El 61% de los trabajadores españoles usa inteligencia artificial sin marcos de gobernanza de su empresa. La IA en la sombra ya circula por las oficinas, y con ella los datos de clientes y el riesgo legal.
No es rebeldía. No es pereza. Es prisa. Seis de cada diez empleados ya trabajan con inteligencia artificial sin reglas de su empresa, y la IA en la sombra convierte cada atajo en una posible fuga de datos con factura legal.
La escena resulta verosímil . Media tarde, cierre de trimestre, un comercial copia el histórico de pedidos de su mejor cliente y lo pega en un chatbot gratuito para preparar la renovación. En cuatro minutos tiene una propuesta impecable. Nadie se lo ha pedido, nadie se lo ha prohibido, y nadie en dirección sabe que esos datos acaban de salir de casa. Detrás de esto, las ganas y la voluntad de querer rendir más.
Ese gesto tiene nombre, shadow AI o IA en la sombra: el uso de herramientas de inteligencia artificial al margen del control de la empresa. Y dista mucho de ser anecdótico. Según el estudio Detectando las claves para el desarrollo de agentes de IA 2025, elaborado por VML The Cocktail en colaboración con Salesforce, el 61% de los trabajadores en activo en España utiliza la IA sin marcos corporativos de soporte o gobernanza. El mismo informe sitúa en un 56% a quienes ya recurren a ella para resumir documentos, automatizar tareas o analizar datos. La plantilla ya ha cruzado la puerta mientras la organización todavía busca la llave. ¿Cuántas direcciones creen que la IA aún no ha entrado en su empresa cuando sus equipos llevan meses trabajando con ella?
Ciberseguridad: lo que cuesta la IA en la sombra
El fenómeno tiene genealogía. Durante años, el llamado shadow IT consistió en compartir archivos desde una cuenta personal en la nube o coordinar al equipo por un grupo de WhatsApp. Era incómodo para el responsable de sistemas, pero relativamente acotado. La diferencia ahora es de naturaleza: la IA no se limita a guardar información, sino que la procesa, la reelabora y, según las condiciones de cada servicio y tipo de cuenta, puede llegar a emplearla para mejorar sus modelos.
IBM ya le ha puesto precio. Su informe Cost of a Data Breach 2025 revela que una de cada cinco organizaciones analizadas sufrió una brecha de seguridad atribuida a la IA en la sombra, y que allí donde ese uso era intenso el incidente costó de media unos 670.000 dólares más. En esos casos, además, quedaron comprometidos datos personales en el 65% de las brechas, frente al 53% del promedio global.
El precedente más citado llegó en 2023 desde Corea del Sur. Samsung vetó temporalmente las herramientas de IA generativa en sus ordenadores corporativos después de detectar que ingenieros de su división de semiconductores habían subido a ChatGPT código fuente y actas de reuniones. Marc Laliberte, director de Operaciones de Seguridad de WatchGuard, apunta al fondo del asunto: muchas organizaciones «siguen sin tener visibilidad sobre cómo trabajan realmente sus empleados». Si un gigante tecnológico tropezó con esa piedra, ¿qué margen le queda a una empresa de sesenta personas cuyo departamento de TI cabe en una mesa?
El dato, un activo con responsabilidad legal
En una empresa mediana, el verdadero patrimonio rara vez luce en el balance. Vive en la cartera de clientes, en los márgenes negociados con cada proveedor, en las ofertas que tardaron años en afinarse. Ese capital intangible es el que se escurre por la sombra, y el informe de IBM señala que la propiedad intelectual resultó afectada en el 40% de los incidentes ligados a este fenómeno, frente al 33% de media.
El frente jurídico agrava la herida. Volcar datos personales de clientes en una plataforma ajena, sin contrato ni garantías, puede vulnerar el Reglamento General de Protección de Datos, cuyas sanciones más graves alcanzan los 20 millones de euros o el 4% de la facturación anual global. Y la responsabilidad ante terceros, como subrayaba Marcos Judel, socio de Audens, en declaraciones a El País, recae normalmente en la empresa, que es quien asume los deberes de confidencialidad, aunque después pueda actuar contra el empleado.
A ello se suma el Reglamento Europeo de Inteligencia Artificial. En su redacción original, el artículo 4 obligaba desde el 2 de febrero de 2025 a proveedores y responsables del despliegue, categoría en la que entra cualquier empresa que use IA en su actividad profesional, a garantizar que su plantilla tuviera un nivel suficiente de alfabetización en la materia. El Ómnibus Digital, que es el Reglamento (UE) 2026/1744, se publicó en el DOUE el 24 de julio y entró en vigor tres días después. Esa reforma ha reescrito el precepto: ahora se exige adoptar medidas para apoyar la promoción de esa alfabetización, y el texto aclara que la obligación no impone garantizar un nivel específico de ninguna persona en particular. La norma encarga además a la Comisión y a los Estados miembros respaldar ese esfuerzo, en particular en las pymes. La reforma alivia la carga, pero no la elimina. ¿Puede una organización formar a su plantilla en herramientas que ni siquiera sabe que se están usando?
Recursos humanos: el miedo que alimenta la sombra
La IA clandestina también retrata el clima laboral. El Work Trend Index 2026 de Microsoft encuestó entre febrero y mayo a 2.000 profesionales españoles que ya usan IA en su trabajo. El 74% teme quedarse atrás si no se adapta deprisa, frente al 65% de la media global y muy por encima de Alemania, Francia o Italia. Sin embargo, el 49% considera más seguro centrarse en sus objetivos actuales que rediseñar su trabajo con IA. Solo el 22% percibe a su dirección alineada de forma clara y constante en torno a esta tecnología, y apenas el 14% siente que se premia reinventar procesos aunque los resultados tarden en llegar. Ansiedad por abajo y ambigüedad por arriba: el terreno perfecto para que cada cual se busque la vida, en silencio, con la herramienta que tenga a mano.
Ese contexto importa cuando aparece la tentación disciplinaria. Los abogados laboralistas consultados por El País explican que la sanción depende de la política interna, de la reiteración y del daño causado, en un abanico que va de la amonestación escrita a la suspensión de empleo y sueldo. Solo los casos graves, como introducir información confidencial de clientes, podrían justificar un despido disciplinario. Advierten, además, que una prueba obtenida sin haber informado antes de las normas internas puede acabar anulada.
Por eso cerrar el grifo suele fallar. El propio Judel advertía en ese reportaje que la prohibición general resulta poco realista, porque «los empleados la van a utilizar por su cuenta» si les ayuda a trabajar mejor. Recursos humanos tiene aquí un papel más fértil que el de vigilante: convertir la confesión en conversación, reconocer a quien comparte un atajo útil y traducir la norma a un idioma que se entienda junto a la máquina de café.
Gobernanza y liderazgo: del veto al mapa
La clave del asunto no es tecnológica. El mismo informe de Microsoft se apoya en una encuesta global a 20.000 usuarios de IA en diez mercados. Según sus datos, el 66% dedica ya más tiempo a tareas de alto valor y el 58% produce trabajo que hace un año no estaba a su alcance, una proporción que en España sube al 60%. Pero el hallazgo que de verdad interpela a la dirección es otro. Al cruzar 29 factores con el impacto que los trabajadores atribuyen a la IA, los organizativos, como la cultura, el respaldo de los mandos y las prácticas de gestión del talento, pesan un 67%, frente al 32% de la actitud y el comportamiento individuales. Karim Lakhani, profesor de Harvard Business School, lo condensa en el prólogo: el reto «no es simplemente técnico. Es directivo, organizativo y estratégico». La IA en la sombra es, en buena medida, el síntoma de ese vacío.
¿Por dónde empezar? Según IBM, solo el 37% de las organizaciones tiene políticas para gestionar la IA o detectar su uso no autorizado, así que el punto de partida suele estar muy cerca de cero. El primer paso es averiguar qué herramientas usa ya la plantilla y para qué tareas. El segundo, poner por escrito qué aplicaciones están permitidas y qué información no debe introducirse nunca en ellas, como los datos de clientes o las condiciones pactadas con proveedores. El tercero, ofrecer versiones corporativas que protejan esa información, porque cuando la opción segura es también la más cómoda, el atajo pierde atractivo. Vigilar el tráfico de la red es legítimo, siempre que los empleados lo sepan de antemano. Y el reto irá a más: el informe de Microsoft recomienda que los agentes de IA, capaces ya de ejecutar tareas por su cuenta, tengan, como cualquier empleado, una identidad, unos permisos definidos y un registro de lo que hacen. El calendario aprieta. VML The Cocktail calculaba que las empresas disponían de entre 18 y 24 meses antes de que los hábitos sin control se volvieran difíciles de corregir, y casi la mitad de ese plazo ya se ha consumido.
Warren Buffett, recién llegado a la presidencia de Salomon Brothers tras el escándalo de los bonos del Tesoro, dejó ante el Congreso estadounidense en 1991 una advertencia : «Pierdan dinero para la firma y seré comprensivo; pierdan un ápice de reputación de la firma y seré implacable» Tampoco cabe, sin embargo, la superioridad moral desde el despacho. Más de un gerente ha resumido un contrato con su cuenta personal, entre el cansancio y la urgencia. Según el informe de Microsoft, el 85% de los usuarios más avanzados tiene un responsable que usa la IA abiertamente, frente al 64% del resto.
Leída con inteligencia, la IA en la sombra es también un mapa: señala dónde duele el trabajo, qué procesos piden a gritos automatizarse y qué talento se adelanta a la estrategia. Quizá el primer paso no exija comprar nada, sino preguntar al equipoqué herramientas usa y para qué. Y si nadie se atreve a contestar, el problema ya no es tecnológico.
