No hace falta un proyecto de IA aprobado para que tu organización ya esté usando IA. Mientras la dirección decide si adoptarla, alguien del equipo comercial redacta propuestas con ChatGPT, un desarrollador resuelve un bug con un asistente de código y alguien de operaciones pega una hoja de cálculo entera en un chatbot para que se la resuma. No es una hipótesis, esto es lo que pasa cada día en empresas de todos los tamaños.

A esto se le llama shadow AI. El uso de herramientas de inteligencia artificial fuera del control y la visibilidad de la organización.

¿Qué es el shadow AI y por qué surge de forma natural?

El shadow AI sigue el patrón de la shadow IT (tecnología que entra en la empresa sin pasar por el departamento de IT), pero es más difícil de detectar. La shadow IT dejaba rastro. Una cuenta de Dropbox, una aplicación instalada en un equipo. La IA generativa entra por el navegador, sin instalar nada y, a menudo, desde una cuenta personal. Aparece porque resuelve un problema real hoy, mientras la política de empresa todavía no existe o llega tarde.

Según el Cloud and Threat Report 2026 de Netskope, basado en telemetría real de empresas, el 47 % de quienes usan IA generativa en el trabajo lo hacen a través de cuentas personales, fuera del control de la organización, y el número de usuarios de IA generativa se ha triplicado en el último año. Nadie lo hace con mala intención, lo hacen porque les hace más productivos.

Dos cosas se descontrolan a la vez: los datos y el gasto

Cuando la IA entra sin control, se abren dos frentes al mismo tiempo. En primer lugar, la información. Cada vez que alguien pega un contrato, un listado de clientes o código interno en una herramienta pública, esos datos salen del perímetro de la empresa. Y no es algo marginal. El mismo informe de Netskope señala que los incidentes de fuga de datos hacia aplicaciones de IA se han duplicado en el último año, y lo que más se filtra es código fuente, datos regulados y propiedad intelectual. Cuando esa información acaba en una brecha, sale cara. El informe Cost of a Data Breach de IBM cifra en unos 670.000 dólares el sobrecoste medio de las brechas en las que interviene el shadow AI (edición de 2025, la más reciente).

En segundo lugar, el coste. El uso gratuito desde cuentas personales no aparece en ninguna factura, pero rara vez se queda ahí. En cuanto una herramienta demuestra su utilidad, los equipos empiezan a pagarla por su cuenta. Suscripciones contratadas departamento a departamento, licencias duplicadas, herramientas que nadie ha dado de alta de forma centralizada. Es un gasto que crece sin aparecer en ninguna previsión, porque nadie lo está mirando de forma conjunta.

Bloquear el acceso no resuelve el problema

La reacción intuitiva es bloquear. Se corta el acceso a ChatGPT desde la red y se da el tema por cerrado. Tiene dos problemas. El primero es técnico, bloquear un dominio no impide usarlo desde el móvil o una cuenta personal, así que el uso no desaparece, solo se vuelve invisible. El segundo es de negocio. La IA está haciendo a los equipos más rápidos, y renunciar a eso tiene un coste de productividad real.

El objetivo no es elegir entre seguridad y productividad, sino tener las dos: que el equipo pueda usar IA y que la empresa sepa cómo, con qué datos y a qué coste.

Las preguntas que toda organización debería poder responder

Antes de pensar en herramientas o políticas, vale la pena medir el punto de partida. Una organización con su uso de IA bajo control debería poder responder, sin dudar:

• ¿Qué herramientas de IA usa hoy mi equipo, y para qué?
• ¿Qué tipo de datos están entrando en esas herramientas?
• ¿Dónde van esos datos, y queda algún registro de ello?
• ¿Cuánto estamos gastando en IA, sumándolo todo?

Si alguna respuesta es ‘no lo sé con certeza’, ahí está el trabajo por hacer.

En Itequia, como partner de Microsoft 365, ayudamos a las organizaciones a obtener una primera radiografía de su uso de la IA. Si quieres una revisión inicial sin coste de cómo se está usando en tu empresa, escríbenos a [email protected]. Puedes ver cómo aplicamos la IA al software a medida aquí.

Preguntas frecuentes

¿Cómo puedo saber qué herramientas de IA usa realmente mi equipo?

Con herramientas de visibilidad. En un entorno Microsoft 365, Microsoft Defender for Cloud Apps permite descubrir qué aplicaciones de IA (autorizadas o no) se están usando en la red y desde dispositivos gestionados, y clasificarlas por nivel de riesgo. Es el paso previo a decidir qué se permite y qué no.

¿Basta con bloquear el acceso a ChatGPT desde la red corporativa?

No. El bloqueo por red no afecta al uso desde móviles, redes domésticas o cuentas personales, y empuja el uso hacia donde no hay ninguna visibilidad. Funciona mejor combinar control de acceso (por ejemplo con Microsoft Intune y Entra) con una alternativa corporativa que el equipo quiera usar de verdad. De hecho, ofrecer una alternativa aprobada reduce de forma notable el uso no autorizado.

¿Qué diferencia hay entre una herramienta de IA «de consumo» y una integrada en la empresa?

Una herramienta de consumo (la versión gratuita o personal de un chatbot) no se conecta a la gobernanza que ya tiene la empresa: no hereda permisos, no respeta el etiquetado de la información ni deja traza auditable. Una herramienta integrada (por ejemplo Microsoft 365 Copilot) opera dentro del mismo perímetro de seguridad y permisos que el resto de tus datos.