IA en la sombra en la empresa: cómo detectarla y qué hacer

Casi cualquier empresa con trabajo de oficina tiene a alguien usando IA. La pregunta ya no es si se usa, sino con qué cuenta. Si la respuesta es "con la suya", tienes IA en la sombra.

No hace falta ser malpensado para verlo. Las autoridades alemanas de protección de datos lo dicen sin rodeos en su guía sobre IA y protección de datos de 2024: sin reglas claras, los empleados usan la IA por su cuenta, y hay que partir de que eso ya pasa en muchas empresas y administraciones.

¿Qué es exactamente la IA en la sombra?

Es la IA que se usa para trabajar sin que la empresa la haya elegido, revisado o aprobado. Suena a mala fe, pero casi siempre es lo contrario: alguien quiere dejar el presupuesto listo antes de las siete, y un chat le ahorra veinte minutos.

Lo que te vas a encontrar:

• cuentas personales de ChatGPT, Claude, Gemini y similares
• extensiones del navegador que reescriben textos o resumen páginas
• bots que entran en las videollamadas y toman notas
• funciones de IA en programas que ya usáis y que alguien activó sin preguntar
• traductores y transcriptores online a los que se suben documentos enteros

¿Cómo se nota en el día a día?

No necesitas un software de vigilancia. Basta con mirar:

• Los textos cambian de golpe. Correos, presupuestos o informes con otro tono y otra estructura de un día para otro.
• Suscripciones en las notas de gastos. Pequeños cargos mensuales de servicios de IA, pagados con tarjeta personal y pasados como "software".
• Invitados raros en las reuniones. Un "asistente de notas" que nadie ha invitado.
• La pregunta "¿esto se puede hacer?". Quien la hace, normalmente ya lo hace.
• Rapidez sin explicación. Alguien te entrega el resumen de un pliego de ochenta páginas en diez minutos.

Nada de esto es una falta. Es la señal de que tu equipo le ve utilidad a la IA y la empresa todavía no ha dado una respuesta.

¿Qué riesgo real tiene para la empresa?

Tres, y todos concretos.

Protección de datos. Si entran datos personales en una herramienta con la que tu empresa no tiene contrato, normalmente falta el contrato de encargo del tratamiento del artículo 28 del RGPD. En las cuentas gratuitas, además, lo que se escribe puede usarse para entrenar el modelo si nadie lo desactiva. Y el responsable del tratamiento sigue siendo tu empresa.

Secretos empresariales. La Ley 1/2019 de Secretos Empresariales solo protege la información que ha sido objeto de "medidas razonables" para mantenerla en secreto. Si los escandallos, las tarifas y los contratos se copian a menudo en cuentas personales y no hay ninguna norma que lo impida, defender después que tomaste esas medidas se complica.

Pérdida de control. Cuando alguien se va, sus chats se van con él. No sabes qué datos de clientes hay dentro y no puedes pedir que se borren, porque la cuenta no es tuya.

Y luego está el Reglamento de IA: desde febrero de 2025, las empresas que usan IA tienen que tomar medidas de alfabetización en IA para su equipo. Difícil hacerlo si no sabes qué IA hay en casa. Lo contamos en el artículo sobre alfabetización en IA y el artículo 4.

¿Por qué prohibirla no funciona?

Porque la necesidad sigue ahí. Quien se ahorra una hora al día con la IA no lo deja por un correo de la dirección. Lo pasa al móvil, y ahí ya no ves nada.

La AEPD apunta en la dirección contraria. En su resumen de obligaciones y recomendaciones para la IA generativa, pensado para su propia organización, pide llevar los casos con información personal, sensible o confidencial a sistemas internos o a sistemas que garanticen el control de la organización. Es decir: no quitar la herramienta, sino dar una que controles.

¿Qué haces, paso a paso?

Cinco pasos que una empresa de diez a cincuenta personas puede hacer en pocas semanas.

1. Preguntar en vez de investigar. Una encuesta corta y sincera: ¿qué IA usáis, para qué y con qué datos? Sin consecuencias por responder. Si alguien teme un problema, no te dirá la verdad.
2. Hacer un inventario. Qué herramientas se usan, quién, para qué tareas y con qué riesgo. No es burocracia de más: la AEPD lo hace consigo misma y mantiene un registro actualizado de los sistemas de IA generativa en uso, con su finalidad y su nivel de riesgo.
3. Una norma en una página. Qué puede entrar en una IA, qué nunca, qué herramienta está aprobada y quién decide si hay dudas. Con tres o cuatro ejemplos de vuestro día a día. Si hay representación de los trabajadores, cuenta con ella pronto.
4. Una herramienta aprobada. Con cuentas de empresa, contrato de encargo del tratamiento y vista de administrador. Si no, la norma se queda en papel, porque falta la alternativa.
5. Formar y revisar. Una sesión en la que todos aprenden qué está permitido y cómo revisar lo que devuelve la IA. A los tres meses, repites la encuesta.

El orden importa. Quien empieza por el paso 4 compra una herramienta que no encaja con las tareas reales.

¿Cómo se hace con Verselo?

Verselo es un espacio de trabajo con IA para pymes y resuelve el paso 4: tu equipo trabaja con cuentas de empresa y no personales, la IA funciona en centros de datos de la UE y los datos de clientes no entrenan ningún modelo. Tú ves quién usa la IA y cuánto cuesta, decides qué modelos se permiten y cuánto tiempo se guardan los chats, y quitas un acceso con un clic cuando alguien se va. Los detalles técnicos están en la página de seguridad.

Para los pasos 1 a 3 y el 5 no necesitas una herramienta, necesitas una decisión. Si quieres saber en qué punto está tu empresa, el chequeo IA gratuito es un buen comienzo.