Índice de contenidos
Nadie ha tenido que instalar el shadow AI en tu empresa. Ya está ahí, en el móvil de un comercial, en el navegador de alguien de RRHH, en la pestaña que un desarrollador cierra rápido cuando pasa su responsable por detrás... No hace falta un plan para que aparezca. Basta con que exista una tarea tediosa y una herramienta gratuita que la resuelve en segundos.
En este artículo explicamos qué es exactamente el shadow AI, cómo se manifiesta en el trabajo diario y qué dicen los estudios más recientes sobre su alcance real.
Qué es el shadow AI
El shadow AI es el uso de herramientas de inteligencia artificial por parte de empleados sin que el departamento de IT, seguridad o dirección lo haya aprobado, evaluado o supervisado. Incluye desde pegar un texto en un chatbot gratuito desde una cuenta personal hasta instalar una extensión de navegador con funciones de IA, pasando por usar un asistente de código para depurar un problema sin que nadie sepa que ese asistente ha tenido acceso al repositorio.
El nombre viene de un concepto anterior, el shadow IT, que describía el uso de software no aprobado en general (una hoja de cálculo en Dropbox personal, una app de gestión de tareas instalada sin permiso...). El shadow AI comparte la lógica pero cambia en un aspecto: cuando alguien sube un archivo a un Dropbox personal, el riesgo es de acceso. Cuando alguien pega información confidencial en un chatbot de IA, el riesgo es de difusión. Y, ¿por qué?
Porque ese dato puede convertirse en parte del material con el que el modelo aprende a responder a otros usuarios.
> Te contamos más en nuestro modelo AIRGA.
Cómo aparece el Shadow AI el día a día
Su forma puede cambiar según el departamento. Por ejemplo:
- Un comercial que pega cifras de facturación en un chatbot gratuito para redactar una propuesta más rápido.
- Un responsable de RRHH que genera evaluaciones de desempeño con datos reales de empleados en una herramienta sin ningún filtro de seguridad.
- Un analista de finanzas que introduce proyecciones del trimestre en un modelo externo para preparar una presentación a la junta.
- Un desarrollador que pega código propietario en un asistente de programación para resolver un error.
- Un responsable de marketing que pide a una herramienta de IA que resuma llamadas con clientes, incluyendo información competitiva sensible.
En ningún caso hay intención de dañar a la empresa. Hay, casi siempre, una necesidad legítima de ir más rápido y una herramienta que resuelve esa necesidad mejor que cualquier proceso interno disponible.
Qué dicen los datos
Los estudios varían en la cifra exacta, pero coinciden en la dirección: el uso no autorizado de IA es ya mayoritario. Una encuesta de IDC de 2025 situó el uso de herramientas de IA no autorizadas en el 56% de los empleados, frente a solo un 23% que usa herramientas de IA aprobadas y gobernadas por su organización. Gartner, en su informe Predicts 2026: AI Risk and Governance, elevó esa cifra hasta el 68%.
| Dato | Fuente |
|---|---|
| 68% de los empleados usa IA no autorizada en el trabajo | Gartner, Predicts 2026: AI Risk and Governance (2025) |
| 56% de uso no autorizado frente a 23% de uso gobernado | IDC, encuesta 2025 |
| 47% de los usuarios de IA generativa accede a través de cuentas personales, evitando los controles de la empresa | Netskope, Cloud & Threat Report (2026) |
| 362 incidentes relacionados con IA en 2025, un 55% más que los 233 de 2024 | Stanford HAI, AI Index Report (2026) |
| El 97% de las organizaciones que sufrieron una brecha ligada a IA carecía de controles de acceso adecuados | IBM Security, Cost of a Data Breach Report (2025) |
| El 63% de las organizaciones con una brecha de este tipo no tenía ninguna política de gobierno de IA, o estaba todavía redactándola | IBM Security, Cost of a Data Breach Report (2025) |
Por qué prohibir el uso de IA no funciona
La reacción más habitual, cuando una dirección se entera de la magnitud real del problema, es bloquear: restringir dominios, prohibir el uso de determinadas herramientas, enviar un aviso recordando la política de seguridad... Es comprensible, pero no funciona bien, porque el empleado que necesita esa herramienta para cumplir su carga de trabajo no dejará de usarla.
El resultado de prohibir sin ofrecer alternativa no es que el shadow AI desaparezca, si no que se vuelve más difícil de ver. Y es ahí dónde aparece el problema porque, una empresa que no puede ver dónde está su riesgo, no puede gestionarlo.
Los beneficios del Shadow AI
Lo que reduce el shadow AI de forma medible no es la prohibición sino la sustitución: ofrecer una alternativa aprobada que resuelva la misma necesidad con las mismas garantías de rapidez que la herramienta pública, además de formación real sobre qué datos no se deben introducir en ningún sistema externo sin evaluar antes.
Eso exige, antes que nada, saber qué se está usando realmente. No se puede sustituir lo que no se ha identificado, ni gobernar lo que no se ha medido. Ahí es donde empieza cualquier programa serio de gobierno de IA. Con un inventario real de lo que ya está pasando dentro de la empresa, lo que ya se ha aprobado y lo que no.
En Bluak trabajamos precisamente esa primera fase a través de modelo AIRGA, nuestro servicio de diagnóstico y gobierno de riesgo de IA.
