El shadow IT de IA no es una novedad ya, por desgracia es la norma. En la mayoría de empresas medianas y grandes hay personas en prácticamente todos los departamentos usando herramientas de IA que IT no sabe que están usando. Algunas las descargaron ellos mismos, otras son extensiones de navegador, otras son funcionalidades de IA incorporadas en herramientas SaaS que la empresa ya tiene contratadas pero que nadie evaluó antes de que se activaran.
El problema no es el uso en sí, el problema es que ese uso no ha pasado por ningún proceso de evaluación: nadie sabe qué datos procesa, qué condiciones tiene el proveedor ni qué riesgos implica.
Por qué el shadow IT de IA es distinto al tradicional
El shadow IT clásico, una app de almacenamiento no autorizada o un SaaS contratado por un departamento sin pasar por IT, ya existía. Lo nuevo de la IA es la escala y la velocidad. Las herramientas de IA gratuitas son accesibles en segundos desde cualquier navegador, sin instalación ni tarjeta corporativa. El ciclo desde «lo he visto en LinkedIn» hasta «lo estoy usando con datos de clientes» puede ser de minutos. Y la mayoría de estas herramientas procesan los inputs que reciben de formas que el usuario no conoce ni ha evaluado.
Además, el impacto potencial es diferente. Una app de notas no autorizada tiene un perfil de riesgo bajo. Una herramienta de IA que procesa datos de clientes, que resume contratos confidenciales o que asiste en decisiones de selección de personal tiene un perfil de riesgo completamente distinto.
Cómo detectarlo sin crear conflicto
La forma más directa y menos invasiva es preguntar. Una encuesta anónima al equipo con tres preguntas, qué herramientas de IA usas en tu trabajo, para qué y con qué frecuencia, produce un mapa real del uso en cuestión de días. El anonimato reduce la autocensura y da datos más fiables que cualquier análisis técnico.
El tono importa tanto como el método. La encuesta no debe comunicarse como una auditoría de cumplimiento ni como el preámbulo de una política restrictiva, debe comunicarse como lo que es: la empresa quiere entender cómo trabaja realmente el equipo para poder darle las herramientas adecuadas con las garantías correctas.
Los otros dos métodos de detección
El análisis del tráfico de red puede revelar conexiones regulares a servicios de IA externos como OpenAI, Anthropic, Google AI o Hugging Face. Es un complemento útil para verificar el alcance del uso, no el punto de partida. Antes de hacerlo conviene verificar que el marco legal y la política de privacidad de la empresa lo permiten.
La revisión de las herramientas SaaS existentes suele ser la más reveladora. Muchas plataformas que la empresa ya tiene contratadas han incorporado módulos de IA en los últimos dos años: Salesforce, HubSpot, Notion, Slack o Microsoft 365. Estas funcionalidades a menudo se activan por defecto sin que nadie las haya evaluado. Revisar contratos y configuraciones suele destapar IA ya en uso que nadie había identificado como tal.
Qué hacer con lo que encuentres
Lo primero es no prohibir sin ofrecer alternativa. Prohibir herramientas que el equipo usa y que le aportan valor real genera fricción sin resolver el problema. El equipo seguirá usándolas de forma más discreta y con menos trazabilidad. La respuesta efectiva es regularizar, no prohibir.
Lo segundo es crear un proceso de aprobación ágil. El equipo usa herramientas no autorizadas en parte porque el proceso de aprobación de IT es lento o inexistente. Un proceso ligero, con formulario simple, evaluación en 48 o 72 horas y decisión documentada, elimina el incentivo para el shadow IT. Si pedir permiso es fácil y rápido, la mayoría de personas prefiere hacerlo.
Lo tercero es establecer una lista corta de herramientas aprobadas, con las condiciones de uso de cada una. Eso reduce el shadow IT más que cualquier política restrictiva, porque el equipo tiene alternativas con garantías y no necesita buscarse la vida en herramientas sin evaluar.
Explicar el porqué, no solo el qué
Las políticas que el equipo entiende se cumplen mejor que las que se imponen. Explicar por qué una herramienta no está aprobada, qué datos procesa, qué riesgos tiene, por qué el proveedor no ofrece las garantías necesarias, genera más respeto por la política que una lista de prohibiciones sin contexto. Y ahí está el fondo del asunto: el shadow IT de IA no se resuelve con más control, se resuelve con más criterio. Un equipo que entiende qué está en juego toma mejores decisiones que uno que solo sabe lo que tiene prohibido.
Preguntas frecuentes
¿Qué es el shadow IT de IA?
El uso de herramientas de IA por parte de los empleados sin conocimiento ni autorización de IT o dirección. Incluye herramientas gratuitas de IA generativa, extensiones de navegador con IA, apps móviles y módulos de IA en SaaS contratados que no han pasado por ningún proceso de evaluación interno.
¿Cómo audito qué herramientas de IA usa mi equipo?
La forma más directa es una encuesta anónima al equipo. Complementariamente, el análisis del tráfico de red y la revisión de las herramientas SaaS ya contratadas. El objetivo no es controlar ni sancionar, sino entender el uso real para poder gestionarlo con criterio.
¿Debo prohibir el shadow IT de IA o regularizarlo?
Regularizarlo. La prohibición sin alternativas no funciona, el equipo seguirá usando las herramientas de forma discreta. Lo que funciona es crear un proceso de aprobación ágil, establecer una lista de herramientas aprobadas con condiciones claras y explicar al equipo por qué esas condiciones existen.
