Índice de contenidos
Vamos con un ejemplo práctico. Pregúntale a un director de tecnología cuántos sistemas de IA usa su empresa. Probablemente te dé una cifra razonable y ejemplos como: el chatbot del CRM, el asistente de analítica, alguna automatización puntual...
Ahora pregúntale lo mismo a un empleado de marketing, a alguien de RRHH y a un comercial, y la cifra real de herramientas de IA que sale de sumar todas sus respuestas suele ser mucho más alta. Esa diferencia entre lo que la dirección cree que usa y lo que realmente se usa tiene nombre: shadow AI.
No es un problema exclusivo de las grandes tecnológicas. Es, de hecho, más común en empresas medianas que todavía no han definido una política clara sobre qué herramientas de IA se pueden usar y cuáles no.
Qué es el shadow AI y por qué ha crecido tan rápido
El shadow AI es el uso de herramientas de inteligencia artificial que nadie en la organización ha aprobado, evaluado o supervisado.
Alguien de contabilidad que pega cifras del trimestre en un chatbot gratuito para que le ayude a redactar un informe. Un responsable de RRHH que genera evaluaciones de desempeño con datos reales de empleados en una herramienta que no ha pasado ningún filtro de seguridad. Un desarrollador que pega código propietario en un asistente de programación a las once de la noche porque necesita depurar algo antes de la entrega.
Ninguno de estos casos parte de mala intención. Parte de una necesidad legítima de ir más rápido, combinada con la ausencia de una alternativa oficial igual de cómoda. Y ahí está la raíz del problema: cuando la empresa no ofrece una herramienta aprobada, el empleado no deja de usar IA, simplemente la sigue usando fuera del alcance de la empresa.
Antes de gobernar tu IA, tienes que saber dónde está. Este es nuestro modelo AIRGA. AI Risk Governance Assessment.
Los datos que deberían preocupar a cualquier dirección
Gartner situó en su informe Predicts 2026: AI Risk and Governance una cifra que conviene leer con detenimiento: el 68% de los empleados usa herramientas de IA no autorizadas en su trabajo diario. Y de las organizaciones que sí tienen algún tipo de supervisión, solo el 29% audita con regularidad el uso real de IA en sus equipos.
¿Y la consecuencia económica? Según el informe Cost of a Data Breach de IBM, una brecha de datos vinculada a shadow AI cuesta de media 670.000 dólares más que una brecha de seguridad convencional, porque resulta mucho más difícil rastrear qué información salió de la empresa, hacia dónde se dirigió y con qué modelo se procesó.
Pero hay un matiz importante: el riesgo no es solo la fuga de un dato puntual.
Con esto queremos hacer referencia a que ese dato, una vez introducido en una herramienta pública, puede convertirse en material de entrenamiento que el proveedor reutiliza en respuestas a otros usuarios. Y sí. Incluidos competidores.
¿Un ejemplo? El caso de un fabricante de semiconductores que perdió código fuente propietario después de que tres ingenieros lo pegaran en un chatbot para depurarlo en menos de un mes.
Por qué prohibir no resuelve nada
La primera reacción de muchas direcciones al enterarse de esto es prohibir. Bloquear dominios, restringir accesos, enviar un email recordando la política de seguridad...
Estas acciones pueden sonar a control por parte de la empresa y, en la práctica, funciona poco porque el empleado que necesita esa herramienta para cumplir su carga de trabajo no dejará de usarla. A partir de ahora la usará desde el móvil, desde una extensión del navegador o desde una cuenta personal que la empresa no podrá ver ni rastrear.
Por eso el bloqueo total no elimina el uso oculto. Y cuando eso pasa, la empresa pierde justo lo que más necesita para el cumplimiento del reglamento de IA: visibilidad sobre qué se está haciendo con sus datos.
Cómo se construye un inventario de IA
Un inventario de IA fiable se construye combinando tres fuentes:
- Descubrimiento tecnológico. Qué sistemas de IA existen formalmente: SaaS con IA embebida, automatizaciones, modelos propios, APIs contratadas...
- Descubrimiento organizativo. Entrevistas reales con las áreas que usan estas herramientas en el día a día. Aquí es donde aparece la mayor parte del shadow AI, porque la típica conversación abierta ("cuéntame cómo transcurre un día normal en tu área") saca a la luz herramientas que no son fáiclmente detectables con un simple formulario.
- Descubrimiento de datos. Qué información entra y sale de cada sistema, y si esa información es sensible, personal o estratégica.
Estas acciones son las que llevamos a cabo en nuestro modelo AIRGA. AI Risk Governance Assessment.
El resultado no debería ser una simple lista de herramientas. Debería ser un registro que, por cada sistema, indique:
- quién lo usa,
- qué datos maneja,
- qué decisión toma o influye, y
- qué cambios implicaría si lo desactiváramos mañana.
Esa última pregunta, en concreto, es la clave: hay herramientas que, si se apagaran, nadie notaría el cambio, y hay otras de las que depende un proceso crítico (y no siempre está documentado).
Por dónde empezar con el reglamento de IA
Tener el inventario es el primer paso.
Una vez identificados los sistemas, hay que clasificarlos por el impacto real de cada uno: legal, técnico, operativo, reputacional y de datos. No todos pesan igual, y tratar por igual una herramienta que genera borradores de email y otra que participa en decisiones de crédito o de selección de personal es el error más habitual en los primeros intentos de poner orden.
A partir de ahí, el trabajo debe empezar a generar forma y así empezar a gobernar tu IA. ¿Cómo lo puedes hacer? Documentar:
- quién es responsable de cada sistema,
- qué procedimiento seguir si algo falla, y
- qué plan concreto (a 30, 90 y 180 días) cierra primero los riesgos más graves.
Este último paso es el más importante para que el inventario se peuda poner en funcionamiento en caso necesario.
AIRGA. AI Risk Governance Assessment
En Bluak trabajamos este proceso completo a través del modelo AIRGA, un servicio de diagnóstico y gobierno de riesgo de IA que parte precisamente de ahí: construir el mapa real que debe seguir tu empresa antes de empezar a gobernar. Porque no se puede gestionar lo que no se ha medido, y si hablamos de shadow AI, lo que no se mide sigue ahí, trabajando fuera de control.
Recomendaciones de lectura
- Informe Cost of a Data Breach de IBM Security
- ¿Qué es ISO/IEC 42001:2023?
- Informe Predicts 2026: AI Risk and Governance de Gartner
