Shadow AI en la empresa: qué hacer cuando tu equipo ya usa IA sin que lo sepas

La shadow AI en la empresa es esto: tu plantilla ya usa IA todos los días y tú no lo sabes. Comerciales pegando propuestas en ChatGPT desde su cuenta personal, alguien de administración subiendo un Excel con datos de clientes a una herramienta gratuita que encontró en LinkedIn, un técnico resumiendo contratos con una extensión de navegador que nadie ha revisado. No es una hipótesis: es el estado por defecto de cualquier empresa española de más de 50 empleados en 2026. La pregunta no es si tienes shadow AI. Es cuánta tienes, qué datos están saliendo por ahí y qué vas a hacer con ella.

En Everglow lo vemos en casi todas las auditorías que hacemos como implantadora de IA: la dirección cree que “todavía no han empezado con la IA” y, cuando preguntamos equipo por equipo, resulta que llevan un año usándola. Sin criterio, sin control y sin capturar casi nada del valor. Este artículo va de cómo darle la vuelta a eso.

Qué es la shadow AI (y por qué es distinta del shadow IT de siempre)

Shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados sin conocimiento, aprobación ni supervisión de la empresa. Es la versión moderna del shadow IT — el Dropbox personal, el Trello que montó un equipo por su cuenta —, pero con tres diferencias que la hacen mucho más seria:

• La barrera de entrada es cero. No hace falta instalar nada ni pedir permisos a IT. Una pestaña del navegador y una cuenta gratuita bastan. Cualquier empleado con un problema y cinco minutos ya está dentro.
• El dato viaja hacia fuera por diseño. Un Trello no autorizado guarda tareas. Un LLM gratuito recibe lo que el empleado le pega: contratos, datos de clientes, código, cifras internas. En cuentas personales gratuitas, ese contenido puede acabar usándose para entrenar modelos o quedar fuera de cualquier control contractual.
• El output vuelve a entrar sin filtro. Lo que la IA devuelve — una cláusula, un cálculo, un texto para un cliente — se incorpora al trabajo real de la empresa sin que nadie haya validado su calidad. El riesgo no es solo lo que sale; es lo que entra.

Los datos disponibles apuntan todos en la misma dirección: la mayoría de los empleados que usan IA en el trabajo lo hacen, al menos en parte, con herramientas no proporcionadas por su empresa, y una parte relevante reconoce haber introducido información interna en ellas. Si tu política de IA consiste en no tener política, tu política real la están escribiendo tus empleados, uno a uno, con criterios distintos cada día.

Por qué prohibir la IA es la peor respuesta posible

La reacción instintiva de muchas direcciones es bloquear: capar dominios, prohibir ChatGPT por circular, mandar el email de “queda terminantemente prohibido”. Entendemos el impulso. Y casi siempre es un error, por tres razones:

1. No funciona. El empleado que resolvía en 20 minutos con IA una tarea que antes le llevaba dos horas no va a volver a las dos horas. Se pasa al móvil personal, al portátil de casa, a la herramienta que aún no has bloqueado. El uso no desaparece: se hace más invisible y por tanto más peligroso.
2. Castiga exactamente a quien no debes castigar. Los usuarios de shadow AI son, en general, tu gente más resolutiva: los que buscan cómo hacer su trabajo mejor sin esperar a que nadie les dé permiso. Prohibir es decirles que la iniciativa se penaliza.
3. Te deja fuera de la curva de aprendizaje. Mientras tú bloqueas, tu competencia está descubriendo qué casos de uso funcionan. La shadow AI, bien leída, es un mapa gratuito de dónde está el valor de la IA en tu empresa. Prohibirla es quemar el mapa.

La shadow AI no es un problema de disciplina. Es la señal más fiable que tienes de dónde necesita IA tu empresa: cada uso oculto es un proceso que duele lo suficiente como para que alguien haya buscado la solución por su cuenta.

Esto no significa que todo valga. Significa que el objetivo no es eliminar el uso, sino sacarlo a la luz y ponerle estructura.

Cómo detectar la shadow AI en tu empresa

No necesitas software de vigilancia ni un proyecto de seis meses. Necesitas mirar en tres sitios:

• Pregunta sin castigo. Una encuesta anónima de diez minutos — qué herramientas usas, para qué, con qué frecuencia, qué te ha funcionado — descubre el 80% del asunto. La condición es explícita: amnistía total. Si el mensaje es “cuéntanoslo para prohibírtelo”, nadie contestará la verdad. Si es “cuéntanoslo para daros una herramienta mejor”, contestan.
• Mira el tráfico, no a las personas. IT puede sacar en una tarde el tráfico agregado hacia dominios de herramientas de IA: cuáles, desde qué departamentos, con qué volumen. No buscas culpables; buscas un mapa de calor por equipos.
• Sigue el dolor. Los departamentos con más shadow AI son los que tienen tareas repetitivas de texto y datos: comercial, marketing, atención al cliente, administración, legal. Habla con los responsables y pregunta qué tareas se han vuelto “sospechosamente rápidas” últimamente.

Con esos tres inputs tienes algo muy valioso: una lista de casos de uso reales, ya validados por la práctica, ordenados por frecuencia. Es exactamente lo que una auditoría de procesos automatizables intenta construir — solo que aquí te lo ha adelantado tu propia plantilla.

De uso oculto a implantación: el plan en cuatro pasos

Detectar es la parte fácil. Lo que separa a las empresas que capturan el valor de las que se quedan en el susto es lo que hacen después. Nuestro playbook como implantadora de IA:

1. Amnistía y política mínima (semana 1-2)

Comunica que el uso de IA no se persigue: se ordena. Y publica una política de uso corta — dos páginas, no cuarenta — que diga qué se puede hacer con qué tipo de datos. La clave es una clasificación simple: datos públicos (verde), datos internos no sensibles (amarillo, solo en herramientas corporativas), datos personales o confidenciales (rojo, solo en entornos aprobados). Sin política, cada empleado decide solo; con una política kilométrica, nadie la lee. Corta y clara.

2. Canal oficial mejor que el clandestino (semana 2-6)

La única forma sostenible de acabar con la shadow AI es que la vía oficial sea mejor que la extraoficial. Eso implica licencias corporativas de un asistente serio — con protección de datos contractual, sin entrenamiento sobre tus datos, con SSO — para los perfiles que ya han demostrado que lo usan. Cuesta menos que un incidente de fuga de datos y muchísimo menos que la productividad que estás perdiendo por no capturarla. Si el canal oficial es peor, más lento o está racionado, la gente volverá a la sombra. Siempre.

3. Convertir los mejores casos en sistemas (mes 2-4)

Aquí está el salto de valor real. El uso individual de un chat — incluso ordenado y seguro — captura una fracción pequeña del retorno. El caso del comercial que redacta propuestas con ChatGPT, sistematizado, se convierte en un flujo conectado al CRM que genera el borrador con datos reales de la cuenta. El de administración que resume facturas, en una automatización de gestión documental. El del soporte que busca respuestas, en un RAG sobre tu base de conocimiento. La shadow AI te ha dicho dónde; la implantación convierte ese dónde en sistemas con dueño, métricas y ROI medible. Es el trabajo que hacemos en Everglow: coger los tres o cuatro casos con mejor ratio esfuerzo/impacto y llevarlos a producción, no repartir licencias y desear suerte.

4. Formación con criterio, no cursillo genérico (en paralelo)

La brecha entre el empleado que saca valor de la IA y el que le pega datos de clientes a una herramienta gratuita no es de talento: es de criterio. Formar a la plantilla en qué puede y no puede hacer, cómo escribir instrucciones útiles y cómo validar outputs reduce el riesgo más que cualquier bloqueo técnico. Y multiplica el retorno de las licencias que acabas de pagar.

Los errores que vemos repetirse

• Tratarlo como un proyecto de IT. La shadow AI es un fenómeno de negocio: nace en comercial, en operaciones, en administración. Si la respuesta la lidera solo IT, será una respuesta de bloqueo. Tiene que liderarla dirección con IT como soporte.
• Comprar licencias y declararlo resuelto. Licencias sin casos de uso sistematizados es shadow AI con factura corporativa: el uso sigue siendo individual, disperso y sin métricas. El retorno de la IA en empresa está en los procesos, no en las suscripciones.
• Hacer la encuesta y no mover nada. Peor que no preguntar es preguntar y no actuar: confirma que la vía oficial no va en serio y consolida la clandestinidad.
• Esperar al incidente. Casi todas las empresas que nos llaman por este tema lo hacen después de un susto — un documento sensible en una herramienta gratuita, un cliente que pregunta por qué su propuesta parece escrita por una IA con datos de otro. Actuar antes cuesta una fracción.

La lectura estratégica: tienes un piloto gratis en marcha

Cambia el marco un momento. Llevas meses queriendo “hacer algo con IA” y no sabías por dónde empezar. Pues resulta que tu empresa lleva un año ejecutando, sin saberlo, el piloto más honesto posible: decenas de empleados probando herramientas con problemas reales, votando con su tiempo qué casos de uso funcionan. Ningún consultor te daría un diagnóstico tan fiable.

Lo que falta es lo que la shadow AI no puede darte: seguridad jurídica sobre los datos, integración con tus sistemas, procesos con dueño y métricas, y escala más allá del empleado espabilado. Ese es exactamente el trabajo de una implantadora de IA, y es la diferencia entre “mi gente usa ChatGPT” y “mi empresa opera con IA”.

Si sospechas que tienes más shadow AI de la que te gustaría — la respuesta es sí —, empieza por la encuesta con amnistía esta semana. Y si quieres que el mapa se convierta en sistemas en producción con ROI medible, hablemos: auditamos lo que ya está pasando en tu empresa y lo convertimos en implantación con cabeza.