Qué es la IA en la sombra y cómo gestionarla

La inteligencia artificial (IA) en la sombra es el uso de herramientas de IA sin la aprobación de la empresa. Un ejemplo es cargar un contrato interno en una cuenta personal de un asistente de IA. La empresa puede perder el control sobre dónde queda el archivo y quién puede acceder a él. Definición de IBM

Por qué se usan herramientas sin aprobación

Un equipo puede necesitar resumir documentos y carecer de una herramienta aprobada para hacerlo. También puede desconocer qué datos puede usar con una herramienta pública. Identifica la tarea que las personas intentan resolver y las dificultades que encuentran con las opciones aprobadas.

El riesgo depende de los datos y del uso. Un borrador de texto genérico plantea riesgos distintos a los de una lista de clientes, un contrato o código fuente. La política debe explicar esos límites con ejemplos que los equipos reconozcan.

Qué muestran las encuestas y los incidentes

Microsoft y LinkedIn encuestaron a 31.000 personas en 31 países en 2024. El 78 % de los usuarios de IA encuestados dijo que llevaba sus propias herramientas al trabajo. La cifra describe a usuarios de IA de la muestra. Usar una herramienta propia no indica por sí solo que la empresa la prohíba. Índice de tendencias laborales de Microsoft y LinkedIn

El informe de IBM de 2025 estudió filtraciones de datos en 600 organizaciones. Una de cada cinco organizaciones estudiadas informó de una filtración relacionada con IA en la sombra. El resultado corresponde a organizaciones que sufrieron filtraciones. Informe de IBM sobre filtraciones de datos

Cómo responder

1. Ofrece una opción aprobada. Elige una herramienta que cubra la tarea real y que el personal pueda usar sin pasos innecesarios.
2. Explica las reglas. Indica qué herramientas están permitidas, qué datos pueden recibir y a quién consultar si surge una duda.
3. Revisa el uso. Usa registros autorizados para identificar servicios que requieren revisión. Aplica los límites de privacidad y acceso de la empresa.
4. Limita el acceso. Da a cada herramienta permiso solo para los datos que necesita. Revisa los cambios cuando se añadan fuentes o funciones.
5. Da formación. Usa ejemplos como contratos, archivos de clientes y código. Repite la revisión cuando cambien las herramientas o las tareas.

Si el equipo detecta que alguien compartió datos sensibles, aplica el proceso de respuesta a incidentes de la empresa. Identifica qué datos se compartieron y qué cuenta recibió el archivo. Guía de gobernanza de IA