Shadow AI: Los datos de tu empresa que tus empleados enviaron a Servicios IA sin que tú lo supieras.

Hace unas semanas os hablé de en el artículo de «La Inteligencia Artificial está multiplicando los parches de seguridad … ¿quién los va a instalar en tu PYME?» que el verdadero problema de la Inteligencia Artificial para una PYME no es el APT con el exploit sofisticado que les tumba, sino la gestión del volumen de parches que hay que instalar, y que no tiene a un responsable para ello.  Hoy quiero hablaros de otro problema igual de poco glamuroso y mucho más cercano, porque no viene de fuera. Ya está dentro de la empresa. Se llama la IA en la Sombra, o Shadow AI.

Esto no es más que la versión actual del Shadow IT, pero llevada al mundo de la IA, donde nos encontramos con herramientas de Inteligencia Artificial que los empleados usan por su cuenta, sin que nadie las haya revisado ni autorizado. De eso habla hace poco Catalin en su artículo «Inteligencia Artificial en las empresas: Tres formas de uso. Tres niveles de control del riesgo.» donde explicaba los peligros de las diferentes formas de utilizar la IA en la empresa.

Un Asistente IA de chat con la cuenta personal, una extensión del navegador que resume lo que aparece en pantalla, un asistente de notas conectado al calendario que entra sólo en todas las reuniones. Nadie lo hace con mala fe, lo hacen para trabajar mejor. Pero para dar una respuesta útil, una IA necesita contexto, así que recibe contratos, hojas de clientes, informes internos o conversaciones completas. Datos privados de la empresa.

Y el problema ya se puede medir. Según el informe de «Cost of a Data Breach Report 2026» de IBM, el porcentaje de incidentes de seguridad con Shadow AI pasó del 20% al 43% en un año, y esos incidentes costaron de media 5,39 Millones de USD. Aun así, el 68% de las organizaciones que sufrieron una brecha NO tenía gobierno de la IA para gestionarla ni para detectar su uso no autorizado.

El consejo que no funciona

La recomendación de todas las guías es «no subas información sensible», y casi nadie la cumple, con razón. Si quieres que una IA revise un contrato y le quitas las partes, los importes y las fechas, el análisis ya no sirve. Y nadie va a pasarse una hora tachando datos antes de cada consulta. Lo que ocurre es que la gente sube el documento entero y no lo dice. La pregunta útil no es qué información subes. Es dónde la subes.

Subir no es entrenar, y al RGPD le da igual

Cuando adjuntas un documento a un Asistente de IA en la nube, sale de tu equipo y se procesa en los servidores de un tercero, tanto en la versión gratuita como en la de pago. Lo que cambia entre planes es lo que pasa después: si pueden entrenar con tus datos, cuánto tiempo los guardan y si puedes auditarlos o borrarlos. Por eso «no entrena con tus datos» no significa «tus datos no salen de la empresa».

Y al Reglamento General de Protección de Datos tampoco le importa si entrenan. Le importa que un dato personal ha salido de tu organización hacia un tercero que pasa a ser encargado del tratamiento, y eso exige un contrato firmado (artículo 28). Con una cuenta personal ese contrato no existe: el proveedor ni siquiera sabe que tu empresa existe.

Prohibir no funciona

La reacción habitual es vetar la IA. En la práctica, la gente sigue usándola desde el móvil o desde casa, y la empresa deja de ver lo que pasa. Prohibir no reduce el riesgo: lo vuelve invisible. La IA en la Sombra aparece cuando la herramienta oficial es peor que la que cada uno se busca, o cuando no hay ninguna. Por eso es un problema de gestión antes que de seguridad.

Lo que funciona es un método de tres pasos:

Y el mensaje al equipo cambia. Hemos pasado de «no subas nada sensible», sino «sube lo que necesites, pero solo aquí». Porque los empleados de hoy van a utilizar todos IA en su trabajo sí o sí, se la des tú disponible, o se la tengan que agenciar.

De todo esto hemos hablado en IronGate, donde además hemos dejado una tabla de diferencias entre una cuenta personal y una herramienta de empresa y el método paso a paso para gestionar el Shadow AI en la PyME que merece la pena leer entero. 

Si queréis saber qué herramientas de Shadow IA hay en los equipos de tu organización, desde IronGate ofrecemos un diagnóstico gratuito para descubrirlas todas ellas. Así que la pregunta que yo os haría hoy no es si tus empleados usan IA, que casi seguro que sí. La pregunta correcta es: