Shadow AI en la empresa: riesgos y plan en 6 pasos

El shadow AI, o IA en la sombra, es el uso para el trabajo de herramientas de IA que la empresa no ha aprobado ni tiene registradas: una cuenta personal en un asistente de consumo, una extensión del navegador que resume páginas, una herramienta que transcribe reuniones o una función de IA activada en un programa que ya se usaba. El problema no es que la plantilla use la IA. El problema es que nadie sabe qué datos van a dónde ni en qué condiciones. La respuesta eficaz no es prohibir: es hacer un diagnóstico sin reproches, ofrecer herramientas aprobadas que cubran las mismas necesidades, fijar reglas breves y abrir una vía rápida para pedir herramientas nuevas.

Este artículo es información general, no asesoramiento jurídico. La protección de datos y el derecho laboral regulan tanto el uso de las herramientas como la forma de controlarlo; cuenta con tu delegado de protección de datos y, cuando proceda, con la representación de los trabajadores.

Por qué aparece el shadow AI

El shadow AI es la forma reciente de un fenómeno antiguo, el shadow IT. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) incluye expresamente las herramientas de IA no autorizadas en su guía sobre shadow IT y recuerda que el personal suele recurrir a ellas para sacar adelante su trabajo, no para saltarse las normas. Las causas son casi siempre las mismas:

• La herramienta está a un clic. Sin compra ni instalación, solo una cuenta gratuita.
• La ganancia es inmediata. Un acta en dos minutos en lugar de treinta.
• No hay nada disponible internamente, o pedir una herramienta lleva semanas.
• Las reglas se desconocen o son vagas. «Usa la IA con responsabilidad» no dice qué está permitido.
• La IA llega dentro del software que ya tienes. Una actualización añade un asistente al correo o al CRM sin que nadie lo haya decidido.

Qué formas adopta

Forma	Ejemplo	Lo que la empresa deja de controlar
Cuenta personal en un asistente de consumo	Pegar un contrato para obtener un resumen	Las condiciones de uso, la conservación y la reutilización de los datos
Extensión del navegador	Un asistente que lee todas las páginas abiertas	El acceso al correo web, al CRM y a la intranet
Transcripción de reuniones	Un bot que se une a las videollamadas	La grabación de terceros y el lugar de almacenamiento
Función de IA en un programa existente	Asistente activado por defecto en la herramienta de RR. HH.	Un uso nuevo, a veces sensible, sin evaluar
Automatizaciones personales	Un flujo que envía los correos entrantes a un modelo	Claves de API y transferencias de datos sin seguimiento
Conectores	Un asistente enlazado a la unidad compartida del equipo	Un acceso mucho más amplio que lo que el usuario pega

Los riesgos reales

• Fuga de datos confidenciales o personales. En los servicios de consumo, lo que se introduce puede conservarse o reutilizarse según las condiciones. Revisa las condiciones vigentes del servicio concreto.
• Falta de base contractual. Sin contrato de encargo del tratamiento y sin comprobar dónde se tratan los datos, el tratamiento de datos personales puede incumplir el RGPD.
• Errores sin revisar. Un resultado equivocado copiado tal cual en una oferta o en una carta compromete a la empresa.
• Usos regulados que nadie ha visto. Una herramienta usada para filtrar candidaturas puede ser de alto riesgo según la Ley de IA de la UE sin que nadie la haya clasificado.
• Conocimiento que se pierde. Los prompts, los ajustes y el historial están en cuentas personales y se van con la persona.
• Sin rastro. Ante la pregunta de un cliente o una auditoría, la empresa no puede decir qué se hizo.

Estos riesgos también existen con herramientas aprobadas; la diferencia es que ahí se conocen y están controlados.

Detectar el shadow AI sin vigilar a la plantilla

Empieza por los medios más sencillos y menos intrusivos.

1. Preguntar. Una encuesta anónima de cinco preguntas: qué herramientas, para qué tareas, con qué datos, con qué cuenta y qué falta internamente. Deja claro que no habrá sanciones.
2. Escuchar a mandos y equipos. La gente cuenta lo que usa cuando la pregunta va sobre la necesidad y no sobre la falta.
3. Mirar los gastos. Las notas de gastos y las suscripciones con tarjeta revelan las herramientas de pago.
4. Revisar las conexiones hechas con cuentas corporativas. La consola de administración de tu suite ofimática muestra las aplicaciones de terceros a las que los usuarios han dado acceso.
5. Usar los medios técnicos que ya tienes. El NCSC cita el inventario de activos y las herramientas de control de servicios en la nube (CASB) entre los métodos de detección, y señala sus límites.

Los dos últimos puntos afectan al control de la actividad de las personas trabajadoras. Antes de usarlos, comprueba con tu delegado de protección de datos y con tu asesoría laboral qué está permitido y de qué hay que informar, y cuenta con la representación de los trabajadores cuando la ley lo exija.

Un plan en seis pasos

1. Haz el diagnóstico

Reúne las respuestas en una tabla: herramienta, equipo, tarea, tipo de datos y cuenta utilizada. Es el comienzo de tu registro de herramientas de IA.

2. Clasifica los usos

Lo que encuentras	Decisión	Ejemplo
Necesidad legítima, datos no sensibles	Aprobar y añadir a la lista	Reformular textos de marketing públicos
Necesidad legítima, herramienta inadecuada	Sustituir por una herramienta aprobada	Resúmenes de documentos internos con una cuenta personal
Necesidad legítima, datos sensibles	Proteger: plan profesional, contrato, ajustes	Transcripción de reuniones con clientes
Uso con riesgo normativo	Suspender y hacer que se evalúe	Un asistente que ordena candidaturas
Ninguna necesidad real	Prohibir explicando el motivo	Una extensión que lee todas las páginas

Para los usos que afectan a decisiones sobre personas, el verificador de riesgo de la Ley de IA de la UE da una primera orientación.

3. Ofrece alternativas aprobadas

Es el paso que hace desaparecer el shadow AI. Si la herramienta aprobada es menos cómoda que la cuenta personal, el uso oculto seguirá. Elige un plan profesional cuyas condiciones sobre datos hayas leído, con cuentas vinculadas a la empresa; nuestras preguntas para un proveedor de IA sirven de guion.

4. Escribe las reglas

Una política breve: lista de herramientas aprobadas, regla sobre datos, revisión de resultados, usos que requieren aprobación y persona de contacto. Nuestra plantilla de política de uso de IA está lista para adaptar.

5. Forma al equipo

Una sesión corta con ejemplos sacados del diagnóstico: qué está permitido, qué no y por qué. La Ley de IA de la UE pide en cualquier caso medidas para apoyar la alfabetización en IA del personal; consulta alfabetización en IA: el artículo 4.

6. Abre una vía rápida para herramientas nuevas

Un formulario de pocas líneas y un plazo de respuesta anunciado, por ejemplo cinco días laborables. El NCSC insiste en este punto: un proceso de solicitud rápido evita que vuelvan los atajos. Repite la encuesta a los seis meses para medir el efecto.

Si ya se han introducido datos sensibles

1. No busques culpables. Un aviso de buena fe no debe tener consecuencias; de lo contrario, nadie volverá a avisar.
2. Aclara los hechos: qué datos, qué herramienta, qué cuenta y cuándo.
3. Revisa las condiciones de la herramienta y usa las opciones para borrar el historial o la cuenta.
4. Valora con tu delegado de protección de datos si se trata de una brecha de datos personales. Según el riesgo, el RGPD prevé documentarla internamente o notificarla a la autoridad de control en un plazo de 72 horas.
5. Corrige la causa: ¿faltaba una herramienta aprobada?, ¿se desconocía la regla?

Errores habituales

• Prohibir sin ofrecer nada. El uso continúa, en los móviles personales.
• Sancionar a los primeros que hablan. Pierdes tu mejor fuente de información.
• Fijarse solo en los asistentes de chat. Las extensiones, las herramientas de transcripción y las funciones integradas pasan desapercibidas.
• Aprobar una herramienta sin leer las condiciones del plan elegido. Suelen ser distintas en el plan gratuito y en el profesional.
• Tratar el tema una sola vez. Cada mes aparecen herramientas nuevas.

Checklist

• Se ha hecho una encuesta anónima y sus resultados están recogidos.
• Cada uso detectado tiene una decisión: aprobar, sustituir, proteger, suspender o prohibir.
• Al menos una herramienta aprobada cubre las necesidades más frecuentes.
• Las cuentas están vinculadas a la empresa.
• Hay una política breve, publicada y explicada.
• Los equipos saben a quién pedir una herramienta nueva y en cuánto tiempo tendrán respuesta.
• Existe un canal de aviso sin sanciones.
• Se ha contado con el delegado de protección de datos y, cuando procede, con la representación de los trabajadores.
• Hay fecha para repetir el diagnóstico.

Fuentes

• NCSC (Reino Unido): Shadow IT guidance
• Comisión Europea: preguntas y respuestas sobre la alfabetización en IA
• EUR-Lex: Reglamento (UE) 2016/679 (RGPD)