Alguien de tu equipo tenía que resumir un contrato de veinte páginas antes de las seis. Abrió una pestaña, pegó el documento en su cuenta personal de una IA y en treinta segundos tenía el resumen. Hizo bien su trabajo. Y nadie en la empresa sabe que ese contrato salió de aquí.
Eso tiene nombre: shadow AI, o IA en la sombra. Es el uso de herramientas de inteligencia artificial dentro de la empresa sin que nadie las haya aprobado ni sepa que están ahí. Es lo mismo que llevaba años pasando con el software —el empleado que se instalaba un programa por su cuenta porque el de la empresa no le servía—, pero ahora mucho más rápido y mucho más extendido, porque la barrera de entrada es cero: no hay que instalar nada ni pedir presupuesto. Basta un navegador.
No es rebeldía, es un atajo que funciona
Conviene entender de dónde sale, porque marca la solución. Nadie usa una IA a escondidas para saltarse las normas: la usa porque le ahorra dos horas y la herramienta oficial no existe o es peor. La IA en la sombra no aparece donde hay gente imprudente. Aparece donde hay una necesidad real sin cubrir.
Por eso casi siempre son los perfiles más resolutivos los primeros en usarla. No es un problema de disciplina. Es una señal.
A qué te expone de verdad
Dicho esto, que el motivo sea legítimo no elimina el riesgo. Y hay tres que conviene mirar de frente.
El primero son los datos. Cuando un contrato, un listado de clientes o una historia clínica se pega en una herramienta que la empresa no ha revisado, esa información sale de tu control. No sabes dónde se almacena, cuánto tiempo, ni si se usa para entrenar el modelo. Si esos datos incluyen información personal, además tienes una obligación legal sobre algo que ni siquiera sabes que está pasando.
El segundo es la trazabilidad. Si un presupuesto, un informe o una respuesta a un cliente salió de una IA y nadie lo sabe, tampoco nadie lo revisó con esa idea en la cabeza. El error deja de ser detectable: no es que esté oculto, es que nadie lo está buscando.
El tercero es la dependencia silenciosa. Un proceso que funciona porque alguien montó una automatización en su cuenta personal se rompe el día que esa persona se va. Y no se lo dejó documentado a nadie, porque oficialmente nunca existió.
Prohibirlo solo lo hace invisible
La reacción intuitiva es enviar un correo prohibiendo el uso de IA. Es la respuesta que peor funciona.
No elimina el uso: lo esconde. La gente sigue teniendo el mismo trabajo, la misma presión de tiempo y la misma herramienta a un clic, así que sigue usándola, solo que ya no lo comenta. Has perdido lo único que tenías: la posibilidad de enterarte. Y de paso has puesto a tu equipo en la posición de elegir entre cumplir la norma o entregar a tiempo.
La alternativa que sí funciona es ofrecer una vía aprobada que sea mejor que la sombra. Si la herramienta oficial es más cómoda que la clandestina, el problema se resuelve solo.
Tres pasos para ordenarlo
Primero, haz inventario sin buscar culpables. Pregunta abiertamente qué herramientas está usando cada uno y para qué, dejando claro que no hay consecuencias. Si alguien percibe que la respuesta va a traer problemas, no vas a obtener el mapa real y todo lo demás se construye sobre datos falsos.
Segundo, escribe una regla corta sobre datos. No un manual de veinte páginas que nadie leerá: una frase que todo el mundo pueda recordar sobre qué no sale nunca de la empresa. Datos personales de clientes, información financiera, documentación legal sin anonimizar. Una regla que se recuerda vale más que diez que se archivan.
Tercero, cubre las dos o tres necesidades que están generando el atajo. Ahí es donde se cierra el círculo: si la gente está pegando documentos en una IA personal para resumirlos, lo que necesitas no es una prohibición, es una herramienta de resumen aprobada y bien montada.
Ese tercer paso suele ser más pequeño de lo que parece. Casi siempre son las mismas tareas repetitivas de siempre: resumir, clasificar, redactar borradores. Lo vemos con detalle en 5 tareas que tu pyme puede automatizar con IA esta semana.
La IA en la sombra no es una señal de que tu equipo se esté descontrolando. Es una señal de que ya encontraron valor en la IA antes de que tú les dieras una forma segura de usarla. Eso es una buena noticia: la parte difícil, convencer a la gente, ya está hecha. Solo queda sacarlo de la sombra.