Índice6
En muchas empresas, la pregunta «¿hay que autorizar la IA?» llega demasiado tarde. Los empleados ya la usan, para redactar un correo, resumir un documento o preparar una presentación, a menudo con una cuenta personal, a veces con una suscripción pagada de su bolsillo. La dirección no lo sabe, y ese es precisamente el problema.
Se llama IA en la sombra (en inglés, shadow AI), por analogía con la informática en la sombra: herramientas utilizadas en el trabajo sin que la empresa las haya elegido, configurado ni regulado.
En resumen
- Una mayoría de los asalariados encuestados en Francia oculta su uso de la IA en el trabajo, y casi la mitad no verifica sus resultados.
- En el Reino Unido, casi uno de cada cinco usuarios paga él mismo al menos una herramienta de IA para su trabajo.
- Prohibir no elimina el uso: solo elimina la visibilidad.
- Regular se reduce a unas pocas decisiones: una herramienta aprobada, una regla escrita sobre los datos, una formación, un revisor.
Lo que dicen las encuestas
Las cifras más elocuentes para Francia proceden de un estudio mundial financiado por KPMG, que vende auditoría, consultoría y servicios de IA, y realizado por la Universidad de Melbourne entre más de 48 000 personas de 47 países, de noviembre de 2024 a enero de 2025. Son personas encuestadas, no empresas, y no se publica el número de encuestados en Francia.
de los asalariados encuestados en Francia ocultan su uso de la IA y presentan el contenido producido como propio
admiten un uso inapropiado, contrario a las normas o arriesgado
no verifican la exactitud de los resultados
de los encuestados en Francia se consideran formados en IA, nada más
El mismo estudio añade que el 92 % de los encuestados en Francia no conoce las leyes que regulan la IA, y que el 71 % quiere un marco. Dicho de otro modo, los empleados no reclaman la anarquía: avanzan solos porque nadie les ha dicho cómo avanzar.
En el Reino Unido, Deloitte, que vende consultoría, auditoría y servicios de IA, encargó a Ipsos una encuesta a 25 000 trabajadores de 18 a 70 años en la primavera de 2026. Entre quienes usan la IA generativa en el trabajo, el 31 % lo hace sin que lo sepa su empleador, y el 17 % paga él mismo al menos una herramienta, un gasto que Deloitte estima en 958 millones de libras al año (Deloitte UK, 16 de septiembre de 2026). Aproximadamente la mitad no ha recibido ninguna formación.
En cuanto a las grandes empresas, BCG, que vende consultoría en IA, constataba en 2025 que el 54 % de los empleados encuestados usaría la IA incluso sin autorización; su muestra de más de 10 000 encuestados procede en su mayoría de empresas con más de 500 millones de dólares de facturación (BCG, AI at Work 2025).
Una brecha que la estadística pública deja entrever
La estadística pública no mide directamente la IA en la sombra, pero deja ver su magnitud. Según Eurostat, en 2025, el 21,9 % de las personas de 25 a 64 años con empleo en la Unión usó la IA generativa para su trabajo (24,57 % en Francia), mientras que el 19,95 % de las empresas de diez o más empleados declara un uso organizado de la IA. Las dos cifras no cuentan lo mismo, personas por un lado y empresas por otro: no es una medida, es un indicio. Sugiere que el uso de los empleados no sigue las decisiones de su empleador.
Por qué prohibir no funciona
Ante estas cifras, la tentación es bloquear: filtrar los sitios de los asistentes de IA, añadir una línea al reglamento interno, recordar la confidencialidad. Es comprensible, y no es inútil para los datos más sensibles. Pero como regla general, la prohibición tiene tres efectos previsibles.
Prohibir
El uso continúa en un teléfono o un ordenador personal
La empresa pierde toda visibilidad sobre lo que sale
Los empleados más avezados se van con su ventaja
Ninguna regla sobre los datos se aplica realmente
Regular
El uso pasa por una herramienta elegida y configurada
Se sabe qué datos entran en ella y quién la usa
Las buenas prácticas se comparten de un equipo a otro
Los datos sensibles tienen una regla clara y respetada
El verdadero riesgo no es que un empleado redacte un correo con un asistente. Es que pegue en él una lista de clientes, un contrato o una contraseña, en una cuenta personal de la que la empresa no sabe nada, y que el resultado salga sin revisión. Ese riesgo no desaparece con una prohibición: solo se vuelve invisible.
La IA en la sombra no es un problema de disciplina. Es la señal de que una necesidad real espera una herramienta y una regla.
Regular, en la práctica
Un equipo de 20 a 500 personas no necesita un programa de gobernanza de gran grupo. Necesita unas pocas decisiones escritas, tomadas en orden.
- Hacer el inventario sin sanciones.
Preguntar quién usa qué, para qué tareas, con qué cuenta. Sin promesa de amnistía, nadie responde.
- Proporcionar una herramienta aprobada.
Un asistente de IA elegido por la empresa, con cuentas profesionales y ajustes de privacidad conocidos. Si la herramienta oficial es peor que la del teléfono personal, el uso seguirá en la sombra.
- Escribir una regla sobre los datos.
Tres categorías suelen bastar: lo que puede entrar en la herramienta, lo que solo entra anonimizado, lo que no entra nunca.
- Formar en la verificación.
No una formación en la herramienta, sino una formación en la revisión: abrir las fuentes, comprobar las cifras, firmar.
- Nombrar un revisor por cada documento que sale.
Un texto producido con IA y enviado a un cliente lleva el nombre de la persona que lo ha verificado.
Estos pasos no exigen prohibir nada. Exigen reconocer que el uso existe y darle un marco más cómodo que la sombra. La cuestión de los permisos de acceso, quién ve qué y qué agente puede escribir dónde, se detalla en nuestra guía de la gobernanza de la IA en la empresa. La de las contraseñas y las claves de API, que con demasiada frecuencia acaban pegadas en una conversación con un asistente, en nuestro artículo sobre la caja fuerte de secretos.
Sobre el terreno
Nuestras propias herramientas solo tienen los permisos que necesitan
El robot que copia nuestra documentación en Google Drive solo tiene el permiso drive.file: solo ve los archivos que ha creado él mismo. Es la lógica que recomendamos: una herramienta aprobada, configurada con lo justo, en lugar de un acceso amplio que nadie vigila.
¿Y los empleados en todo esto?
Quienes usan la IA a escondidas no son defraudadores. A menudo son los más curiosos, los que han descubierto solos cómo ganar tiempo. Sancionarlos equivale a desanimar exactamente a las personas que la empresa necesita para adoptar la IA correctamente.
El papel de cada uno no desaparece por ello: se desplaza hacia lo que la herramienta no hace, juzgar, verificar, decidir, asumir. Un empleado que sabe revisar un texto producido por la IA y detectar lo que falla aporta más que antes, no menos. Por eso también la formación cuenta más que la herramienta.
Si quiere hacer este trabajo con método, nuestra AI Growth Foundation implanta la herramienta aprobada, la regla sobre los datos y la formación de los equipos, y nuestra Caja fuerte IA aborda la cuestión de los secretos. Si la preocupación es la factura, nuestra oferta IA a su justo coste calcula lo que cuesta un uso regulado. Para una visión de conjunto del enfoque, empiece por nuestra guía para integrar la IA en la empresa.
Preguntas frecuentes
¿Qué es la IA en la sombra?
Es el uso de herramientas de IA por parte de los empleados para su trabajo, sin que el empleador las haya elegido, configurado ni regulado: un asistente en una cuenta personal, una suscripción pagada de su bolsillo, una extensión del navegador instalada sin avisar. El término procede de la informática en la sombra, que designa el software utilizado en el trabajo al margen del departamento de informática.
¿Es ilegal usar la IA en el trabajo sin autorización?
No en sí mismo. El riesgo jurídico viene de los datos: pegar datos personales de clientes o información confidencial en una herramienta no controlada puede vulnerar el RGPD o un compromiso de confidencialidad. Es ese punto el que debe zanjar la regla sobre los datos, diciendo claramente qué puede entrar en una herramienta de IA y qué no entra nunca.
¿Hay que bloquear los asistentes de IA en la red de la empresa?
Como regla general, no: el uso pasa entonces a los teléfonos y ordenadores personales, y la empresa pierde toda visibilidad. Un bloqueo selectivo puede justificarse para algunos puestos muy sensibles, siempre que se ofrezca una alternativa aprobada, al menos tan práctica como la herramienta que se retira, porque si no el uso vuelve por otro camino.
¿Por dónde empezar para regular la IA en una pyme?
Por un inventario sin sanciones de los usos reales, y después una herramienta aprobada y una regla escrita sobre los datos. La formación en la verificación viene a continuación, y cuenta más que la formación en la herramienta: saber revisar y verificar protege mejor que saber hacer clic.
Fuentes
- Deloitte UK, 16 de septiembre de 2026 (nueva pestaña)deloitte.com
- BCG, AI at Work 2025 (nueva pestaña)web-assets.bcg.com
- Eurostat (nueva pestaña)ec.europa.eu
Jim · fundador de Brain Plus AI
Más artículos sobre ia empresarial
Guía práctica14 min
Gobernanza de la IA en la empresa: quién accede a qué
Un asistente de IA lee lo que sus permisos de acceso le dejan leer, errores de uso compartido incluidos. Así puede dividir sus bases por departamento, mantener una base común y decidir quién escribe en la memoria compartida.
Entender13 min
Caja fuerte de secretos: su IA usa las claves sin verlas
Contraseñas enviadas por correo, claves de API olvidadas en el código, agentes de IA que podrían copiarlo todo: estas son las fugas que encontramos con más frecuencia. Y así es como una caja fuerte a su nombre permite a su IA usar sus claves sin leerlas nunca.
Guía práctica12 min La guía del tema
Integrar la IA en la empresa: privada y a su justo coste
Para equipos de 20 a 500 personas, integrar la IA consiste en responder a cinco preguntas por orden: qué tarea, adónde van los datos, qué modelo, a qué precio y con qué reglas. Esta guía las aborda una a una y remite a nuestros artículos detallados.