Shadow AI: Qué Es y Por Qué el 70% de tus Empleados la Usa a Escondidas

Mientras lees esta frase, con toda probabilidad alguien en tu empresa está pegando un archivo de cliente, un presupuesto o un fragmento de código en ChatGPT. Nadie se lo ha pedido, no está escrito en ningún procedimiento y, muy probablemente, no ve nada de malo en ello: solo intenta trabajar más rápido. Este fenómeno tiene un nombre concreto, Shadow AI, y hoy es uno de los riesgos menos vigilados y más extendidos en las pymes.

Las estimaciones que circulan en 2026 hablan de una horquilla de entre el 68% y el 76% de empleados que usa herramientas de IA generativa sin que la empresa lo sepa ni lo haya autorizado. El dato llama la atención porque no afecta solo a las grandes corporaciones, sino sobre todo a las empresas medianas y pequeñas, donde no existe un departamento de IT estructurado y donde nadie ha escrito todavía una línea de normativa sobre el uso de la IA. Si quieres situar el tema dentro de un recorrido más amplio, este artículo enlaza con nuestra guía completa de consultoría de IA para empresas, donde la gobernanza es uno de los pilares.

Aquí vemos qué es realmente la Shadow AI, por qué surge, qué riesgos concretos plantea a nivel de GDPR y AI Act y, sobre todo, cómo se construye una policy interna que no bloquea el trabajo, sino que lo pone a salvo.

Shadow AI: qué es, en palabras sencillas

La Shadow AI (literalmente "IA en la sombra") es el uso de herramientas de inteligencia artificial por parte de los empleados fuera de cualquier control, aprobación o policy de la empresa. Es el primo reciente de la "Shadow IT", el fenómeno por el que las personas en una empresa usan software y servicios no autorizados por IT: piensa en quien comparte archivos en un Drive personal en lugar de en los sistemas corporativos.

La diferencia es que la Shadow AI es mucho más fácil de activar y mucho más arriesgada. Basta con un navegador y una cuenta gratuita. Sin instalación, sin permiso que pedir, sin rastro visible. Estas son las formas más habituales en que se presenta:

• Chatbots generalistas: ChatGPT, Gemini, Claude, Copilot usados con cuentas personales para escribir correos, resumir documentos, analizar datos.
• Extensiones de navegador con IA: plugins que resumen páginas, traducen, generan texto, a menudo con permisos de lectura sobre todo lo que aparece en pantalla.
• Funciones de IA dentro de herramientas ya en uso: la generación automática en Notion, Canva, Grammarly, los "copilotos" integrados en software de terceros.
• Transcriptores de reuniones: bots que entran en llamadas de Zoom o Meet, graban y sintetizan, sacando fuera conversaciones confidenciales.

El punto clave es este: en la mayoría de los casos no hay mala fe. El empleado no está "robando datos", está intentando hacer las cosas antes. Pero el resultado es el mismo: información de la empresa que sale de un perímetro controlado y entra en sistemas de los que la empresa no sabe nada.

Por qué el 70% de tus empleados la usa (y no te lo dice)

Entender el "por qué" es fundamental, porque la solución no es la prohibición. La prohibición seca es la receta perfecta para empujar el uso todavía más hacia la sombra. Las razones por las que la Shadow AI se extiende son tres, todas muy humanas.

1. La herramienta funciona y ahorra tiempo

Un correo bien redactado en treinta segundos, un acta resumida en un minuto, un borrador de oferta listo antes del café. El valor percibido es inmediato y tangible. Ningún procedimiento interno puede competir con este nivel de gratificación instantánea.

2. La empresa no ha dicho nada

En el vacío normativo, cada uno decide por su cuenta. Si no existe una policy, no existe un "prohibido": el empleado presume de buena fe que está bien. El silencio de la empresa se interpreta como permiso implícito.

3. El miedo a preguntar

Muchos temen que preguntar "¿puedo usar ChatGPT para esto?" se interprete como "no soy capaz de hacerlo solo". Así que prefieren usarlo a escondidas, quizá pegando el texto, generando el resultado y reescribiéndolo con sus propias palabras. Este comportamiento, además de ser el más extendido, es también el más difícil de detectar.

La consecuencia es que la Shadow AI no es un problema de personas indisciplinadas, sino de gobernanza ausente. Y como todos los problemas de gobernanza, se resuelve con reglas claras y alfabetización, no con la represión. Es el mismo principio que guía un buen recorrido de formación en inteligencia artificial para empleados.

Los riesgos concretos de la Shadow AI

Pasemos de lo genérico a lo específico. Cuando un empleado pega datos en una herramienta de IA no autorizada, ¿cuáles son los daños reales a los que te expones? Los dividimos en cuatro áreas.

Riesgo GDPR y protección de datos

Es el más inmediato. Si un empleado pega en un chatbot un listado de clientes con nombres, correos y números de teléfono, o bien una historia clínica, un currículum o datos bancarios, está realizando una transferencia de datos personales a un proveedor externo (a menudo fuera de la UE) sin ninguna base jurídica, sin información previa y sin contrato de tratamiento (DPA). A nivel del Reglamento UE 2016/679 (GDPR), esto puede constituir:

• Tratamiento ilícito de datos personales (infracción de los artículos 6 y 9).
• Transferencia no conforme de datos a terceros países (Capítulo V).
• Ausencia, por parte del responsable, de todo control sobre dónde acaban los datos y durante cuánto tiempo permanecen.

El Garante italiano para la protección de datos personales ya se ha movido en este terreno, con la conocida resolución que en 2023 limitó temporalmente ChatGPT en Italia. Las sanciones del GDPR llegan hasta 20 millones de euros o el 4% de la facturación mundial anual, la cifra que sea más alta.

Riesgo de secretos industriales y propiedad intelectual

Presupuestos, tarifas confidenciales, estrategias comerciales, código fuente propietario, fórmulas, planos técnicos. Todo lo que pegas en una herramienta de consumo puede, según las condiciones de uso, ser utilizado para entrenar los modelos o de algún modo escapar a tu control. El caso más citado sigue siendo el de los ingenieros de Samsung que en 2023 pegaron código confidencial en ChatGPT, lo que llevó a la empresa a prohibir su uso.

Riesgo AI Act

El Reglamento UE 2024/1689 (AI Act) se vuelve progresivamente operativo, con obligaciones relevantes ya desde el 2 de agosto de 2026. La Shadow AI cruza con el AI Act en dos frentes. Primero: el artículo 4 obliga a toda organización que use sistemas de IA a garantizar un nivel adecuado de alfabetización (AI literacy) a su personal. Si la mitad de tus empleados usa IA a escondidas, no solo no estás formando a nadie, sino que ni siquiera sabes quién usa qué. Segundo: no puedes clasificar por categoría de riesgo sistemas cuya existencia ignoras. Profundizamos en plazos y obligaciones en el artículo dedicado a las obligaciones del AI Act para las pymes.

Riesgo de calidad y fiabilidad

Está además el riesgo operativo. Un resultado de IA usado sin control puede contener errores (las llamadas "alucinaciones"), datos inventados, cálculos equivocados. Si acaba en un contrato, en un presupuesto o en una comunicación a un cliente sin revisión humana, el daño reputacional y económico es real.

Cómo gestionar la Shadow AI: de la policy a la práctica

La buena noticia es que este es uno de los "quick win" más accesibles en el camino de adopción de la IA. No hace falta una inversión tecnológica enorme, hace falta claridad. Aquí tienes un recorrido en cinco pasos que puedes poner en marcha en pocas semanas.

Paso 1: mapea qué está pasando realmente (assessment)

Antes de escribir reglas, tienes que saber qué está ocurriendo ya. Un breve assessment interno sobre el uso de la IA en los procesos, hecho con cuestionarios anónimos y entrevistas, te dice qué herramientas se usan, para qué tareas y sobre qué datos. Casi siempre la fotografía sorprende: se descubre más uso del que se imaginaba, y concentrado en áreas inesperadas como administración o comercial.

Paso 2: clasifica los datos, no solo las herramientas

No todos los datos son iguales. La regla de oro es fácil de comunicar: divide la información en tres niveles.

Nivel	Ejemplos	Regla de IA
Públicos	Textos ya publicados, material de marketing, descripciones de producto	Uso libre incluso en herramientas de consumo
Internos	Borradores, apuntes, procedimientos no confidenciales	Solo en herramientas corporativas aprobadas
Confidenciales/personales	Datos de clientes, datos sanitarios, tarifas, código, contratos	Nunca en herramientas no certificadas y sin DPA

Paso 3: escribe una policy de IA breve y legible

Olvida los documentos legales de cuarenta páginas que nadie leerá. Una policy eficaz cabe en dos o tres páginas y responde a preguntas concretas: qué herramientas están aprobadas, qué no se puede pegar nunca, a quién contactar para proponer una nueva herramienta, qué hacer en caso de error. Debe estar escrita en español sencillo, con ejemplos. El objetivo no es asustar, es dar un camino claro.

Paso 4: ofrece una alternativa autorizada

Este es el paso que casi todos olvidan y es el más importante. Prohibir sin ofrecer una alternativa no funciona: la gente seguirá usándola a escondidas. Si le das al equipo una versión enterprise de una herramienta de IA (con configuraciones que excluyen los datos del entrenamiento y con contrato de tratamiento), o bien un asistente interno construido sobre una base de conocimiento corporativa con enfoque RAG, eliminas el incentivo para usar las versiones de consumo. Haz que el camino seguro sea también el más cómodo.

Paso 5: forma y monitoriza

La policy sin formación se queda en papel. Una hora de formación práctica, con ejemplos de qué hace y qué no hace un empleado medio, vale más que diez circulares. Es también la forma de cumplir con la obligación de alfabetización en IA del artículo 4 del AI Act. La monitorización, por último, no debe ser vigilancia: bastan revisiones periódicas y un canal abierto donde las personas puedan señalar nuevas herramientas sin miedo a ser reprendidas.