Shadow AI es el uso de herramientas de inteligencia artificial dentro de una organización sin que nadie las haya aprobado, contratado ni evaluado. No es sabotaje ni mala fe: es un comercial que pega un contrato en un chatbot para resumirlo, una persona de finanzas que sube una hoja de cálculo a un traductor, un desarrollador que copia código para que se lo revisen. Cada uno de esos gestos resuelve un problema real en treinta segundos, y ninguno queda registrado en ninguna parte.
El problema no es que la gente use IA. Es que la organización no sabe que ocurre, y por tanto no puede decidir nada al respecto. No puede saber qué información ha salido, ni a qué proveedores, ni con qué condiciones contractuales. No puede completar su registro de actividades de tratamiento con datos reales. No puede responder cuando un cliente, un auditor o un regulador le pregunta qué herramientas de IA utiliza. Y no puede formar a nadie sobre un uso que oficialmente no existe.
Las encuestas internas no sirven para medirlo. Nadie declara voluntariamente lo que sospecha que no debería estar haciendo, así que el resultado siempre está por debajo de la realidad, y a menudo muy por debajo. La única medición fiable es la que observa el tráfico real hacia herramientas de IA, y esa medición es casi siempre incómoda: el número de servicios distintos suele multiplicar por varias veces lo que la dirección esperaba.
Hay dos formas de responder. La primera es prohibir, que es lo que hace casi todo el mundo y lo que casi nunca funciona: la prohibición sin alternativa no elimina el uso, lo empuja fuera del alcance de la vista. La segunda es dar una vía autorizada y poner un control técnico en el punto donde la información sale, de modo que lo que no debe salir no salga y todo lo demás quede registrado. Esa segunda vía es más trabajo al principio y es la única que produce evidencia.
En esta categoría reunimos los artículos sobre por dónde sale el dato, cuánta IA sin aprobar hay realmente en una empresa media y qué se puede hacer al respecto sin frenar a nadie. Si lo que buscas es qué te exige la ley una vez que sabes lo que está pasando, el punto de partida es la sección de regulación.
