La conversación sobre gobernanza de IA suele empezar tarde: cuando alguien descubre que medio equipo lleva un año pegando información de clientes en un chatbot gratuito.
Por qué es inevitable
El AI Index 2026 de Stanford recoge dos datos que conviene leer juntos:
- La IA generativa alcanzó el 53% de adopción poblacional en tres años, más rápido que el ordenador personal o que internet.
- Cuatro de cada cinco estudiantes universitarios ya usan IA generativa.
Esa segunda cifra es tu plantilla de los próximos cinco años, y buena parte de la actual. No están esperando a que apruebes una política.
Qué es exactamente el riesgo
Vale la pena ser preciso, porque el miedo genérico lleva a políticas malas.
Fuga de datos. Información de clientes, código propietario, condiciones comerciales o datos personales pegados en un servicio cuyos términos permiten usarlos para entrenar. Este es el riesgo real y concreto.
Decisiones sin trazabilidad. Un informe que llegó a dirección con cifras que nadie verificó. El problema no es que lo escribiera una IA; es que nadie sabe qué se comprobó.
Incumplimiento silencioso. Si un empleado usa IA para cribar currículos por su cuenta, tu empresa está operando un sistema de alto riesgo del Anexo III sin saberlo. Esa sí es una exposición seria bajo el Reglamento Europeo de IA.
Dependencia invisible. Procesos que ya dependen de una herramienta personal que nadie ha homologado y que puede cambiar de precio, de política o desaparecer.
Por qué prohibir no funciona
Prohibir la IA no reduce el uso: reduce el uso visible. La gente que la encuentra útil la seguirá usando desde el móvil, con la cuenta personal, fuera de cualquier registro. Has cambiado un problema gestionable por uno invisible.
Además pierdes la información más valiosa que tienes: dónde tu organización encuentra valor de verdad. Las herramientas que la gente adopta sin que nadie se lo pida señalan exactamente los procesos que merecen automatizarse.
Lo que sí funciona
- Dar una alternativa buena y aprobada. La mayoría del shadow AI desaparece cuando existe una opción corporativa que funciona igual de bien. La gente no busca saltarse normas, busca terminar antes.
- Una política de una página, con ejemplos. No un documento de treinta páginas que nadie lee. Tres listas: qué puedes meter, qué no puedes meter nunca, y a quién preguntas en caso de duda.
- Clasificar el dato, no la herramienta. “Nada que identifique a un cliente sale de nuestros sistemas” es una regla que la gente entiende y aplica. “Está prohibido ChatGPT” caduca en cuanto salga otra herramienta.
- Amnistía al declarar. Pregunta qué usa la gente y promételes que no habrá consecuencias. Es la única forma de tener un inventario real.
- Alfabetización en IA. Además de ser obligación legal desde febrero de 2025, es la medida que más reduce el riesgo: quien entiende por qué un modelo alucina, verifica.
El encuadre que recomendamos
El shadow AI no es un problema de disciplina, es un síntoma de demanda insatisfecha. Tu gente te está diciendo dónde le duele el trabajo y qué herramienta le alivia.
Trátalo como información de producto, no como una infracción. Y luego pon los raíles, que es tu responsabilidad y no la suya.