Shadow AI: por qué el 64 % de tu plantilla ya usa IA sin control

El shadow AI —el uso de ChatGPT, Copilot o cualquier otra IA por parte de un empleado sin que IT o seguridad lo sepan ni lo autoricen— ha dejado de ser una anécdota de plantilla para convertirse en el riesgo de datos que más rápido crece en 2026. Según un estudio de Microsoft recogido por DirectorTIC el pasado 20 de julio, el 64 % de los empleados reconoce usar herramientas de IA no autorizadas para trabajar, y el 78 % de quienes usan IA lo hace con cuentas y aplicaciones propias, no con las que la empresa ha revisado. En Evicron, estudio de IA y software a medida de Barcelona, lo vemos cada vez que empezamos una consultoría: la IA ya está dentro de la empresa, solo que nadie la ha invitado formalmente.

Qué es exactamente el shadow AI

El término calca al ya conocido “shadow IT”: aplicaciones que los equipos adoptan por su cuenta para resolver un problema rápido —resumir un contrato, generar código, redactar una propuesta— sin pasar por la validación de seguridad que sí exige el software corporativo. La diferencia con el shadow IT clásico es la naturaleza del riesgo: cada vez que alguien pega un fragmento de código, un dato de cliente o una cifra financiera en un chatbot público, esa información sale de la empresa y puede quedar almacenada, reutilizada o expuesta en servidores de terceros sobre los que nadie tiene control.

La magnitud del problema, en datos

Los números de 2026 son consistentes entre estudios distintos, lo que descarta que sea un pico aislado:

• 64 % de los empleados admite usar IA no autorizada para trabajar, y 60 % de los responsables de TI cree que su dirección no tiene un plan claro para regularlo, según el estudio de Microsoft citado por DirectorTIC.
• La encuesta global de WatchGuard, publicada el 14 de julio de 2026, sitúa el shadow AI y los hábitos de trabajo inseguros entre los principales motores del aumento del riesgo de ciberseguridad este año, según recoge su nota de prensa.
• Otros análisis del sector sitúan ya en torno al 45 % el porcentaje de empleados que usa IA de forma habitual en dispositivos corporativos, con equipos de ingeniería y desarrollo entre los de mayor adopción no gobernada.

No es un problema de “empleados descuidados”: es la consecuencia lógica de que la IA generativa sea gratuita, útil de inmediato y más rápida de adoptar que cualquier proceso de compra de software corporativo.

Qué se juega realmente tu empresa

El riesgo no es solo reputacional. Combina tres frentes legales que en 2026 ya tienen dientes:

• RGPD: si un empleado introduce datos de clientes o de otros empleados en una IA pública, la empresa puede estar cediendo datos personales a un tercero sin base legal, con sanciones que llegan a los 20 millones de euros o el 4 % de la facturación global.
• Reglamento europeo de IA (AI Act): las infracciones más graves —entre ellas usos y prácticas prohibidas— se sancionan con hasta 35 millones de euros o el 7 % del volumen de negocio anual.
• Ley de Secretos Empresariales: un fragmento de código propio o una propuesta comercial pegada en un chatbot puede perder la condición legal de secreto empresarial si no se ha protegido con medidas razonables, lo que complica después cualquier reclamación si ese secreto se filtra o lo usa un competidor.

A eso se suma el riesgo más simple de todos: no saber qué información de la empresa ha salido ya, ni hacia dónde.

Cómo recuperar el control sin prohibir la IA

Prohibir no funciona —los estudios lo confirman: la gente sigue usando IA igualmente, solo que ahora sin que nadie lo sepa—. Lo que sí funciona es dar una alternativa mejor y gobernada:

1. Audita qué se usa ya. Antes de escribir una política, hay que saber qué herramientas circulan realmente por la empresa y con qué datos, no con qué se supone que se trabaja.
2. Define una lista de IA aprobada con cuentas corporativas, contratos de tratamiento de datos y control de acceso, en lugar de dejar que cada persona use su cuenta personal.
3. Da alternativas igual de rápidas. Si la IA corporativa es más lenta o más limitada que ChatGPT gratuito, el shadow AI vuelve enseguida.
4. Forma a los equipos en qué se puede y qué no se puede pegar en un chatbot: la mayoría de las fugas no son maliciosas, son por desconocimiento.
5. Revisa periódicamente, porque las herramientas y los equipos cambian más rápido que cualquier política escrita una sola vez.

Cuándo conviene traer ayuda externa

Hacer este ejercicio internamente es posible, pero a menudo choca con dos problemas: nadie en la empresa tiene tiempo para auditar todas las herramientas en uso, y elegir e integrar una IA corporativa que de verdad sustituya a las herramientas sueltas requiere criterio técnico que no siempre está en casa. En nuestra consultoría de IA para empresas empezamos justo por ahí: auditamos qué IA se usa ya, qué riesgo real supone y qué necesitaría tu empresa para tener una IA gobernada sin perder la velocidad que buscaban los propios empleados. Cuando la solución pasa por desplegar herramientas concretas —un asistente interno, una integración con vuestros datos— lo hacemos con IA aplicada; si el freno es que los equipos no saben qué está permitido, resolvemos eso con formación en IA a medida de cada departamento.

En resumen

El shadow AI no es una moda pasajera: es la consecuencia de que la IA generativa sea más rápida de adoptar que cualquier política de empresa, y en 2026 ya mueve datos de clientes, código y propuestas comerciales fuera del control de la empresa a diario. Ignorarlo no lo detiene —los datos muestran que la gente sigue usando IA igualmente—; lo único que funciona es auditar, dar alternativas gobernadas y formar a los equipos antes de que la fuga de datos la descubra un cliente, un competidor o un inspector.

¿Quieres saber qué IA se está usando ya en tu empresa y cómo ponerle gobierno sin frenar a los equipos? Escríbenos: la primera consultoría es gratuita y respondemos en menos de 24 horas.