Su equipo usa IA a escondidas. Sus datos de clientes van detrás
Lunes por la mañana, a pocos minutos de la primera reunión. Una empleada copia un correo de un cliente en una herramienta de IA abierta porque necesita responder cuanto antes. Su responsable no se entera. No es un caso aislado: el 71 % de las empresas encuestadas en Alemania afirma que la IA en la sombra se utiliza en sus organizaciones, al menos de vez en cuando. Prohibirla sin más apenas resuelve el problema si no hay una alternativa autorizada o nadie sabe qué está permitido. ¿Cómo puede sacar a la luz este uso sin frenar la iniciativa del equipo?
El uso a escondidas empieza con las prisas
La primera herramienta de IA en la sombra de una empresa no suele aparecer tras una gran decisión estratégica. Es un atajo entre dos reuniones. Alguien pide a una herramienta que suavice el tono de un correo, resuma un documento largo o prepare una primera respuesta a una consulta de un cliente. El trabajo se vuelve más llevadero y, por eso mismo, la herramienta empieza a circular.
En una empresa pequeña, puede tratarse de un único chat abierto en el navegador. En una organización grande, quizá haya varios servicios, departamentos y aplicaciones desarrolladas internamente. El problema de fondo es parecido: la dirección no tiene una lista completa y, por tanto, le cuesta saber adónde va la información o qué resultados se reutilizan sin comprobarlos.
El dato de Alemania procede de una encuesta que Heise recoge en relación con un informe de SAP. Otra encuesta de SAP y Oxford Economics señaló que el 69 % de las empresas participantes afirmaba que el uso de herramientas de IA no autorizadas era ocasional o frecuente. Son estudios distintos, pero ambos apuntan a lo mismo: para saber si hay IA en la sombra, una conversación sincera resulta más útil que quitarle importancia. ¿Qué respuesta obtiene cuando pregunta por ello?
Prohibirla solo desplaza el problema
Prohibir la IA de forma general no hace que desaparezca. El personal puede recurrir a cuentas personales u otros servicios, mientras la tarea pendiente sigue ahí. Si alguien pierde veinte minutos al día en un trabajo de redacción repetitivo, es comprensible que busque un atajo. Eso no convierte el uso en seguro, pero explica por qué puede continuar pese a las prohibiciones.
Por eso, no pregunte solo: «¿Quién se ha saltado la norma?». Pregunte también: «¿Qué trabajo intentaba hacer esa persona y por qué no tenía una alternativa autorizada?». Puede que una plantilla esté anticuada, que no esté claro quién se encarga de algo o que la respuesta a una consulta de un cliente esté repartida en varias carpetas. En esos casos, detrás de la IA en la sombra también hay un problema de procesos.
Una encuesta de Okta y Apprize360 indicó que el 52 % de los empleados utiliza herramientas de IA no autorizadas. En el mismo estudio, el 58 % de los directivos afirmó que el año anterior se había producido algún incidente o conato relacionado con la IA. Estas cifras describen a las personas encuestadas, no necesariamente a todas las empresas. Sí dejan claro que la información y las alternativas prácticas deben ir de la mano. ¿Cómo puede ofrecer una opción que se use de verdad cuando el día se complica?
El riesgo suele estar en lo que se introduce
Una instrucción para la IA puede ser más confidencial que el texto que genera. Quien pega un correo de un cliente para que lo revise puede estar compartiendo nombres, detalles de un contrato o valoraciones internas. En un departamento de recursos humanos, un currículum ya puede contener datos sensibles. La legalidad de cada caso depende de las circunstancias. Para la empresa, la primera pregunta práctica es más sencilla: ¿qué información puede introducir el personal en cada herramienta?
La revisión no tiene por qué empezar por la vigilancia. Pida a los equipos que describan sus tareas habituales y las aplicaciones que utilizan. Solicite ejemplos, pero no exija conversaciones privadas. Averigüe si el personal trata datos de clientes, documentos internos o candidaturas, y si alguien revisa el resultado antes de compartirlo.
Cuando se toman decisiones sobre personas, que una herramienta resulte cómoda no basta para autorizarla. Una encuesta de Indeed a 300 responsables de selección en Alemania indicó que el 28 % de las personas encuestadas no disponía de una solución de software para apoyar la preselección y que, por eso, algunas recurrían a herramientas de acceso público como ChatGPT, aunque no estuviera permitido. ¿Qué datos y decisiones de su empresa necesitan primero límites claros?
En la selección, la persona puede quedar fuera de vista
Una candidatura que acaba discretamente en un chat de IA es más que un intento de ahorrar tiempo. Contiene información sobre una persona concreta y puede utilizarse en un proceso que influye en sus oportunidades. En la misma encuesta de Indeed, el 11 % de los responsables de selección afirmó que las candidaturas descartadas por la IA ya no eran revisadas por una persona. Heise señala que el RGPD prohíbe esa práctica.
El artículo también menciona una obligación futura: a partir del 2 de diciembre de 2027, las empresas tendrán que documentar las candidaturas en las que se utilice IA y garantizar una revisión humana final. Quienes estén al frente de los procesos de selección no deberían dejar este asunto para más adelante. Compruebe ya en qué puntos una herramienta ordena, evalúa o recomienda, y quién toma realmente la decisión final.
También una empresa pequeña debería dejar constancia de qué pasos reciben apoyo automatizado y quién revisa los resultados. En una organización grande quizá sea necesario coordinar a recursos humanos, protección de datos e informática. La pregunta no es solo si el sistema ofrece una valoración. ¿Quién puede entender en qué se basa y quién la detiene si parece claramente equivocada?
Qué implica para su empresa
No hace falta tener una estrategia completa de IA para dar un primer paso útil. Empiece por hacer un inventario sin señalar a nadie. Pregunte en una reunión de equipo o mediante una breve consulta anónima qué herramientas se utilizan en el trabajo diario, qué tareas resuelven y dónde hay dudas. Explique expresamente que el objetivo es trabajar con seguridad, no elaborar una lista de personas pilladas en falta.
Después podrá concretar las normas en unas pocas decisiones claras. ¿Qué herramientas están autorizadas? ¿Qué datos deben quedar siempre fuera? ¿Cuándo tiene que revisar una persona el resultado antes de enviarlo a clientes, candidatos o socios comerciales? ¿Quién es el contacto si se necesita una herramienta nueva? En una empresa pequeña, las respuestas pueden caber en una página. En una organización grande, quizá haya que detallarlas según el departamento y los permisos de acceso a los datos.
Procure que las normas sean fáciles de encontrar y de aplicar. Decir «no introduzca datos confidenciales» sirve de poco si nadie sabe si una lista interna de precios es confidencial. Ponga ejemplos concretos, explique cómo solicitar autorización y designe a quién acudir con dudas. Si la opción segura es más engorrosa que el chatbot personal, la norma se pondrá a prueba en el próximo momento de prisas. ¿Quién ayudará entonces al equipo?
- Haga un inventario: herramientas, tareas y datos afectados.
- Revise primero los casos de riesgo: decisiones de personal, información de clientes y documentos internos.
- Defina cómo se obtiene la autorización: deje por escrito quién se encarga, qué se revisa y qué datos pueden utilizarse.
El control debe encajar en el trabajo diario
Una norma publicada en la intranet sirve de poco si no aparece en el flujo de trabajo. El personal necesita una alternativa autorizada para las tareas que realmente realiza. También hacen falta límites sobre qué puede ver un sistema de IA y en qué momento una persona debe revisar el resultado. Esto es especialmente importante cuando las aplicaciones acceden a información interna o ejecutan pasos de forma autónoma.
Las cifras de gobernanza del informe de SAP muestran hasta qué punto puede abrirse una brecha entre el uso y el control. Solo el 11 % de las empresas consideró que sus capacidades de gobernanza de la IA eran plenamente suficientes. El 18 % afirmó contar con los procesos y las condiciones necesarios. Estas cifras no demuestran que todas las empresas trabajen sin control. Sí invitan a comprobar la situación propia en lugar de darla por hecha.
Una prueba útil para la semana que viene: pregunte a alguien de atención al cliente dónde encontrar una respuesta fiable a una consulta habitual. Si la información está repartida entre documentos, correos y distintos sistemas, Klarframe OS puede reunir esas fuentes, mostrar referencias junto a las respuestas y respetar los permisos de acceso. Es una forma posible de trabajar, no un requisito para hacer el inventario. Lo importante es que el personal disponga de un método autorizado y transparente. ¿Qué tarea repetitiva podría hacer más segura primero?
Preguntas frecuentes
¿Qué es la IA en la sombra?
La IA en la sombra son las aplicaciones de inteligencia artificial que el personal utiliza sin que la empresa lo sepa o lo autorice. Puede ser un chatbot de acceso público al que se pide reformular un correo, resumir un documento o ayudar en una preselección. El riesgo depende de los datos que se introduzcan, del uso que se dé al resultado y de si alguien lo revisa.
¿Está prohibido usar ChatGPT en la empresa?
No de forma general. Que un uso concreto sea admisible depende, entre otros factores, de los datos tratados, del servicio utilizado y de la finalidad del trabajo. La empresa debería indicar qué herramientas están autorizadas, qué información no se puede introducir y cuándo hace falta una revisión humana. Para dudas concretas sobre protección de datos, conviene consultar al equipo responsable o a un asesor jurídico.
¿Cómo puede detectar una empresa el uso de IA en la sombra?
Empiece por hacer un inventario abierto, sin buscar culpables. Pregunte a los equipos qué herramientas usan, para qué tareas y dónde les falta una alternativa segura. No recopile conversaciones privadas. Conviene prestar atención a los procesos que manejan datos de clientes, documentos internos y decisiones de personal, porque el impacto de un uso sin revisar puede ser mayor.
¿Qué normas se aplican al uso de IA para seleccionar candidaturas?
Según el artículo citado por Heise, a partir del 2 de diciembre de 2027 las empresas deberán documentar las candidaturas en las que se utilice IA y garantizar una revisión humana final. Desde ahora, quienes llevan los procesos de selección deberían averiguar si la IA ordena o evalúa candidaturas y quién comprueba el resultado. La calificación jurídica concreta depende del proceso y conviene revisarla con especialistas.
¿Le interesa?
¿Quiere saber qué significa esto para su empresa?
Fuentes
- Klarframe: Klarframe OS · klarframe.com
- The attack that hijacked Claude Code came through Sentry. Datadog, PagerDuty, and Jira have the same exposure. · VentureBeat, 2026-06-29
- Companies are finally seeing AI ROI — and now they know how much more value it can deliver · VentureBeat, 2026-07-30
- KI in Unternehmen: Rendite steigt, Kontrolle hinkt hinterher · heise online, 2026-07-17
- Schatten-KI in der Personalabteilung: Wie KI heimlich Bewerbungen aussortiert · heise online, 2026-10-14
Este artículo se ha investigado y redactado con ayuda de IA y se ha verificado automáticamente con las fuentes citadas antes de publicarse. Más sobre nuestra transparencia en IA
Soluciones relacionadas
- Klarframe OS →
Reúne el conocimiento, crea transparencia y actúa en lugar de reaccionar. Conecta documentos, correo, Notion, Slack y CRM con fuentes visibles y un mapa de conocimiento interactivo.
Klarframe AI Readiness Check
¿Hasta qué punto está preparada su empresa para la IA?
Unos diez minutos, resultado inmediato con su nivel, un plan de 90 días, soluciones adecuadas y notas sobre el AI Act.
