Shadow AI: tu equipo ya usa 414 herramientas de IA que tú no has aprobado

El 10 de septiembre se presentó en el congreso CyberCloud 2026 un análisis de la firma de seguridad Reco que ha puesto cifras a un fenómeno con nombre feo: shadow AI, la inteligencia artificial en la sombra. Es decir, todas las herramientas de IA que se usan a diario dentro de una empresa sin que la persona responsable de sistemas —o el dueño, en una pyme— sepa siquiera que existen.

El dato que más ruido hizo: el 80 % de las herramientas de IA detectadas operaban sin ninguna supervisión de TI. Y el que debería preocuparnos más a los que trabajamos con negocios pequeños: en las compañías de menor tamaño se contabilizaron 414 herramientas de IA no aprobadas por cada 1.000 empleados. Casi una herramienta distinta por cada dos personas.

Traducción para una empresa de 12 personas

Cuando lees «414 herramientas por cada 1.000 empleados» y tu plantilla son doce personas, la cuenta sale a unas cinco herramientas de IA circulando por tu negocio ahora mismo. No en teoría: ahora mismo. Y no son cinco licencias corporativas, son cinco cuentas gratuitas abiertas con el correo personal de alguien.

Esto no aparece en ninguna factura, así que es invisible desde contabilidad. Y como funciona bien, tampoco genera quejas. El comercial que resume las llamadas con un transcriptor gratuito está siendo más productivo. La persona de administración que le pega el Excel de nóminas a un chat para que le saque un resumen está ahorrando una tarde. Nadie está haciendo nada con mala intención. Ese es justo el problema: no hay a quién regañar.

Por qué pasa (y por qué prohibirlo no funciona)

Los estudios que han ido saliendo este año coinciden bastante en el motivo. Alrededor de la mitad de quienes usan IA por su cuenta dicen que lo hacen porque prefieren la independencia, y en torno a un tercio dice directamente que en su empresa no le han dado ninguna herramienta que le sirva. Es decir: la IA en la sombra no crece porque la gente se salte las normas, crece porque hay un hueco y alguien lo tapa como puede.

Por eso la respuesta instintiva —mandar un correo prohibiendo el uso de IA— es la peor de las opciones disponibles. No elimina el uso: lo empuja al móvil personal, donde ya no ves absolutamente nada. Es exactamente el mismo error que se cometió hace quince años con WhatsApp y los grupos de trabajo.

Lo que sí funciona, y es más barato de lo que parece

En las auditorías que hacemos, el patrón se repite tanto que ya casi lo damos por hecho: no hace falta una política de seguridad de treinta páginas. Hacen falta tres cosas, en este orden.

1. 1 Saber qué se está usando. Una ronda de conversaciones honestas de diez minutos por persona, dejando muy claro que no se va a castigar a nadie. Sale una lista en una tarde. Sin esa lista, todo lo demás es adivinar.
2. 2 Separar por tipo de dato, no por herramienta. Que un texto de marketing pase por una IA pública no tiene mayor recorrido. Que pasen datos de clientes, precios de proveedor, nóminas o historiales, sí. La frontera no es la app: es qué le metes dentro.
3. 3 Dar una alternativa oficial antes de cerrar nada. En cuanto la gente tiene una herramienta aprobada que hace lo mismo y va igual de rápido, el uso en la sombra se cae solo. Sin alternativa, cualquier norma es papel mojado.

Ese tercer punto es el que suele frenar a la gente, porque suena a proyecto caro. En la práctica, para la mayoría de las tareas que aparecen en esa lista —resumir llamadas, redactar correos, extraer datos de facturas, buscar en documentación interna— existe una versión controlada que cuesta bastante menos de lo que la empresa ya está perdiendo en horas de trasteo descoordinado.

El ángulo que casi nadie cuenta: esa lista es oro

Aquí va la parte optimista, y la que más nos gusta a nosotros. Cuando por fin haces el inventario de shadow AI, lo que tienes delante no es solo un mapa de riesgos: es un mapa de dónde le duele a tu equipo.

Cada herramienta que alguien se ha buscado la vida para instalar por su cuenta señala una tarea que le está robando tiempo y que la empresa no había detectado. Nadie abre una cuenta en un transcriptor a las once de la noche por diversión. Esa lista te dice, gratis y sin encuestas, qué procesos merece la pena automatizar de verdad y en qué orden. Es el mejor punto de partida para un plan de IA que hemos visto, y lo llevas dentro de casa sin saberlo.

Qué haríamos esta semana si fuese nuestro negocio

• circle Preguntar, sin dramatismo: «¿qué herramienta de IA usas y para qué?». Sin represalias, en serio. Si hay miedo, la lista sale falsa y no sirve de nada.
• circle Marcar en rojo los casos donde salen datos de clientes, personal o precios. Esos se atienden primero; el resto puede esperar.
• circle Elegir la tarea más repetida de la lista y dar una solución oficial para esa sola. Una. Ganar esa primera vez es lo que hace que el equipo te cuente el resto.
• circle Escribir media página de normas legible por un humano. Si necesita abogado para entenderse, nadie la va a cumplir.

El congreso donde se presentaron estos datos manejaba también una proyección llamativa: unos 1.300 millones de agentes de IA operando dentro de empresas hacia 2028. Se puede discutir la cifra, pero la dirección es bastante clara. Las organizaciones que lleguen a ese escenario sabiendo qué corre por su casa van a ir muy por delante de las que lleguen enterándose por un susto.

Si quieres ver tu propio mapa

En AetherIA hacemos exactamente este ejercicio dentro de la auditoría 360: inventariamos qué IA se usa ya en la empresa (aprobada y no aprobada), marcamos dónde hay datos sensibles circulando y salimos con una lista priorizada de qué automatizar primero, con coste estimado y ahorro estimado al lado. Sin compromiso y sin vender nada por el camino: si el diagnóstico dice que no te hace falta, te lo decimos.

Puedes pedirla en /diagnostico. Tarda menos de lo que crees, y la lista que sale de ahí suele sorprender más al dueño que a nadie.