. Lo que escribe una IA suena autorizado aunque no lo sea. Las cifras, las citas y el lenguaje legal necesitan revisión humana antes de llegar a un cliente.
- Una nueva puerta para el phishing. Las apps falsas de IA, las extensiones maliciosas y las pantallas de acceso clonadas son una vía de ataque activa, y el personal ya se acostumbró a entrar rápido a cualquier herramienta nueva de IA.
Una forma práctica de adelantarse
1. Averigua qué se está usando ya
Pregúntale al equipo de frente, y pregunta sin consecuencias: ¿qué estás usando y para qué? Vas a aprender más en una junta honesta que con cualquier auditoría. Complétalo revisando qué extensiones del navegador y qué accesos ya existen en tu entorno.
2. Aprueba una lista corta
Dos o tres herramientas autorizadas valen más que un catálogo largo. Las cuentas de nivel empresarial bajo tu propio dominio te dan control administrativo y mantienen el trabajo en cuentas de la empresa, no en cuentas de cada empleado.
3. Escribe una página, no veinte
Una política de IA que nadie lee no protege a nadie. Una página con una lista verde clara, una lista roja y a quién preguntar sí se cumple. Nombra las herramientas aprobadas, nombra los datos que no se pegan en ningún lado y di a quién se le pregunta cuando haya duda.
4. Capacita en el criterio, no en el software
La gente no necesita un tutorial para escribir una instrucción. Necesita reconocer el momento en que lo que está a punto de pegar son datos de un cliente, y saber que una persona sigue siendo responsable de todo lo que escriba la herramienta.
5. Revísalo con calendario
Estas herramientas cambian cada mes. Una revisión trimestral de qué está aprobado, qué usa el equipo de verdad y qué cambió en las plataformas evita que la política se quede vieja al mes siguiente de escribirla.
Un punto de partida para tu política de una página
- Verde. Información pública, investigación general, lluvia de ideas, reescribir un texto propio, explicar conceptos y código.
- Rojo. Expedientes de clientes, datos personales, detalle financiero y de nómina, contraseñas y llaves, contratos con confidencialidad y todo lo que caiga bajo una obligación regulatoria.
- Cuentas. Solo cuentas de la empresa en las herramientas aprobadas. Nada de cuentas personales para trabajar, sin excepciones por comodidad.
- Revisión. Una persona responde por todo lo que produzca la IA y salga de la empresa. La herramienta nunca tiene la última palabra.
- Preguntar. Un contacto con nombre y apellido para las zonas grises, para que ante un caso poco claro haya una pregunta y no una suposición.
Puntos clave
- El shadow AI ya está dentro de casi todas las empresas. La decisión no es si tu equipo usa IA, sino si ese uso es visible y está gobernado.
- Controla los datos y las cuentas, no el entusiasmo. Herramientas de nivel empresarial aprobadas más una lista roja clara resuelven la mayor parte del riesgo real.
- Corto y aplicado gana a largo e ignorado. Una política de una página, revisada cada trimestre, hace más que un manual que nadie abre.
¿No sabes qué está usando ya tu equipo, o cómo escribir reglas que le queden a tu empresa? Jorge ayuda a empresas de Austin a adoptar IA sin apostarse sus datos. Conoce los servicios de IA gestionada o agenda una consulta gratuita.
