Shadow AI: la inteligencia artificial que tu empresa ya usa sin saberlo
Shadow AI es la inteligencia artificial que ya se usa en tu empresa sin que nadie la haya aprobado. Sin embargo, no es un ataque ni una filtración deliberada. Es gente competente resolviendo su trabajo con la herramienta que tenía a mano, y por eso resulta tan difícil de ver.
Qué es exactamente el shadow AI
En primer lugar, el término viene del shadow IT de hace quince años, cuando los equipos instalaban software por su cuenta porque el oficial era lento. Ahora pasa lo mismo, aunque con una diferencia importante: la IA se lleva datos consigo.
Es decir, cuando alguien pega un contrato en un chatbot gratuito para que se lo resuma, no está instalando un programa. Está enviando información de la empresa a un tercero del que nadie ha leído las condiciones.
Además, lo hace con buena intención y normalmente fuera del radar de sistemas, porque todo ocurre dentro del navegador.
Cuánto shadow AI hay en realidad
Hay, por ejemplo, una cifra que ayuda a dimensionarlo. Deloitte encuestó en 2026 a 25.000 personas en Reino Unido y encontró que, entre quienes usan IA en el trabajo, un 31 % lo hace sin que su empresa lo sepa.
Es un dato británico, no español, así que conviene tomarlo como orden de magnitud y no como fotografía exacta. Aun así, coincide con lo que vemos en los inventarios que hacemos: la dirección cree que hay dos o tres herramientas y aparecen entre diez y veinte.
Por otro lado, lo interesante no es el porcentaje. Es que la mayoría de esas personas pagan la suscripción de su bolsillo, lo que significa que están invirtiendo dinero propio en hacer mejor su trabajo. Castigar eso es la peor reacción posible.
Por qué el shadow AI es un problema de verdad
Vamos a separar el riesgo real del alarmismo, porque no todo lo que se cuenta es grave.
- Datos de clientes en servicios sin contrato. Este sí es serio de verdad, sobre todo si hay datos personales o información sujeta a confidencialidad.
- Entrenamiento sobre tus datos. Las versiones gratuitas suelen permitirlo; las de empresa, no. Esa es la diferencia que importa.
- Decisiones tomadas con resultados sin verificar. De hecho, un dato inventado que llega a un cliente hace más daño que cualquier filtración.
- Dependencia invisible. Porque si un proceso depende de la cuenta personal de alguien, ese proceso se cae el día que esa persona se va.
- Duplicidad de gasto. Menos grave, aunque llamativo: tres personas pagando tres herramientas que hacen lo mismo.
En cambio, hay un riesgo que se exagera. El miedo a que «la IA aprenda nuestros secretos» suele estar mal planteado. El problema concreto no es filosófico: es contractual y se resuelve leyendo qué firmaste.
Cómo detectar el shadow AI sin montar una cacería
Aquí es, además, donde la mayoría se equivoca de enfoque. Es decir, si lo planteas como un control, la gente lo esconde mejor y te quedas sin saber nada.
- Anuncia una amnistía explícita. Por escrito y de parte de dirección: contar lo que usas no tiene consecuencias.
- Pregunta por tareas, no por herramientas. «¿Qué parte de tu trabajo va más rápido que hace un año?» saca mucho más que «¿usas ChatGPT?».
- Revisa las aplicaciones conectadas a vuestro correo y a vuestro almacenamiento en la nube. Ahí aparecen, sobre todo, los transcriptores y los asistentes.
- Mira los gastos recurrentes pequeños, tanto en tarjetas de empresa como en notas de gasto.
- Comprueba, por último, las extensiones del navegador en los equipos corporativos.
Después, vuelca todo en un inventario de sistemas de IA, que es donde esto deja de ser una anécdota y se convierte en gestión.
Qué hacer con lo que encuentres
La reacción instintiva, en primer lugar, es prohibir. Por tanto, conviene decirlo claro: prohibir no funciona y además destruye información útil.
Porque si bloqueas las herramientas, la gente las usará desde el móvil personal y dejarás de enterarte. Habrás cambiado un riesgo que ves por uno que no ves.
En cambio, lo que sí funciona es más aburrido y más eficaz. Primero, dar licencias de empresa para las dos o tres herramientas que de verdad usa el equipo, porque el coste es ridículo comparado con el riesgo. Segundo, escribir una política de uso de IA de dos páginas que diga qué se puede subir y qué no. Y tercero, formar media hora a quien lo necesite.
De hecho, el shadow AI casi siempre señala un fallo de la empresa, no del empleado. Si alguien paga de su bolsillo una herramienta para trabajar mejor, el problema es que no se la habéis dado vosotros.
Cómo evitar que vuelva a aparecer
No se evita del todo, así que conviene asumirlo. Aun así, lo que sí se puede es hacer que el camino oficial sea el más cómodo.
Eso significa tres cosas: que pedir el alta de una herramienta nueva cueste dos minutos, que haya una respuesta en días y no en meses, y que exista alguien con nombre a quien preguntar. Si el proceso oficial es más lento que abrir una cuenta gratuita, ya sabes qué va a pasar.
Preguntas frecuentes sobre el shadow AI
¿Puedo saber qué herramientas usan desde sus móviles personales?
No, y tampoco deberías intentarlo, aunque técnicamente hubiera forma. Por eso la vía es la amnistía y las licencias, no la vigilancia.
¿Basta con bloquear el acceso a ChatGPT?
No, porque hay cientos de alternativas y el bloqueo solo desplaza el uso a donde no lo ves. Además, deja fuera las funciones de IA que ya están dentro de vuestras propias herramientas.
¿Esto es un problema de protección de datos?
Puede serlo, sobre todo si hay datos personales o información de clientes. En ese caso conviene revisarlo con quien lleve vuestra protección de datos antes de regularizarlo.
¿Por dónde empiezo mañana?
Empieza, sobre todo, por el correo a todo el equipo anunciando la amnistía. Es gratis, tarda cinco minutos y es lo que desbloquea todo lo demás.
Si sospechas que lo tienes, hablemos
En ArtiLabs sacamos esto a la luz en una semana y sin dramas, porque el objetivo no es señalar a nadie sino poder decidir. Si quieres saber qué hay en tu empresa, cuéntanos tu caso. Los datos de Deloitte están recogidos en este resumen del estudio.
