¿Qué es la shadow IA?
La shadow IA designa todas las herramientas de IA generativa usadas para trabajar sin validación de la empresa: la versión gratuita de un chatbot, una aplicación de transcripción en un móvil personal, una extensión de navegador que reformula los correos.
Hereda del shadow IT, la hoja de cálculo alojada en cualquier sitio o la mensajería instalada sin avisar. Con una diferencia de peso: una herramienta de shadow IT almacena lo que se le confía. Una de IA lo lee, lo reformula y lo devuelve a un presupuesto, un correo a un cliente, una nota de dirección. El dato sale, y la respuesta vuelve a sus documentos oficiales.
Lo que dicen las cifras
El 14 de septiembre de 2026, Cybermalveillance.gouv.fr publica sus recomendaciones para encuadrar la IA generativa en la empresa. Las cifras difundidas con esa publicación: el 45 % de los empleados usa herramientas de IA no autorizadas, y el 36 % de ellos pega en ellas datos confidenciales.
Bpifrance Le Lab ya había puesto el decorado en su estudio de 2024 sobre las empresas francesas y la IA: el 54 % de los usuarios trabajaba con herramientas gratuitas y genéricas, y el 73 % de los proyectos de IA los llevaba el directivo en solitario.
Juntas, estas cifras describen una empresa partida en dos. El directivo prueba solo, por su lado. Los equipos hacen lo mismo, por el suyo. Nadie se lo cuenta a nadie.
Lo que vemos en nuestros clientes
El esquema se repite en casi todas las pymes que acompañamos. El directivo tiene una suscripción de pago a un asistente generalista, avanza rápido y está contento. Sus equipos usan versiones gratuitas, toleradas mientras nadie pregunte.
Resultado: el directivo no sabe qué documentos han salido de la empresa, ni qué respuestas inventadas han entrado en un presupuesto. Tampoco sabe qué empleados han encontrado usos que harían ganar una hora al día a todo el servicio.
Un caso nos enseñó algo. Un cliente nuestro, una estructura pequeña con una suscripción mensual, nos dejó por una cuenta de Claude. Después compró licencias para sus colaboradoras. No lo contamos como una pérdida: hizo lo que la mayoría de los directivos no hace, dar una herramienta oficial a su equipo en vez de dejar que cada uno se apañe.
Por qué fracasa la prohibición
El reflejo es bloquear los sitios de los chatbots en la red de la empresa. Al día siguiente, el uso pasa al móvil personal, con datos móviles. Ha perdido lo único que tenía: la posibilidad de ver.
Ya vimos esta película con el CRM. Una herramienta impuesta desde arriba, que no sirve a quienes deben usarla, produce un rodeo: la hoja paralela, la libreta, las notas del móvil. Lo contamos en Su CRM no sirve de nada. La shadow IA sigue la misma pendiente, más deprisa.
Un empleado que usa la IA a escondidas no está en falta. Ha encontrado una forma de trabajar más rápido y nadie le ha propuesto nada mejor.
Lo que la shadow IA le cuesta, en concreto
Los datos. Un nombre de cliente, un importe, una cláusula de contrato pegados en una herramienta gratuita van a parar a un editor con el que no ha firmado ningún contrato de encargo de tratamiento. Para los datos personales se aplica el artículo 28 del RGPD, y la expuesta es la empresa. Detallamos el método en RGPD y asistentes de IA.
La calidad. Un chatbot generalista no conoce ni su tarifa, ni sus referencias, ni sus compromisos contractuales. Rellena con lo verosímil. Lo verosímil llega al cliente con su logotipo.
El saber. El empleado que ha encontrado la buena forma de preparar un parte de obra en 5 minutos guarda su método en el móvil. El día que se va, se va con él.
Recuperar el control en 4 semanas
Semana 1, el inventario. Pregunte a cada equipo qué herramientas de IA usa, para qué y con qué datos. Prometa por escrito que ningún uso declarado será sancionado. Sin esa promesa, solo obtendrá los usos ya autorizados.
Semana 2, la herramienta oficial. Elija una herramienta de pago, con contrato, con alojamiento conocido y el compromiso escrito de que sus datos no entrenan ningún modelo. Nuestras preguntas que plantear a su proveedor de IA hacen la criba en una reunión.
Semana 3, la regla de una página. Lo que puede entrar en la herramienta y lo que nunca debe entrar: datos nominativos de clientes, cifras no publicadas, contratos firmados. Una página, no un reglamento de 20 que nadie leerá.
Semana 4, la puesta en común. Los usos recogidos en la semana 1 que hacen ganar tiempo se convierten en herramientas de equipo. Es el trabajo de un asistente forjado sobre sus documentos: el método de un empleado pasa a ser el del servicio, con fuentes citadas y un registro que usted puede consultar.
Tres preguntas que hacer esta semana
Sin auditoría, sin software de vigilancia. Tres preguntas, planteadas en una reunión de equipo, con la promesa de no sancionar a nadie.
La respuesta a la segunda le dice su nivel de riesgo. La respuesta a la tercera le dice por qué asistente empezar.
¿Qué es la shadow IA?
El uso, por parte de los empleados, de herramientas de IA generativa que la empresa no ha elegido ni encuadrado: versiones gratuitas de chatbots, aplicaciones en móviles personales, extensiones de navegador. El riesgo principal está en los documentos y los datos que pegan en ellas.
¿Es ilegal la shadow IA?
No en sí misma. El riesgo jurídico viene de los datos: pegar datos personales de clientes en una herramienta sin contrato de encargo de tratamiento según el artículo 28 del RGPD expone a la empresa, no solo al empleado.
¿Hay que prohibir ChatGPT en la empresa?
Prohibir sin alternativa desplaza el uso a los móviles personales. Facilite primero una herramienta encuadrada, escriba una regla de una página y después prohíba lo que quede fuera.
¿Cómo saber qué herramientas de IA usan mis empleados?
Preguntándolo, con el compromiso de que ningún uso declarado será sancionado. El análisis de los registros de red viene después: se le escapan los usos en móvil personal y rompe la confianza si va primero.
¿Basta con una carta de uso de la IA?
No. Una carta sin herramienta facilitada se queda en documento. Una regla de una página unida a una herramienta que los equipos prefieren a sus versiones gratuitas cambia las prácticas.
Fuentes
- Cybermalveillance.gouv.fr, recomendaciones para encuadrar el uso de la IA generativa en la empresa, 14 de septiembre de 2026.
- Bpifrance Le Lab, « Les entreprises françaises et l’IA », 2024.
- Observaciones de campo de Forgeron3 en pymes clientes, de 2025 a 2026.
Traiga la lista de herramientas de IA que sus equipos declaran usar. Le mostramos el asistente que retoma esos usos sobre sus propios documentos: qué lee, qué cita y dónde se detiene.
Solicitar una demo→