IA en la sombra: el peligro invisible

Es lunes por la tarde. Una empleada de marketing copia datos confidenciales de clientes en ChatGPT para elaborar rápidamente un análisis del público objetivo. Un desarrollador de software pega código fuente propietario en un asistente de IA para encontrar un bug. Una responsable de recursos humanos sube documentos de candidatura a una herramienta de IA gratuita para hacer una primera criba de candidatos. Ninguno de ellos ha informado al departamento de informática. Nadie sabe adónde van a parar los datos.

Te damos la bienvenida al mundo de la IA en la sombra (shadow AI): el uso invisible y sin control de herramientas de IA en las empresas. En esta lección descubrirás qué es la IA en la sombra, por qué está tan extendida y qué riesgos concretos supone para tu empresa.

¿Lo sabías? Según una encuesta de Salesforce (2023), el 28 % de los trabajadores usa IA generativa en el trabajo, y más de la mitad de ellos lo hace sin la autorización de la empresa. El «Work Trend Index» de Microsoft y LinkedIn (2024) concluyó que el 75 % de los trabajadores del conocimiento usa IA y que el 78 % de ellos lleva sus propias herramientas de IA al trabajo. Y, según un informe de la empresa de seguridad LayerX (2025), el 77 % de los usuarios de IA copia datos en chatbots, y el 82 % de esas entradas pasa por cuentas privadas no gestionadas por la empresa.

¿Qué es la IA en la sombra?

La IA en la sombra es el uso de herramientas y servicios de IA por parte del personal sin que la empresa lo sepa, lo haya autorizado o pueda controlarlo. El término se inspira en la «TI en la sombra» (shadow IT): el uso no autorizado de software y servicios, que es un problema desde hace años. Sin embargo, la IA en la sombra es mucho más peligrosa, porque:

Los datos salen de la empresa: cada entrada en una herramienta de IA se transmite a servidores externos, a menudo en otros países y con un tratamiento de los datos poco claro.
El uso es difícil de detectar: a diferencia del software instalado, el uso de herramientas de IA basadas en la web apenas deja rastro en la red de la empresa.
La barrera de entrada es muy baja: basta con una pestaña del navegador. No hace falta instalar nada, descargar nada ni pedir ninguna autorización.
Los riesgos crecen de forma exponencial: cuantas más personas de la plantilla usan la IA sin control, mayor es la superficie de ataque y más probable es una fuga de datos.

¿Por qué lo hace el personal?

La IA en la sombra no surge de la mala fe. Los motivos suelen ser comprensibles, pero eso no reduce los riesgos:

1. Presión por la productividad: las herramientas de IA ahorran tiempo de verdad. Quien va con prisas y no tiene una herramienta autorizada recurre a la primera que encuentra. En un experimento con consultores del Boston Consulting Group (2023), los participantes que usaron IA en tareas adecuadas las terminaron algo más de un 25 % más rápido y con una calidad un 40 % superior, aproximadamente. Esta ventaja es demasiado grande para ignorarla.

2. Falta de conciencia: mucha gente simplemente no sabe que sus entradas se guardan o pueden usarse para el entrenamiento. Tratan ChatGPT como una calculadora: una herramienta que «olvida» lo que se introduce.

3. Falta de alternativas: si la empresa no ofrece herramientas de IA autorizadas, el personal busca sus propias soluciones. Es humano, pero peligroso.

4. Comodidad: la cuenta personal de ChatGPT es más fácil de usar que una herramienta interna con inicio de sesión SSO, conexión VPN y funciones limitadas.

Atención: la IA en la sombra no es un fenómeno marginal. Según IBM (Cost of a Data Breach Report 2025), en una de cada cinco empresas analizadas ya hubo una fuga de datos causada por la IA en la sombra, y esos incidentes costaron de media unos 670 000 USD más. Las empresas que lo ignoran se exponen a riesgos considerables de cumplimiento normativo y de seguridad.

Los riesgos reales de la IA en la sombra

Los peligros de la IA en la sombra no son teóricos, sino concretos, medibles y caros:

Fugas de datos: cada entrada en una herramienta de IA sale de la red de la empresa. Datos confidenciales de clientes, secretos comerciales, cifras financieras: todo lo que se introduce queda en servidores externos. En las cuentas de los planes gratuitos, estos datos se usan con frecuencia para el entrenamiento.

Infracciones del cumplimiento normativo: el Reglamento general de protección de datos (RGPD) exige una base jurídica para tratar datos personales, y la FADP (Federal Act on Data Protection), la ley suiza de protección de datos, un tratamiento lícito, proporcionado y limitado a una finalidad determinada, ambos en condiciones controladas. La IA en la sombra lo hace imposible, porque la empresa ni siquiera sabe que se están tratando datos.

Pérdida de propiedad intelectual: código fuente, estrategias de negocio, solicitudes de patente. Lo que se ha introducido una vez en una herramienta de IA no puede recuperarse. En el peor de los casos, el código propietario aparece en las salidas que reciben otros usuarios.

Daño a la reputación: si se sabe que una empresa introduce datos de clientes sin control en herramientas de IA, la pérdida de confianza es enorme y difícil de reparar.

¿Cómo detectas la IA en la sombra en tu empresa?

Identificar la IA en la sombra es difícil, pero no imposible. Aquí tienes cinco indicios y medidas:

Monitorización de la red: analiza el tráfico web en busca de accesos a servicios de IA conocidos (openai.com, claude.ai, gemini.google.com, etc.). Los registros DNS pueden dar pistas útiles. Importante: evalúa estos datos solo de forma agregada o seudonimizada y anuncia la monitorización con antelación. En Suiza no está permitido vigilar el comportamiento de cada empleado (art. 26 de la ArGV 3, Ordinance 3 to the Employment Act, una ordenanza de la ley suiza del trabajo; art. 328b del CO, Code of Obligations, el código suizo de obligaciones); en la UE hay límites similares.
Encuestas al personal: las encuestas anónimas sobre el uso de la IA suelen dar resultados más sinceros que la vigilancia técnica. Importante: no presentarlas como un control, sino como un análisis de necesidades.
Revisar las extensiones del navegador: muchas herramientas de IA ofrecen extensiones para el navegador que recogen datos adicionales. Una auditoría de las extensiones instaladas puede sacar a la luz la IA en la sombra.
Liquidaciones de gastos: si el personal paga suscripciones de IA de su bolsillo y luego las presenta como gastos, es una señal clara.
Análisis del contenido: si de repente la calidad de los textos, las presentaciones o el código da un salto, puede haber uso de IA detrás.

Consejo práctico: la mejor protección contra la IA en la sombra no es la vigilancia, sino una oferta atractiva. Las empresas que ponen a disposición herramientas de IA autorizadas, comunican directrices claras y ofrecen formación reducen notablemente la IA en la sombra. Las prohibiciones por sí solas no funcionan: el personal siempre encuentra la manera.

Un empleado usa su cuenta privada de ChatGPT para mejorar una presentación confidencial para un cliente. ¿Cuál es el mayor riesgo?

¡Correcto! El mayor riesgo es la fuga de datos sin control. Los datos confidenciales del cliente se transmiten a los servidores de OpenAI y, con una cuenta gratuita, pueden usarse para entrenar el modelo. La empresa pierde el control sobre los datos: una infracción clara de las normas de protección de datos.

No exactamente. Aunque los errores en las salidas de la IA pueden ser un problema, el mayor riesgo de la IA en la sombra es la fuga de datos sin control. Los datos confidenciales del cliente salen de la empresa y acaban en servidores externos: una posible infracción del RGPD o la FADP con consecuencias considerables.

Puntos clave:

La IA en la sombra es el uso sin control de herramientas de IA sin que la empresa lo sepa o lo autorice y, según los estudios, está muy extendida: mucha gente usa la IA en el trabajo sin autorización, a menudo con cuentas privadas.
Los motivos principales son la presión por la productividad, la falta de conciencia, la falta de alternativas autorizadas y la comodidad.
Los riesgos son graves: fugas de datos, infracciones del cumplimiento normativo (RGPD/FADP), pérdida de propiedad intelectual y daños a la reputación.
La IA en la sombra puede detectarse mediante la monitorización de la red, encuestas anónimas, auditorías de las extensiones y el análisis de los gastos.
La contramedida más eficaz no es la prohibición, sino una oferta atractiva: herramientas autorizadas + directrices claras + formación.

Esta lección forma parte de un curso con examen final y certificado. Ver el curso «IA y protección de datos en la empresa»