Imagina la escena, porque seguramente ya ha pasado en tu negocio esta semana. Alguien de tu equipo tiene que redactar un correo delicado, resumir un contrato de veinte páginas o montar una tabla a partir de un listado de clientes. Abre ChatGPT, pega el documento entero —con nombres, importes y datos reales— y le pide ayuda. En treinta segundos tiene el resultado. Ha hecho su trabajo mejor y más rápido. Y, sin pretenderlo, acaba de sacar información confidencial de tu empresa y entregarla a un servidor ajeno sobre el que no tienes ningún control.
Esa práctica tiene nombre desde hace poco: IA en la sombra (del inglés shadow AI: usar herramientas de inteligencia artificial sin que la empresa lo sepa ni lo haya aprobado). No la hacen los rebeldes ni los descuidados: la hace la gente aplicada que quiere resolver antes. Y precisamente por eso está en casi todas partes.
Los números, para dimensionar el problema
El informe más citado sobre esto es el Cost of a Data Breach de IBM, que en su edición de 2025 puso cifras a algo que muchos intuían. El coste medio de una brecha de datos en el mundo fue de 4,44 millones de dólares. Cuando en esa brecha había IA en la sombra de por medio, la factura subía de media 670.000 dólares más. Y no es un caso raro: una de cada cinco empresas que sufrieron una brecha reconoció que la IA en la sombra tuvo algo que ver. Pese a ello, solo el 37% tenía una política para gobernar el uso de IA o detectar estos usos ocultos.
Traducido a román paladino: la mayoría de las empresas ya tiene el problema dentro y la mayoría no ha hecho nada para ordenarlo. No porque sean irresponsables, sino porque esto ha ido más rápido que cualquier norma interna. La tecnología entró por la puerta de atrás —la que abre cada empleado con su propio móvil— antes de que nadie decidiera cómo se usaba.
Conviene la honestidad: esas cifras son medias mundiales, infladas por grandes corporaciones. Una pyme no se juega cuatro millones. Pero el mecanismo es idéntico y, en proporción, más peligroso: un negocio pequeño no tiene un departamento de seguridad que amortigüe el golpe. Una sola fuga de datos de clientes —una lista, un expediente, una nómina— puede costarte una sanción de protección de datos, un cliente furioso y una reputación que costó años construir.
Qué se sale de tu control, exactamente
Cuando alguien pega un texto en una IA pública gratuita, pasan tres cosas que conviene entender sin alarmismo, pero también sin ingenuidad. La primera: ese dato viaja a los servidores de otra empresa, casi siempre fuera de tu país. La segunda: según el servicio y la configuración, esa información puede acabar usándose para seguir entrenando el modelo; es decir, deja de ser solo tuya. La tercera: tú pierdes el rastro. No sabes qué se subió, quién lo hizo, ni si algún día reaparece en la respuesta que la IA le da a otro.
Y aquí está el matiz legal que a una pyme española le toca de cerca. Si esos datos incluyen información de personas —clientes, pacientes, empleados—, meterlos en un servicio que no has evaluado puede ser un incumplimiento del Reglamento de Protección de Datos (el RGPD). Y si es información sensible de tu negocio —cómo fijas los precios, tu cartera, un contrato en negociación— estás regalando tu ventaja competitiva sin darte cuenta.
Las dos reacciones que no funcionan
Ante esto, la mayoría de las empresas cae en uno de dos extremos, y los dos fallan. El primero es prohibir: un correo del jefe diciendo «queda terminantemente prohibido usar ChatGPT». Suena contundente y no sirve de nada. La gente no deja de usar una herramienta que le hace el trabajo más fácil; simplemente la usa a escondidas, desde el móvil personal, donde ya no ves ni controlas nada. La prohibición no elimina la IA en la sombra: la vuelve más oscura.
El segundo extremo es mirar a otro lado: total, todo el mundo lo hace, ya se verá. Es la vía cómoda hasta el día en que deja de serlo. Entre el «prohibido todo» y el «que cada uno haga lo que quiera» hay un espacio sensato, y es el único que de verdad funciona: gobernar el uso en lugar de negarlo.
Gobernar, no prohibir: cuatro pasos
Poner orden en esto no exige un gran proyecto ni un software caro. En una pyme cabe en cuatro decisiones concretas:
- Averigua qué se está usando de verdad. Pregunta sin dramatizar: ¿quién usa qué herramienta de IA y para qué? La lista siempre sale más larga de lo que el dueño cree, y ese mapa es el punto de partida de todo lo demás.
- Escribe una regla clara de qué no se sube nunca. Dos líneas bastan: datos personales de clientes, información financiera, contratos y contraseñas no entran jamás en una IA pública. Lo que sí y lo que no, por escrito y en lenguaje de andar por casa.
- Da una alternativa aprobada. Aquí está la clave que casi todos se saltan: la gente usa la IA en la sombra porque le funciona. Si le quitas la herramienta sin darle otra, vuelve a la sombra. Ofrece una vía oficial y segura, y la tentación desaparece sola.
- Forma al equipo en el porqué, no solo en el qué. Quien entiende qué le pasa a un dato cuando lo pega en una web toma mejores decisiones que quien solo ha recibido una lista de prohibiciones.
La alternativa que quita la tentación
Ese tercer paso —dar una vía oficial— es donde una pyme puede convertir un riesgo en una ventaja. En lugar de que cada uno improvise con la IA pública, hay dos caminos según el caso. Uno es contratar las versiones de empresa de estas herramientas, que ofrecen por contrato la garantía de que no usan tus datos para entrenar. Otro, cuando el negocio maneja información propia y sensible, es montar un asistente cerrado sobre tus propios documentos: un copiloto que responde solo con la información de tu empresa, sin que nada salga fuera. El equipo tiene la ayuda que buscaba y el dato se queda en casa.
No hace falta elegir de entrada la opción más cara. Lo importante es que exista una respuesta a la pregunta «¿y entonces qué uso?». Sin esa respuesta, cualquier política se queda en un papel que nadie cumple. Con ella, la gente hace lo correcto porque resulta ser también lo más cómodo.
Y como el eslabón más débil de todo esto no es la tecnología sino el hábito, la pieza que sostiene lo demás es la formación. No un curso genérico, sino algo práctico: enseñar al equipo qué se juega cada vez que pega un texto en una IA y cómo sacar partido a la herramienta aprobada. Es justo lo que trabajamos en nuestra formación en IA para equipos, pensada para gente de negocio y no para ingenieros.
El criterio, en una frase
La IA en la sombra no es un problema de empleados desleales ni de tecnología peligrosa. Es la señal de que tu equipo ya ha adoptado una herramienta útil más rápido de lo que tu negocio la ha ordenado. La respuesta sensata no es perseguir a nadie ni prohibir el futuro: es poner unas reglas claras, dar una alternativa segura y explicar el porqué. Quien hace eso convierte un agujero silencioso en una ventaja, porque acaba usando la IA mejor —y con la cabeza más tranquila— que su competencia.
Si sospechas —y es lo más probable— que en tu negocio ya se está usando IA sin ningún orden, poner ese orden es más sencillo de lo que parece cuando alguien lo ha hecho antes. Es justo lo que aterrizamos en una sesión de consultoría: miramos qué se usa hoy, qué te expone y qué tres medidas te dejan cubierto sin frenar a tu equipo. Si lo prefieres directo, cuéntanos tu caso y lo vemos juntos.
