Shadow AI: 71% de empleados usa IA sin aprobación

El Shadow AI —el uso de herramientas de inteligencia artificial por fuera de los mecanismos de conocimiento, autorización o supervisión de una empresa— dejó de ser una anécdota de oficina: el 71% de los empleados usa IA en el trabajo sin la aprobación de su empleador, según una investigación del National Cyber Security Centre del Reino Unido recogida por La Vanguardia. Para un founder, ese dato no describe una falta disciplinaria: describe una decisión de negocio que ya se está tomando dentro de su empresa, la haya autorizado o no.

Shadow AI: qué es y por qué dejó de ser un tema de IT

El término es una evolución del viejo Shadow IT, pero con una diferencia que cambia por completo el cálculo del riesgo. Radha Plumb, vicepresidenta de datos y transformación AI-first de IBM, lo resumió así para FedTech Magazine: antes el problema era dónde estaban los datos, ahora es qué está pasando con ellos.

La práctica, además, se parece poco a un ataque y mucho a la productividad. Alguien pega un informe interno en un chatbot para resumirlo. Alguien compara dos documentos. Alguien resuelve en minutos una tarea que le llevaba horas y decide no preguntar. En APD lo plantean con claridad: el Shadow AI no debería leerse como una conducta irresponsable, porque muchas veces revela que las herramientas corporativas disponibles no cubren una necesidad real del equipo.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Esa es la primera trampa para un founder: tratar el fenómeno como un problema de cumplimiento cuando en realidad es una señal de producto interno. Los colaboradores están diciendo, con sus propias suscripciones, qué necesita la operación.

La brecha no es tecnológica, es educativa

La columna publicada en Perfil por la fundadora de KREW HUB pone el foco donde duele: tener acceso a ChatGPT, Claude o Copilot no equivale a haber incorporado IA al trabajo. Saber escribir una instrucción es apenas una parte del aprendizaje. El resto es entender qué tareas conviene delegar, qué contexto necesita la herramienta, cómo verificar el resultado y quién asume la responsabilidad sobre él.

Los números acompañan esa lectura. El informe The Value of AI 2026 de Oxford Economics y SAP, citado por La Vanguardia, indica que prácticamente todos los empleados han usado alguna vez IA con fines profesionales: solo el 3% afirma no haberlo hecho nunca. La adopción, entonces, ya ocurrió. Lo que falta es el criterio.

El estudio de Netskope difundido por El Español agrega la dimensión de control: los usuarios de aplicaciones de IA generativa en entornos empresariales se triplicaron en el último año y las interacciones se multiplicaron por seis, pero el 47% accede con cuentas personales o aplicaciones no gestionadas por la organización. Dicho de otro modo, casi la mitad del uso de IA en la empresa es invisible para quien debería gobernarlo.

Las cuatro preguntas que ordenan la adopción

Antes de elegir herramientas, conviene definir el marco. La propuesta de la fuente original es directa y funciona como checklist de comité de dirección:

¿Para qué vamos a utilizarla?
¿Con qué información puede alimentarse?
¿Quién supervisa los resultados?
¿Cómo evaluamos si realmente mejora el trabajo?

Estas cuatro preguntas convierten iniciativas individuales en procesos compartidos, con responsabilidades definidas y objetivos medibles. Y explican por qué la capacitación en IA dejó de ser patrimonio exclusivo de Recursos Humanos: Finanzas necesita evaluar el retorno, Operaciones identificar mejoras concretas y los líderes fijar prioridades.

APD insiste en un punto complementario que suele arruinar los proyectos: las políticas internas deben ser concretas y aplicables. Una norma genérica que diga «usar la IA con responsabilidad» no sirve de nada. Lo que funciona es decir qué herramientas están permitidas, para qué tareas y qué información no puede salir nunca de la empresa.

Cuánto cuesta el Shadow AI (y cuánto tarda en detectarse)

El relevamiento AI Agents at Work 2026 de Okta, difundido por Yahoo Finance, pone cifras a un problema que muchas empresas creen no tener: el 67% de los trabajadores en Estados Unidos usa herramientas de IA no aprobadas, solo el 11% de esas aplicaciones es visible para IT y apenas el 34% de las organizaciones aplica a los agentes de IA los mismos estándares de seguridad que a sus empleados humanos.

La brecha entre percepción y realidad es el corazón del asunto. El mismo trabajo reporta que mientras el 90% de los ejecutivos confía en su nivel de visibilidad, el tiempo medio para detectar una herramienta de IA no autorizada es de 403 días. Y que ISACA registró que el 67% de los CISOs lidió con un incidente de seguridad vinculado a una herramienta no autorizada en el último año.

El costo también está medido: el Shadow AI le cuesta a las empresas unos US$670.000 anuales en promedio, con brechas que llegan a los US$4,99 millones, según las cifras recogidas por Yahoo Finance. Y va a escalar: Gartner proyecta que las compañías del Fortune 500 correrán más de 150.000 agentes de IA en 2028, frente a menos de 15 en 2025.

El riesgo legal ya dejó de ser hipotético

Según Infosecurity Magazine, el 11 de mayo de 2026 CB Financial Services presentó ante la SEC lo que se considera el primer formulario 8-K derivado de un incidente de Shadow AI: un empleado subió datos personales de clientes —nombres, números de seguridad social y fechas de nacimiento— a un chatbot fuera de las políticas de gobierno de datos del banco. El incidente no interrumpió la operación, pero la compañía lo declaró material por el volumen y la sensibilidad de la información expuesta.

El mismo medio cita el Cost of a Data Breach Report 2026 de IBM: los incidentes de seguridad vinculados a Shadow AI se duplicaron, pasando del 20% en 2025 al 43% en 2026.

En Europa la exposición no es menor. APD recuerda que cuando una aplicación de IA procesa datos personales, aplica el RGPD: la empresa debe saber qué recoge cada proveedor, con qué finalidad, dónde almacena la información y si la reutiliza. A eso se suma una amenaza técnica específica de esta era, la inyección de instrucciones o prompt injection, que consiste en esconder órdenes maliciosas en contenidos que la IA procesa para alterar su comportamiento.

En España, el 44% de las empresas ya se declara preocupada por el crecimiento del fenómeno, mientras que la media europea es del 30%, según la encuesta del grupo tecnológico Sharp citada por La Vanguardia.

¿Qué significa esto para tu startup?

Prohibir no funciona. La propia patronal catalana Pimec lo admite en declaraciones a La Vanguardia: es imposible controlar el uso, así que la vía es concienciar, formar y canalizar. Estas son cuatro acciones concretas para una empresa de cualquier tamaño:

Mapea el uso real antes de escribir la política. Una encuesta interna anónima revela más que cualquier monitoreo. En TrendAI, una revisión interna detectó 44 iniciativas de IA que la organización no había identificado. En Evoluxia, su fundador detectó a dos de once empleados usando IA por fuera del sistema interno.
Publica una política de tres capas: herramientas, datos y supervisión. Qué aplicaciones están habilitadas, qué información está prohibida en cualquier herramienta externa (datos de clientes, información de RRHH, código propietario) y quién revisa cada output antes de que se convierta en una decisión.
Capacita por rol, no en bloque. La fuente original lo ilustra bien: Legales usa la IA para comparar contratos y detectar cláusulas; Recursos Humanos, para descripciones de puestos y planes de formación; Marketing, para investigación de tendencias y análisis de campañas. La pregunta previa no es qué herramienta enseñar, sino qué problema real necesita resolver cada profesional.
Da alternativas corporativas. El Shadow AI aparece, en buena medida, porque la herramienta oficial no existe o no alcanza. El caso de Tendios, recogido por La Vanguardia, muestra el otro extremo: la empresa catalana paga unos 30.000 euros mensuales por modelos de IA con garantías de que sus datos no entrenan modelos de terceros y traza los movimientos de datos de su plantilla.

No todas las startups pueden sostener ese gasto, pero sí pueden adoptar la lógica: un modelo corporativo o de código abierto con datos cerrados cuesta mucho menos que una brecha. Y una política que nombra alternativas concretas se cumple; una que solo prohíbe, se ignora.

Conclusión

El Shadow AI no es una rebeldía generacional ni un fallo de disciplina. Es la evidencia de que la adopción de IA se movió más rápido que la estrategia que debía acompañarla, y de que existe una brecha educativa, no solo tecnológica.

Para un founder, la lectura es doble. Hacia adentro, la capacitación en IA dejó de ser un beneficio de RRHH y pasó a ser una decisión de negocio: impacta en productividad, costos, calidad y exposición legal. Hacia afuera, es una oportunidad de mercado: cada empresa hispanohablante que hoy improvisa con IA es una empresa que necesita criterio, proceso y supervisión.

Como resume la columna de Perfil, la IA acelera, pero el criterio decide. La pregunta ya no es si tu equipo usa inteligencia artificial, sino si alguien en tu empresa sabe para qué, con qué datos y bajo la responsabilidad de quién.