Shadow AI: tu equipo ya usa IA sin que lo sepas (y qué hacer)

Lunes, nueve y media. Alguien de tu equipo tiene que contestar a un cliente enfadado. Copia el correo entero, con su nombre y el número de pedido, y lo pega en su ChatGPT personal. Tres minutos después tiene una respuesta mejor que la que habría escrito. Nadie se ha enterado.

Eso es shadow AI, o IA en la sombra: gente de tu empresa usando inteligencia artificial por su cuenta, con herramientas que la empresa no ha elegido y en cuentas que la empresa no controla. Pasa mucho más de lo que parece: en el estudio de KPMG y la Universidad de Melbourne de 2025, el 38% de los trabajadores en España reconocía haber usado la IA saltándose las normas de su empresa.

La reacción habitual cuando alguien lo descubre es prohibirlo. Me da la sensación de que es la peor salida posible, y en este artículo te cuento por qué y qué haría yo en su lugar: un plan de cuatro semanas y una política de uso que cabe en una página, que te dejo lista para copiar.

Qué es la shadow AI y por qué ya la tienes

El nombre viene de shadow IT, la tecnología que los empleados usan sin pasar por el departamento de informática, como el Dropbox personal o el WhatsApp con clientes. La shadow AI es lo mismo con inteligencia artificial, y se ha extendido mucho más rápido por una razón sencilla. Es gratis y ahorra tiempo desde el primer día.

En una pyme suele tener esta pinta:

• El comercial que pega la propuesta de un cliente para que se la "mejore".
• La persona de administración que sube un Excel con nóminas para que le haga un resumen.
• El técnico que copia un contrato para preguntar qué dice la cláusula de penalizaciones.
• Alguien que graba la reunión con una app de transcripción que nadie ha revisado.

Fuera de España pinta igual. En el mismo estudio, a escala mundial, el 48% de los empleados admite haber subido información de su empresa (financiera, de ventas o de clientes) a herramientas de IA públicas. Microsoft ya lo había visto venir en 2024: el 78% de quienes usaban IA en el trabajo se traía sus propias herramientas. En España, solo el 47% dice que su empresa tiene una política de uso responsable.

Si tienes más de cinco personas usando ordenador, mi apuesta es que esto ya está pasando en tu empresa. La pregunta útil es cómo pasa: en qué cuentas y con qué datos.

Por qué pasa (y no es mala fe)

Casi nadie usa ChatGPT a escondidas para fastidiar a la empresa. Lo usa porque le quita trabajo de encima y porque nadie le ha dado una alternativa. Si la herramienta oficial no existe, la gente se busca la suya.

Y aquí está la trampa de prohibir. Cuando Samsung se encontró con que sus ingenieros habían pegado código interno en ChatGPT, prohibió la IA generativa en los equipos de la empresa. Es una reacción comprensible en una multinacional con su propio departamento de seguridad. En una pyme, una prohibición sin alternativa solo consigue que el uso pase del ordenador del trabajo al móvil personal. Sigue pasando, pero ahora tampoco lo ves.

Los datos apuntan en la misma dirección. En el estudio de KPMG, el uso de IA a escondidas era más alto en las empresas que habían prohibido la IA generativa.

Lo cuento con más detalle, junto con otros casos reales, en ¿es seguro ChatGPT?

Los riesgos reales, sin alarmismo

Los riesgos de la shadow AI son bastante más aburridos que un ataque informático. Y bastante más probables:

• Datos de clientes donde no deben estar. Cuando alguien pega datos personales de un cliente en su cuenta personal, tu empresa está tratando esos datos con un tercero con el que no tiene ningún contrato. Con el RGPD en la mano, eso es responsabilidad tuya, no del empleado.
• Entrenamiento activado de serie. En los planes personales de ChatGPT, lo que se escribe puede usarse para entrenar el modelo salvo que alguien lo desactive. Y en una cuenta personal, nadie de tu empresa puede comprobar si está desactivado.
• Respuestas que nadie revisa. La IA se equivoca con mucha seguridad. Si el uso es clandestino, también lo es la revisión, y el error llega al cliente con el logo de tu empresa.
• Conocimiento que se va con la persona. Los prompts que funcionan, las conversaciones útiles, el historial de lo que se ha hecho: todo vive en una cuenta personal. Cuando esa persona se va, se lo lleva.

Ninguno de los cuatro se arregla prohibiendo. Los cuatro se arreglan con una cuenta de empresa y unas normas claras.

¿Es legal usar ChatGPT en la empresa?

Sí. Lo que importa es cómo. Hay tres condiciones que yo miraría:

• Una cuenta de empresa con contrato. Si por la herramienta van a pasar datos personales, el RGPD exige un contrato de encargado del tratamiento con el proveedor (el famoso DPA). Los planes de empresa de OpenAI, Google, Microsoft y Anthropic lo ofrecen; las cuentas personales, no. ChatGPT Business, por ejemplo, cuesta unos 21 € al mes por persona y es para equipos de 2 a 200.
• Que la plantilla sepa qué puede hacer. Desde febrero de 2025, el Reglamento europeo de IA obliga a las empresas que la usan a tomar medidas para que su plantilla sepa manejarla. En julio de 2026 se suavizó: ahora basta con poner medios para formar a cada persona según lo que sabe y el uso que hace, sin tener que garantizar un nivel concreto. Sigue siendo una obligación, y una formación documentada es la forma más sencilla de cumplirla. Lo explico en la guía de formación en IA para empresas.
• Que las normas estén escritas y comunicadas. La ley española de protección de datos (artículo 87 de la LOPDGDD) pide a las empresas que fijen criterios de uso de los dispositivos digitales que dan a la plantilla, con la representación de los trabajadores si la hay, y que los comuniquen. Decidir con qué herramientas se trabaja entra en tu capacidad de dirección. Lo que no tiene sentido es esperar que la gente adivine la norma.

Qué hacer: el plan en cuatro semanas

No hace falta montar un proyecto. Basta con un mes de calendario y unas cuantas horas repartidas.

Semana 1: pregunta qué se usa

Una encuesta anónima de cinco minutos: qué herramientas de IA usáis, para qué tareas y con qué tipo de información. Anónima de verdad, porque si la gente cree que la pregunta es una trampa, te contestará que no usa nada. Lo que salga te dirá dos cosas: qué tareas le importan al equipo y dónde está el riesgo de verdad.

Semana 2: elige una herramienta y da cuentas

Una herramienta oficial, con cuenta de empresa para quien la necesite. Si ya trabajáis con Google Workspace o con Microsoft 365, mira primero lo que viene incluido en vuestra licencia; Google incluye Gemini en los planes Business de Workspace desde enero de 2025, y Microsoft da Copilot Chat con protección de datos de empresa sin coste extra. Si no, ChatGPT Business es el camino más corto. Elige una. Dos herramientas oficiales el primer mes son una más de las que el equipo va a aprender a usar bien.

Semana 3: escribe la política de uso

En una página. Si ocupa más, nadie se la lee. Más abajo te dejo una plantilla para copiar y adaptar.

Semana 4: forma al equipo

La política sola no cambia nada. Lo que cambia los hábitos es una sesión práctica con casos de vuestro propio trabajo, como quitar los datos de un correo antes de pegarlo o decidir qué se hace con un documento confidencial. Si tienes plantilla en el régimen general, esa formación se puede pagar con el crédito de Fundae que tu empresa ya tiene.

Plantilla: política de uso de IA en una página

Cópiala, cambia lo que va entre corchetes y quita lo que no os aplique. Está pensada para una pyme sin departamento legal; si tenéis uno, que la revise.

La parte de "con cuidado" es la que más rendimiento da. La mayoría de tareas de trabajo salen igual de bien con los datos cambiados, y si quieres el detalle de qué contarle a una IA y qué no, lo tienes en el post sobre privacidad en ChatGPT.

Cuándo sí tiene sentido bloquear algo

Ordenar no significa permitirlo todo. Hay casos en los que yo sí cerraría el grifo, al menos hasta tener una herramienta y un contrato a la altura:

• Datos de salud, en clínicas, mutuas o cualquier empresa que los maneje.
• Sectores regulados con normas propias sobre externalizar datos, como banca, seguros o despachos con secreto profesional.
• Secretos industriales de los que vive tu empresa, como el código fuente o las fórmulas.

Incluso ahí, bloquear funciona mejor si va acompañado de una alternativa: una herramienta de empresa con las garantías que ese dato necesita, aunque cueste más.

La shadow AI es una buena señal

Suena raro, pero lo pienso de verdad. Si tu equipo usa IA a escondidas, es que ha encontrado algo que le ahorra tiempo y que no quiere soltar. Y eso es justo lo que les falta a muchas empresas. El problema es que lo hagan a oscuras. Encender la luz cuesta un mes.

Si quieres que lo ordenemos juntos, la formación para empresas trabaja con vuestros casos reales, y parte del temario es justo esto: qué se le puede contar a una IA y qué no, y cómo se configuran las cuentas. Y si antes de formar quieres decidir qué herramienta y qué cuentas os convienen, eso es una consultoría: diagnóstico y hoja de ruta, sobre cómo trabajáis hoy.